Los ciberataques se están haciendo más rápidos, silenciosos y persistentes, mientras la inteligencia artificial reduce el tiempo y el esfuerzo necesarios para automatizar determinadas fases de una intrusión. El informe Cyber Threat Intelligence Trends 2026 de NTT DATA sitúa esta combinación, junto con la geopolítica y la profesionalización del cibercrimen, entre los factores que están modificando el riesgo para empresas y administraciones durante 2026.
Las claves de las ciberamenazas de 2026 en 30 segundos
- NTT DATA advierte de vulnerabilidades críticas explotadas en menos de 24 horas y casos capaces de pasar del acceso inicial a la exfiltración en apenas 72 minutos.
- El ransomware apareció en el 48 % de las brechas analizadas y acumuló 2.122 víctimas publicadas durante el primer trimestre.
- La IA ya se utiliza para reconocimiento, phishing personalizado, deepfakes e ingeniería social automatizada.
- La administración pública figura entre los sectores más expuestos.
El cambio más relevante no consiste necesariamente en la aparición de técnicas completamente nuevas. NTT DATA observa que los atacantes están combinando herramientas conocidas, automatizándolas y utilizándolas con mayor rapidez. Esto reduce el margen disponible entre la detección de una vulnerabilidad, su explotación y el movimiento del atacante dentro de la infraestructura comprometida.
Hay además un segundo problema: una intrusión ya no tiene por qué anunciarse mediante una caída del servicio o el cifrado inmediato de los sistemas. Permanecer oculto puede ser más rentable. El atacante puede buscar credenciales, identificar activos importantes, acceder a servicios cloud, extraer información y preparar una extorsión antes de que la organización sea consciente de lo ocurrido.
De una vulnerabilidad a la exfiltración en solo 72 minutos
Uno de los datos más llamativos del informe está relacionado con la reducción de los tiempos de ataque. NTT DATA señala que algunas vulnerabilidades críticas empiezan a ser explotadas en menos de 24 horas, mientras determinados ciclos de intrusión pueden avanzar desde el acceso inicial hasta la exfiltración de información en aproximadamente 72 minutos.
Para los equipos de seguridad esto modifica una parte importante de las reglas tradicionales. Una política de parcheado que tarde días en reaccionar puede resultar insuficiente cuando existe una vulnerabilidad activamente explotada.
También aumenta la importancia de saber qué sistemas están expuestos a Internet. Servidores olvidados, aplicaciones antiguas, interfaces administrativas, redes privadas virtuales (VPN), dispositivos perimetrales o servicios cloud mal configurados pueden convertirse en puntos de entrada.
La identidad es otra pieza del problema. Si un ciberdelincuente consigue unas credenciales válidas, parte de su actividad puede confundirse con la de un usuario legítimo. De ahí que la monitorización de identidades, los controles de acceso y la autenticación multifactor resistente al phishing sean cada vez más relevantes junto al parcheado convencional.
La inteligencia artificial puede comprimir todavía más estos ciclos. Según NTT DATA, ya se emplea para automatizar reconocimiento, generar campañas de phishing más personalizadas, producir deepfakes y ampliar operaciones de ingeniería social.
Eso no significa que la IA haya sustituido al atacante humano. Su efecto actual se entiende mejor como un multiplicador: tareas que anteriormente requerían más trabajo manual pueden automatizarse o ejecutarse a mayor escala.
El ransomware cambia: robar antes de cifrar
El ransomware sigue ocupando una posición destacada, pero su funcionamiento ha evolucionado. El informe recoge 2.122 víctimas publicadas durante el primer trimestre de 2026 y señala que estuvo presente en el 48 % de las brechas analizadas. Además, los diez grupos más activos concentraron el 71,1 % de las víctimas contabilizadas.
El cifrado continúa siendo una herramienta de presión, pero el robo de información permite al delincuente mantener la extorsión incluso cuando la empresa dispone de copias de seguridad capaces de recuperar sus sistemas.
Una organización puede restaurar sus servidores y seguir enfrentándose a la amenaza de que documentos internos, información comercial o datos personales terminen publicados.
