Ciberataques al alza
Vivimos en un mundo cada vez más digitalizado, donde casi
todo pasa por Internet. Y eso facilita el fraude y los ciberataques,
por mafias y particulares que utilizan sistemas muy sofisticados
para robarnos datos, material y dinero. Los ciberdelitos se han
disparado y no afectan sólo a Gobiernos y empresas, sino a
todos nosotros, desde el robo de nuestros datos en una energética o
teleco al corte de la luz en supermercados (Francia) o el robo de dinero
en los bancos, que crece imparable. Tanto que una sentencia del
Tribunal europeo de Justicia acaba de decidir que los bancos deben pagar los
daños sufridos por sus clientes. Europol alerta sobre el aumento de la
cibercriminalidad, mientras en España hay casi tantos ciberdelitos como
hurtos. Urge que Gobiernos y empresas inviertan más en
ciberseguridad, porque el uso de la Inteligencia Artificial (IA) dispara
los ciberataques. Europa quiere reforzar su Directiva contra estos ciberdelitos,
mientras España no ha aprobado la Ley de Ciberseguridad. Todos debemos
defendernos mejor frente a los ciberataques.
En 2025, los ciberataques “documentados” en
el mundo crecieron un +42%, alcanzando los 7.979 incidentes (frente
a 5.613 en 2024), según
el informe Ciberinteligencia 2025, de Secure&IT . Y se identificaron
163 grupos de ciberdelincuentes activos a escala internacional (frente a 114 en
2024), de los que 7 grupos concentran el 40% de los grandes ciberdelitos,
destacando el
grupo Qilin (12,7% de los grandes ciberdelitos mundiales), Akira
(8,25% ciberdelitos) y Play
(4,8%). Todos ellos operan bajo esquemas de “Ransomware-as-a-Service
(RaaS)”, un modelo que funciona como una franquicia criminal en la que los
desarrolladores alquilan su malware a afiliados que ejecutan los ataques. Por paises,
EEUU fue el más atacado en 2025 (tuvo el 52% de los grandes
ataques documentados), seguido de lejos por Canadá (5%), Reino Unido y Alemania
(4% cada uno). España quedó en 7ª posición, según
Secure&IT, con 170 grandes ataques, el 10% de los ataques en Europa.
En 2026, los datos revelan un gran salto en los
ciberataques, propiciado por la dependencia de las empresas y
organizaciones de proveedores y plataformas externas (que facilitan la entrada
de virus maliciosos) y, sobre todo, por la mayor utilización de la Inteligencia
Artificial (IA) por los ciberdelincuentes, lo que facilita los ataques a muchos
particulares no profesionales. Los últimos datos disponibles, de septiembre de
2026, revelan que las empresas del mundo han sufrido de promedio 2.803
ataques significativos por semana, +48% que hace un año, según
Check Point Research. Y en España, el mes pasado hubo un promedio de
2.507 ciberataques documentados por semana, un 28% más que hace
un año.
En conjunto, el coste mundial del cibercrimen
ronda este año los 12,5 billones de dólares anuales (10,97 millones
euros) y cada ataque importante cuesta a las empresas y Gobiernos una media de
4,4 millones de dólares, según
el último informe de NTT Data. En el primer semestre de 2026, EEUU
sufrió 18.811 ataques documentados, más de la mitad del total. Y le siguieron,
lejos, India (4.461 ataques), Reino Unido (3.448), Francia (2.750), Indonesia
(1.631), Canadá (1.344). Australia (1.196), Brasil (1.137), Alemania (1.126),
Italia (1.065), México (949) y España,
en el lugar 12º, con 899 ataques graves, +45% que en la primera mitad
de 2025, un aumento mayor que el de Alemania (+31%). Algunos ciberataques en
2026 que han trascendido son los ataques a la plataforma turística Booking
(abril 2026), a Endesa (principios de año, a los datos de clientes de Zara
(mayo), al sistema de la autoridad portuaria de Vigo (marzo),a algunos centros
de salud y a servidores de Ayuntamientos (Valdemoro). Las pymes son el
sector más expuesto (al estar menos protegidas) : un
informe de Kaspersky revela que el 86% de las pymes españolas sufrió
al menos 1 ciberataque en el último año.
El informe más completo sobre los ciberataques en España,
con datos de 2025, lo
publicó en febrero INCIBE (el Instituto Nacional de Ciberseguridad,
con sede en León). Ahí reflejan que intervinieron en 122.223 ciberataques en
2025, un aumento del +26% sobre 2024 (97.348 ciberataques
documentados). La mayoría se dirigieron contra empresas que prestan
servicios esenciales: banca (el 34% de los ataques), transporte
(14%), energía (8%), infraestructuras de los mercados financieros (7%), aseguradoras
y fondos de pensiones (7%). Casi la mitad de los
ataques documentados (55.411) son “malware”(“virus
informáticos), programas diseñados para infiltrarse sin permiso en redes y
ordenadores. Le siguen los incidentes de fraude online (45.445, la
mayoría a clientes de banca). Otros ataques muy generalizados (25.133
incidentes) fueron “phising”, correos y mensajes para robar datos. Y
aunque son menos, los más costosos son los ataques de “ransomware”
(392 importantes en 2025), que bloquean accesos a archivos o Webs a cambio de
dinero (“secuestros digitales”).
Los expertos señalan que este fuerte aumento de los
ciberataques se
debe a varios factores: la mayor exposición digital de empresas y
particulares, la creciente participación en la cadena de datos de terceros
(proveedores y clientes, que acaban siendo el eslabón más débil para
facilitar los accesos ilegales), la mayor sofisticación de los
ciberdelincuentes (que gracias a la IA utilizan plataformas de ciberataques
sin tener una gran formación como “hackers) y, sobre todo, la mayor
conectividad de los usuarios. Un ejemplo: el 85% de los sistemas infectados por
ciberdelincuentes se
producen en dispositivos inteligentes (IoT), como TV,
lavavajillas, robots de limpieza o reproductores multimedia conectados a la red
en nuestras casas. Y también ayuda a la ciberdelincuencia que España sea el
país que recibe más turistas del mundo, lo que multiplica los
ciberataques a plataformas de reservas, hoteles o líneas aéreas.
Otra estadística muy reveladora de los ciberdelitos es la
del Ministerio del Interior, que informa de los ataques informáticos denunciados
por empresas y ciudadanos. En 2025, se
denunciaron 489.248 ciberdelitos, +5,3% que en 2024
pero 6 veces más de los ciberdelitos denunciados en 2016 (70.128). Y casi
se denuncian tantos ciberdelitos como hurtos (633.888 robos sin
violencia en 2025). La mayor parte de estas denuncias (430.493) son estafas
informáticas, siendo sólo 58.755 los otros ciberdelitos (sabotajes, ataques
a la intimidad o a los derechos de autor). Con todo, lo llamativo es que los
ciberdelitos suponen el 20% de toda la criminalidad en España, según Interior.
Sin embargo, el
97% de las estafas informáticas denunciadas quedan impunes, sin
condena de los Tribunales.
Uno de los delitos informáticos que más crece son los
ataques a las cuentas bancarias de los españoles (las tienen el 98%): los
bancos detectan que los intentos de estafa han aumentado un +19%
(se estima que la mitad de clientes han sufrido algún intento de ataque) y el importe
medio sustraído ha crecido un +63%, con una sofisticación
creciente (los ciberdelincuentes clonan Webs y perfeccionan con la IA los mails
y mensajes que envían a los clientes, a veces con sonidos e imágenes de jefes,
amigos o familiares). Por eso, en diciembre de 2025, la patronal de la banca y
las Cajas, junto al Ministerio de Economía, crearon
una Brigada antifraude para impulsar medidas efectivas contra el
fraude digital y para reforzar la seguridad de la operativa online (por eso
ahora recibimos más alertas de los bancos con consejos sobre ciberseguridad).
El problema es que los bancos tratan
de “escaquearse” cuando uno de sus clientes ha sufrido un ataque
informático y le han robado su dinero. Los casos son diarios y muchos
ataques acaban
en los Tribunales, porque el banco se niega a devolver al cliente lo
perdido, alegando que ha sido por su culpa, por dar las claves (por engaño
de los ciberdelincuentes) o no tener sistemas de protección en ordenadores y
móviles. Pero la jurisprudencia está dando la razón a los clientes,
tras la sentencia del Supremo de 9 de
abril de 2025, que obligaba a los bancos a “asumir la responsabilidad de
las operaciones no autorizadas derivadas de la suplantación de identidad”.
Y eso se reforzó la semana pasada, el 15 de octubre, con la sentencia
del Tribunal de Justicia de la UE: obliga a los bancos europeos a
devolver a sus clientes el dinero sustraído en las ciberestafas “aunque el
cliente haya sido negligente”. Así que ahora, el banco devuelve lo perdido
y luego si quiere reclama ante los Tribunales, aunque en este caso tiene
que demostrar una conducta negligente del cliente (algo difícil).
Ante este aumento de los ciberataques a las cuentas
bancarias, el Banco Central Europeo convocó
en abril a los principales bancos europeos a una reunión para pedirles Planes
de contingencia, solicitud que repitió
el 7 de julio, dándoles de plazo hasta el 31 de octubre para
presentarlos al BCE, que va a poner en marcha test y pruebas para
probar su eficacia. El gran temor del BCE es que se disparen los
ciberataques a la banca europea con la utilización por los ciberdelincuentes de
la herramienta Mythos, desarrollada por Anthropic, empresa USA líder de la Inteligencia Artificial (IA).
