HPE ha dado a conocer los resultados de su primer informe global sobre ciberamenazas, “In the Wild”, que revela un cambio significativo en la forma en que los ciberatacantes operan a escala internacional, especialmente en sectores industriales y servicios públicos esenciales.

El documento, basado en la actividad real detectada por los sistemas de HPE durante 2025, confirma que el cibercrimen ha entrado en una fase de industrialización. Los atacantes están combinando técnicas automatizadas con la explotación de vulnerabilidades antiguas pero aún no corregidas, lo que les permite expandir sus operaciones, comprometer activos críticos y mantener una presión constante sobre las organizaciones. Este escenario obliga a las empresas a reforzar su estrategia digital y situar la ciberseguridad como un pilar clave de su negocio.

El estudio analiza un total de 1.186 campañas activas, describiendo un entorno marcado por la rapidez, la organización y la sofisticación. Según el informe, los grupos de cibercrimen funcionan cada vez más como auténticas estructuras profesionales: reutilizan sus infraestructuras, automatizan ataques y seleccionan objetivos estratégicos con un enfoque cada vez más preciso.

“In the Wild muestra lo que realmente está ocurriendo en el día a día de las organizaciones”, explica Mounir Hahad, responsable de HPE Threat Labs. “Nuestra investigación se centra en amenazas reales, no en simulaciones. Analizamos cómo actúan los atacantes en campañas vivas, cómo cambian sus tácticas y qué les está funcionando. Estos datos permiten mejorar la detección, fortalecer las defensas y ofrecer a nuestros clientes una visión clara de las amenazas más probables. En definitiva, les ayuda a ser más ágiles y resilientes frente a ataques cada vez mejor organizados”.

Infraestructuras a escala industrial impulsan las campañas de amenazas actuales

Tal y como recoge este primer informe, HPE Threat Labs ha observado un aumento tanto en el volumen de ataques como en la sofisticación de las tácticas y técnicas empleadas. Entre los actores de amenazas se encuentran grupos de espionaje vinculados a estados y organizaciones de cibercrimen, que operan con un nivel de organización similar al de grandes empresas: adoptan estructuras jerárquicas, equipos especializados y mecanismos de coordinación ágil para desplegar infraestructuras de ataque amplias e industrializadas, además de demostrar un profundo conocimiento de las aplicaciones y documentos de uso habitual en los entornos laborales.

El sector público fue el más atacado a nivel global, con 274 campañas dirigidas a organismos federales, autonómicos y municipales. Les siguieron de cerca los sectores financiero y tecnológico, con 211 y 179 campañas respectivamente, lo que refleja el interés sostenido de los atacantes por los datos de alto valor y el beneficio económico. También se registró una elevada actividad contra organizaciones de defensa, industria manufacturera, telecomunicaciones, sanidad y educación. En conjunto, estos datos ponen de relieve que los atacantes priorizan estratégicamente sectores vinculados a infraestructuras críticas, a información sensible y a la estabilidad económica, aunque ningún sector está exento de riesgo.

A lo largo del año, los actores de amenazas desplegaron más de 147.000 dominios maliciosos, cerca de 58.000 archivos de malware y explotaron activamente 549 vulnerabilidades. Este grado de profesionalización del cibercrimen hace que los ataques sean más predecibles en su ejecución, pero también más difíciles de interrumpir, ya que desmantelar un componente de una operación rara vez detiene la campaña en su conjunto.

La automatización y las herramientas de IA aceleran la velocidad y el impacto de los ataques

Los atacantes también han adoptado nuevas técnicas para ganar en rapidez y eficacia. Algunas operaciones emplean flujos de trabajo automatizados, a modo de “cadena de montaje”, a través de plataformas como Telegram para exfiltrar datos robados en tiempo real. Otras recurren a la IA generativa para crear voces sintéticas y vídeos falsos con fines de fraude dirigido, como el vishing o la suplantación de ejecutivos. Además, un grupo especializado en extorsión llegó a realizar análisis de mercado sobre vulnerabilidades en redes privadas virtuales (VPN) con el objetivo de optimizar su estrategia de intrusión.

Estas tácticas permiten a los atacantes actuar con mayor rapidez, ampliar su alcance y concentrar sus esfuerzos en sectores críticos. Al optimizar sus operaciones y priorizar objetivos de alto valor, logran maximizar el beneficio económico con mayor eficiencia, siguiendo de forma estratégica el rastro del dinero.

Medidas prácticas para reforzar la ciberresiliencia

El informe subraya que una defensa eficaz depende menos de incorporar nuevas herramientas y más de mejorar la coordinación, la visibilidad y la capacidad de respuesta en toda la red. En este sentido, las organizaciones deben adoptar las siguientes medidas para reforzar su seguridad:

• Eliminar silos mediante el intercambio de inteligencia de amenazas entre equipos internos, clientes e industrias, apoyándose en un enfoque SASE (secure access service edge) que unifique red y seguridad y permita detectar antes los patrones de ataque.
• Corregir puntos de entrada habituales, como VPNs, SharePoint o dispositivos en el extremo, para reducir la exposición y cerrar vías de acceso recurrentemente explotadas.
• Aplicar principios de zero trust para reforzar la autenticación y limitar el movimiento lateral, con soluciones de ZTNA (zero trust network access) que verifiquen de forma continua usuarios y dispositivos antes de conceder acceso.
• Mejorar la visibilidad y la capacidad de respuesta mediante inteligencia de amenazas, tecnologías de decepción y detección nativa en IA, lo que permite identificar, analizar y responder a los ataques con mayor rapidez y precisión.
• Extender la seguridad más allá del perímetro corporativo hacia redes domésticas, herramientas de terceros y entornos de la cadena de suministro.

En conjunto, estas medidas permiten a las organizaciones actuar con mayor agilidad, reducir riesgos y reforzar su capacidad de defensa frente a amenazas cada vez más organizadas y persistentes.

HPE Threat Labs eleva el nivel de la defensa de red

Sobre la base de una sólida trayectoria en investigación, HPE ha puesto en marcha HPE Threat Labs para hacer frente a un entorno de amenazas en constante evolución. Al integrar el talento y la inteligencia de seguridad de primer nivel de HPE y Juniper Networks, HPE Threat Labs aúna un conocimiento especializado profundo y amplía significativamente el volumen de datos disponible para identificar y seguir amenazas reales. Esto permite alimentar directamente las soluciones de HPE con la inteligencia necesaria para detectar y bloquear ataques maliciosos con mayor eficacia.

“HPE Threat Labs se creó para conectar la investigación más avanzada con su aplicación real en seguridad”, señala David Hughes, SVP & GM de SASE y Seguridad para Networking en HPE. “El informe In the Wild muestra que los atacantes actuales operan con la disciplina, la escala y la eficiencia propias de grandes organizaciones globales, y que hacerles frente exige el mismo nivel de estrategia, integración y rigor operativo. Al trasladar la inteligencia de amenazas a nuestros productos, HPE Threat Labs ayuda a las organizaciones a reducir riesgos, minimizar el impacto de los ataques y proteger los sistemas de los que dependen sus negocios”.