A ello se suma un uso creciente de servicios legítimos. Infraestructuras cloud y aplicaciones de software como servicio (SaaS) pueden utilizarse para almacenar información, mantener persistencia o dificultar que determinadas comunicaciones sean diferenciadas rápidamente del tráfico empresarial habitual.
El ecosistema criminal también se ha fragmentado. El cierre de grandes foros y mercados clandestinos centralizados no implica necesariamente una reducción equivalente de la actividad. NTT DATA observa un desplazamiento hacia mercados especializados, intermediarios de acceso inicial y canales privados.
Los llamados initial access brokers constituyen una pieza especialmente problemática. Su negocio consiste en obtener acceso a una organización y vender posteriormente esas credenciales o sesiones comprometidas a otros delincuentes, que pueden utilizarlas para espionaje, fraude o ransomware.
Administraciones, educación y finanzas entre los principales objetivos
Los datos sectoriales permiten observar dónde se concentra parte de la actividad detectada por NTT DATA. La administración pública y los gobiernos acumularon 3.343 incidentes durante el periodo analizado.
A continuación aparecen las instituciones educativas, con 1.140; los servicios financieros, con 957; las tecnologías de la información, con 802; y las telecomunicaciones, con 614.
| Sector | Incidentes registrados |
|---|---|
| Administración pública y gobiernos | 3.343 |
| Educación | 1.140 |
| Servicios financieros | 957 |
| Tecnologías de la información | 802 |
| Telecomunicaciones | 614 |
La exposición de estos sectores tiene una explicación tecnológica, pero también estratégica. Administraciones, operadores de telecomunicaciones, entidades financieras y proveedores tecnológicos gestionan grandes cantidades de información y, en muchos casos, forman parte de servicios utilizados por otras organizaciones.
Comprometer un proveedor puede proporcionar además una vía indirecta hacia sus clientes. Por eso las cadenas de suministro digitales aparecen de forma recurrente entre las áreas que requieren vigilancia.
NTT DATA añade otro elemento al análisis: la geopolítica. Los conflictos internacionales, las disputas comerciales y la fragmentación tecnológica están haciendo más difícil separar algunas operaciones puramente criminales de campañas relacionadas con intereses estatales.
La atribución tampoco siempre es sencilla. Infraestructuras compartidas, intermediarios y herramientas disponibles públicamente permiten ocultar mejor el origen de determinadas operaciones.
El resultado para las empresas es que cumplir una normativa de seguridad no equivale automáticamente a estar preparada para recuperarse de un ataque. Inventarios actualizados, detección temprana, segmentación, protección de identidades, copias de seguridad verificadas y planes de recuperación siguen siendo medidas técnicas básicas cuando el tiempo disponible para reaccionar continúa reduciéndose.
La velocidad probablemente sea una de las variables que más condicione la defensa durante los próximos años. Si una vulnerabilidad puede comenzar a explotarse pocas horas después de hacerse pública y una intrusión puede avanzar en minutos, la capacidad para detectar comportamientos anómalos y responder rápidamente adquiere tanto peso como las medidas destinadas a impedir inicialmente el acceso.
Preguntas frecuentes
¿Cuánto puede tardar actualmente un ciberataque en robar información?
NTT DATA recoge escenarios en los que el intervalo entre el acceso inicial y la exfiltración puede reducirse hasta aproximadamente 72 minutos. No significa que todos los ataques sean tan rápidos, pero muestra hasta qué punto se están acortando algunos ciclos de intrusión.
¿Cómo están utilizando los ciberdelincuentes la inteligencia artificial?
El informe identifica usos relacionados con el reconocimiento automatizado, phishing personalizado, deepfakes, ingeniería social y automatización de determinadas fases ofensivas. La IA permite principalmente aumentar la velocidad y escala de técnicas que ya existían.
¿Sigue siendo el ransomware una de las principales amenazas en 2026?
Sí. NTT DATA contabiliza 2.122 víctimas publicadas durante el primer trimestre de 2026 y sitúa el ransomware en el 48 % de las brechas analizadas.
¿Qué sectores sufren más ciberataques?
Según los datos recogidos por NTT DATA, la administración pública y los gobiernos encabezan los incidentes del periodo analizado, seguidos por educación, servicios financieros, tecnologías de la información y telecomunicaciones.