Precisamente, todos los expertos señalan que la
Inteligencia Artificial (IA) está disparando los ciberataques y lo hará
más en el futuro. De hecho, la IA es ya la
principal herramienta de los ciberdelincuentes, que la utilizan en
el 80% de los correos de “phishing” (robo de datos) y de los despliegues de “ransomware”
(“secuestro informático”), con campañas muy personalizadas que eliminan errores
lingüísticos y evaden los sistemas de detección tradicionales. Además, la
IA facilita a las redes cibercriminales fragmentar y
profesionalizar sus “servicios”, a través de plataformas donde “alquilan”
sus infraestructuras de ataque y virus informáticos a bajo coste,
permitiendo que delincuentes con pocos conocimientos técnicos ejecuten ataques
informáticos sofisticados. Y además, la
geopolítica y los conflictos entre bloques
facilitan también los ataques a infraestructuras críticas como
una forma de “guerra híbrida”, financiada por Gobiernos y grupos que buscan sabotear, desinformar y desestabilizar.
Por todo ello, los ciberataques son una de las
grandes preocupaciones de todos los Gobiernos, también en Europa, donde
el
último informe de Europol (la policía europea) alerta de que la
innovación tecnológica (IA, plataformas cifradas, tecnología blockchain y las
infraestructuras digitales) permite a las redes de delincuentes escalar en sus
actividades criminales, lo que convierte la ciberdelincuencia, el fraude online
y los ciberataques en “las amenazas que más crecen y la prioridad
estratégica de Europol”. Y por eso, la Comisión Europea presentó en enero
de 2026 una propuesta
de nuevo Reglamento para elaborar una nueva Ley de Ciberseguridad
de la UE, que mejore la actual Directiva de
Seguridad (Directiva 2022/2025), conocida como NIS2, aprobada el
14 de diciembre de 2022.
España es uno de los pocos paises europeos que todavía
no ha traspuesto esa Directiva
Europea NIS2, que ahora se va a reforzar. Teníamos de plazo para
hacerlo hasta el 17 de octubre de 2022, pero el Gobierno no aprobó un Anteproyecto de Ley de Ciberseguridad hasta el
14 de enero de 2025, que lleva desde entonces en ronda de consultas por
varios organismos, sin que haya sido aprobada como proyecto de Ley. Por
ello, la
Comisión Europea denunció, el pasado 8 de julio,
a España, Irlanda, Francia y Paises Bajos ante el Tribunal de Justicia
de la UE, lo que puede conllevar una condena y una multa. Máxime cuando ha
acabado la Legislatura y habrá que ver lo que hace el próximo
Gobierno.
La frustrada Ley
de Ciberseguridad establecía la
obligación para entidades y empresas de aprobar Planes de
Ciberseguridad, básicamente en sectores críticos: energía, transporte, banca y
mercados financieros, sanidad, agua, infraestructuras digitales y servicios
tecnológicos, industria nuclear y entidades públicas. La Ley de Ciberseguridad
afectaría a organismos y empresas grandes y medianas (más de 50
empleados y más de 50 millones de euros de negocio), aunque también a
pequeñas empresas de sectores críticos (mensajería, gestión residuos,
químicas, alimentación, proveedores de servicios digitales, seguridad privada e
investigación científica. Y obliga a informar de los ataques e
incidentes significativos y comunicárselo a las personas afectadas, creando el responsable de Ciberseguridad, que elaborará y
supervisará la estrategia de organismos y empresas.
Al no aprobarse la Ley, tampoco se ha podido crear el
Centro Nacional de Ciberseguridad, adscrito a la Presidencia del
Gobierno y máximo organismo de coordinación con la política de
Ciberseguridad de la UE. Un retraso que agrava la vulnerabilidad de
organismos, empresas y ciudadanos Y en paralelo, habría que destinar más recursos
públicos a la Ciberseguridad de organismos e instituciones, así como incentivos
y ayudas para que las empresas se gasten más en ciberseguridad (sobre
todo las pymes, que sólo invierten un 6% en seguridad informática) y contraten
a más expertos (en España hay
3.431 empresas de ciberseguridad, que facturan 6.351 millones de euros
y emplean a 165.000 profesionales), formando mejor a sus empleados (faltan
80.000 especialistas en las empresas) para cerrar las brechas a los
ciberdelincuentes. De hecho, sólo
el 4% de las organizaciones españolas cuentan con infraestructuras
adecuadas para afrontar ataques informáticos sofisticados.
Y luego queda
que nosotros, los internautas, tomemos conciencia de lo
vulnerables que somos, gastemos en antivirus (nos gastamos en
videocámaras y puertas blindadas pero no en proteger ordenadores, tablets y
móviles) y seamos más precavidos en
Internet (descargas, correos, WApp, redes, compras…). Nos jugamos nuestro dinero y nuestra intimidad.
No hay comentarios:
Publicar un comentario