La Agencia de la Unión Europea para la Ciberseguridad (ENISA) ha analizado 8.257 incidentes registrados en 2025 en su informe Threat Landscape 2026 y concluye que la administración pública es el sector más atacado de la UE, con el 31,8 % de los casos, mientras el ransomware sigue siendo la amenaza de mayor impacto inmediato. El informe, publicado el 22 de septiembre, pone el foco en las dependencias digitales: los ataques a proveedores, cadenas de suministro y servicios de terceros son menos frecuentes que otros, pero suelen provocar los incidentes de mayor alcance.
Las claves del informe de amenazas de ENISA 2026 en 30 segundos
- ENISA analiza 8.257 incidentes de 2025; el 51,3 % son ataques DDoS, de bajo impacto en su mayoría según la agencia.
- El 73 % de las organizaciones atacadas son entidades esenciales o importantes según la directiva NIS2.
- El ransomware supone el 47,3 % de la actividad delictiva con ánimo de lucro, y cada vez se centra más en robar datos que en cifrarlos.
- España es el cuarto país de la UE con más reivindicaciones de ransomware.
Los datos proceden sobre todo de fuentes abiertas, completadas con información anonimizada de los Estados miembros y de las empresas del programa de colaboración de ENISA, y cubren del 1 de enero al 31 de diciembre de 2025, seis meses solapados con la edición anterior. La propia agencia advierte de que las cifras deben leerse como una visión de las tendencias y no como un recuento completo. Su director ejecutivo, Juhan Lepassaar, resume el mensaje en que las amenazas están cada vez más interconectadas: los mismos grupos reutilizan herramientas, colaboran entre sí y la frontera entre ciberdelincuencia, hacktivismo y actores estatales es cada vez más difusa.
Mucho ruido de DDoS, poco impacto
En volumen, el panorama lo dominan los ataques de denegación de servicio (DDoS), con el 51,3 % de los incidentes, seguidos de los accesos no autorizados (39,5 %). El 57,3 % de la actividad tiene motivación ideológica, frente al 29,3 % con fines económicos y un 5,9 % de ciberespionaje atribuido a grupos vinculados a Estados. Pero ENISA subraya que las campañas ideológicas, protagonizadas por grupos como NoName057(16), Dark Storm Team o Keymous+ y ligadas a la guerra de Ucrania, a elecciones o a anuncios de ayuda, no tuvieron un impacto significativo a gran escala. La amenaza que más daño hace a corto plazo sigue siendo la de motivación económica.
Por sectores, tras la administración pública, donde el 81,8 % de los incidentes son DDoS, aparecen los servicios empresariales (8,5 %), el transporte (8 %), la industria (6,9 %) y la banca (5,6 %). En el transporte, el ferrocarril y la aviación concentran la mayoría de los casos, y el informe recuerda el ataque a Collins Aerospace de septiembre de 2025, que afectó a la facturación en varios aeropuertos europeos. En infraestructura digital, los operadores de comunicaciones electrónicas son el subsector más atacado (53,5 %).
El ransomware ya roba más de lo que cifra
Dentro de la actividad con fines económicos, el informe atribuye el 47,3 % al ransomware, el 36 % a robos de datos y el 13,3 % a fraude y suplantación. Alemania concentra el 26,5 % de las reivindicaciones de ransomware en la UE, seguida de Francia (14,7 %), Italia (13,6 %) y España (12,2 %), y los grupos más activos fueron Qilin, SafePay, Akira, INC Ransom y Hunters International. La industria es el sector más afectado (25,2 %). El dato más revelador es técnico: la exfiltración de datos aparece en el 73,3 % de los casos analizados, frente al 13,7 % del cifrado. ENISA lo interpreta como un giro hacia la extorsión con datos robados, algo que ya apuntaban otros informes, y advierte de que las obligaciones del RGPD y de notificación de incidentes probablemente empujan a algunas víctimas europeas a pagar.
En la entrada de los atacantes, el phishing supone el 77,8 % de la ingeniería social, con técnicas como ClickFix y los kits de phishing como servicio en auge. Cuando se pudo identificar cómo entró el atacante, algo que solo ocurrió en el 5,2 % de los accesos no autorizados, el 60,4 % fue mediante la explotación de una vulnerabilidad, a menudo en VPN y cortafuegos de Fortinet, SonicWall o Cisco. La nota de prensa de ENISA añade que en 2025 se publicaron más de 48.000 nuevas CVE, un 22 % más que el año anterior.
Dependencias e IA, los riesgos que crecen
El hilo conductor del informe son las dependencias. Los ciberdelincuentes atacan cada vez más a proveedores de terceros, como en la campaña Shai-Hulud contra paquetes de npm o el ataque a un proveedor informático sueco que afectó a unos 200 municipios y autoridades regionales. Para quienes gestionan infraestructura en la nube, la lección es que la seguridad propia depende también de la de cada proveedor de software, servicios gestionados o plataformas, un enfoque que la directiva NIS2 ya obliga a tener en cuenta.
Sobre la inteligencia artificial, ENISA es prudente: los atacantes usan sobre todo herramientas comerciales para reforzar capacidades que ya tenían, no para dar saltos cualitativos, aunque recoge casos de malware generado con IA y una intrusión en la nube asistida por IA que logró acceso de administrador en ocho minutos. Su valoración es que es muy probable que la IA apoye cada vez más las operaciones maliciosas. Conviene tener en cuenta una cautela: la nota de prensa de ENISA ofrece algunas cifras distintas de las del informe, como un 36 % de eventos de ciberdelincuencia o un 40 % de ransomware dentro de la actividad económica, sin explicar la diferencia. En este artículo se usan las cifras del informe completo.
Preguntas frecuentes
¿Qué es el ENISA Threat Landscape?
El informe anual de la agencia europea de ciberseguridad sobre las amenazas que afectan a la UE. La edición de 2026 analiza 8.257 incidentes registrados entre el 1 de enero y el 31 de diciembre de 2025.
¿Cuál es el sector más atacado en la UE?
La administración pública, con el 31,8 % de los incidentes, la mayoría ataques DDoS de grupos hacktivistas.
¿Cómo está España en ransomware?
Es el cuarto país de la UE con más reivindicaciones de ransomware, con el 12,2 %, por detrás de Alemania, Francia e Italia.
¿Qué papel tiene la IA en los ataques?
Según ENISA, los atacantes la usan sobre todo para reforzar capacidades existentes, aunque ya hay casos de malware generado con IA, y considera muy probable que su uso malicioso crezca.
Fuentes:
