El cibercrimen ya no necesita hacer estruendo para causar daños. Cada vez más, los ataques buscan pasar desapercibidos, permanecer el mayor tiempo posible dentro de los sistemas y, desde ahí, maximizar el impacto económico, estratégico y reputacional. Esa es una de las conclusiones centrales del Informe de Ciberinteligencia de amenazas de NTT DATA correspondiente al segundo semestre de 2.025, que describe un cambio profundo en los modelos de ataque: intrusiones de bajo perfil, prolongadas en el tiempo y orientadas a condicionar decisiones y procesos.

El documento dibuja un escenario en el que la ciberseguridad deja de ser un asunto meramente técnico o de “cumplimiento” para convertirse en un frente estratégico. En lugar de golpes rápidos y visibles, el informe señala una evolución hacia operaciones más sofisticadas y adaptativas, donde la prioridad es la persistencia, el sigilo y la capacidad de influir de manera sostenida en entornos comprometidos. En este nuevo tablero, la frontera entre delincuencia organizada, campañas híbridas y tensiones entre Estados resulta cada vez más difícil de trazar con claridad.

Un ciberespacio atravesado por la política y la economía

La lectura de NTT DATA insiste en un factor que crece en peso: la influencia geopolítica. Las tensiones internacionales, la fragmentación tecnológica y los cambios en alianzas impactan de forma directa en infraestructuras digitales, cadenas de suministro y sectores críticos. El resultado, según el informe, es doble: por un lado, se vuelve más complejo atribuir los ataques; por otro, la cooperación entre países se complica, elevando el riesgo para gobiernos, industrias clave y empresas privadas.

En ese contexto, el ciberespacio se consolida como un terreno habitual de confrontación indirecta. Permite ejercer presión, generar disrupciones y alterar equilibrios sin llegar a un conflicto militar abierto. Lo inquietante no es solo el incidente puntual, sino el desgaste acumulado: credenciales expuestas, accesos persistentes, datos extraídos con precisión quirúrgica y campañas de presión pública calibradas al milímetro.

La Inteligencia Artificial como multiplicador ofensivo

Otro de los ejes del informe es la incorporación creciente de Inteligencia Artificial como multiplicador estratégico. Su uso en operaciones de ciberespionaje, desinformación y automatización ofensiva reduce barreras de entrada, acelera los ciclos de ataque y amplifica el alcance de campañas híbridas, tanto por parte de Estados como de actores criminales avanzados.

La consecuencia práctica es que el atacante necesita menos tiempo y menos recursos para iterar. Donde antes había exploración manual y ensayo/error, ahora hay automatización, adaptación y una capacidad mayor para personalizar la ofensiva, ajustar técnicas y mantener la presión con costes relativamente bajos. En paralelo, para el defensor crece la exigencia de detectar patrones sutiles y correlacionar señales débiles, precisamente en un momento en el que el ruido del entorno digital no deja de aumentar.

Menos “plazas públicas” del delito, más opacidad

El informe también destaca la fragmentación del ecosistema criminal. La caída de grandes foros underground y marketplaces centralizados, lejos de reducir la actividad ilícita, la redistribuye: aparecen mercados especializados, brokers de acceso inicial y canales privados más opacos. Este cambio complica la monitorización y dificulta la obtención de inteligencia temprana, porque el crimen se organiza en espacios menos visibles, con relaciones más cerradas y cadenas de suministro delictivas más especializadas.

En términos operativos, este “mercado fragmentado” favorece una economía del ataque más modular: quien obtiene el primer acceso no siempre ejecuta la extorsión; quien desarrolla herramientas no siempre opera el despliegue; quien lava o monetiza datos no siempre participa en la intrusión. El resultado es una industria más profesional y más difícil de desarticular con golpes únicos a un gran actor central.

Ransomware maduro y extorsión basada en datos

En paralelo, el ransomware y los modelos de extorsión basados en datos muestran una madurez operativa que el informe describe como especialmente preocupante. Las campañas combinan automatización, robo selectivo de información sensible, presión pública escalonada y explotación reputacional. Aumenta el uso de técnicas “silenciosas” y el abuso de servicios legítimos —especialmente cloud y SaaS— para persistir y moverse lateralmente casi sin dejar huellas.

La clave aquí no es solo cifrar, sino controlar el ritmo de la negociación y elevar el coste reputacional. La extorsión ya no se limita a “pago o pierdes el acceso”, sino que incorpora filtraciones dosificadas, amenazas de exposición y presión hacia clientes, reguladores o socios. En ese marco, el tiempo juega a favor del atacante: cuanto más permanezca dentro, mejor entiende el negocio, más valiosos son los datos que elige y más fino es el punto de presión.

Sectores más atacados y un impacto económico gigantesco

El informe aporta cifras por sectores que ayudan a entender dónde se concentra el riesgo. Durante el semestre analizado, los sectores con mayor número de incidentes fueron:

• Administración pública y gobiernos: 3.343 ataques
• Instituciones educativas: 1.140
• Servicios financieros: 957
• Tecnologías de la información: 802
• Telecomunicaciones: 614

En conjunto, el documento enmarca estos datos en una estimación de impacto económico del cibercrimen en torno a US$10,5 billones anuales, una magnitud que ilustra por qué el ciberespacio se ha convertido en una infraestructura crítica para la economía global, y también en un objetivo prioritario para actores con motivaciones muy distintas.

La brecha: cumplir no siempre significa resistir

Aunque el informe reconoce avances —refuerzos legales y regulatorios, operaciones policiales internacionales de alto impacto y una mejora progresiva de capacidades defensivas—, el diagnóstico final es incómodo: la adaptación de los actores maliciosos sigue superando esos avances. Persiste una brecha entre el cumplimiento normativo y la resiliencia operativa real.

En ese punto, el informe pone el foco en un cambio de mentalidad. “Estamos frente a un cambio de paradigma: los ataques ya no buscan solo interrumpir, sino condicionar decisiones, procesos y estrategias de largo plazo: la gestión eficaz del riesgo exige una aproximación integral, orientada a la detección contextual, la resiliencia y la anticipación estratégica frente a amenazas persistentes y altamente adaptativas”, señaló María Pilar Torres Bruna, Head of Cybersecurity en NTT DATA Iberia, International Organisations, LATAM and Consulting in Benelux and France.

La idea de fondo es clara: ante amenazas más persistentes y sofisticadas, la ciberseguridad debe operarse como una función estratégica, capaz de anticipar, comprender el contexto y sostener una resiliencia digital real y sostenible. Menos checklist y más visión operativa: detectar antes, responder mejor y aprender más rápido que el adversario.

---

Preguntas frecuentes

¿Qué significa que los ataques sean “más silenciosos” y persistentes?
Que priorizan pasar desapercibidos, mantenerse dentro del entorno durante más tiempo y maximizar el impacto (económico y reputacional) desde una posición de control.

¿Por qué el ransomware actual se basa cada vez más en la extorsión por datos?
Porque no solo busca cifrar sistemas: también roba información sensible y presiona con filtraciones y daño reputacional para aumentar la probabilidad de pago.

¿Qué sectores sufrieron más incidentes en el segundo semestre de 2.025 según el informe?
Administración pública y gobiernos (3.343), educación (1.140), servicios financieros (957), tecnologías de la información (802) y telecomunicaciones (614).

¿Cómo influye la Inteligencia Artificial en la evolución del cibercrimen?
El informe apunta a que actúa como multiplicador: reduce barreras de entrada, acelera los ciclos de ataque y amplifica el alcance de campañas de automatización ofensiva, ciberespionaje y desinformación.

vía: nttdata