El estado actual de la ciberseguridad
Nota editorial: este artículo fue publicado originalmente en julio de 2024 y revisado en junio de 2026 para actualizar referencias temporales, corregir ejemplos de incidentes y añadir contexto sobre normativa europea, resiliencia operativa y medidas prácticas.
La ciberseguridad ya no es un tema exclusivo del departamento de TI.
Hoy es un pilar estratégico para cualquier organización que maneje datos, preste servicios digitales, dependa de proveedores tecnológicos o simplemente necesite seguir funcionando cuando algo falla. Es decir: prácticamente todas.
Durante años se habló de ciberseguridad como si fuera una colección de herramientas: antivirus, firewall, copias de seguridad, contraseñas, algún curso de concienciación y poco más.
Eso ya no basta.
La ciberseguridad actual va de continuidad de negocio, gestión de riesgo, identidad, resiliencia, proveedores, datos, cloud, formación, respuesta a incidentes y capacidad real de recuperación.
No se trata de vivir con miedo. Se trata de dejar de improvisar.
Este artículo repasa algunas de las tendencias más relevantes, incidentes que merece la pena conocer y, sobre todo, medidas concretas que puedes aplicar para mejorar la postura de seguridad de tu organización.
Tendencias actuales en ciberseguridad
1. Ransomware como servicio
El ransomware ya no es solo cosa de grupos extremadamente técnicos que desarrollan todo desde cero.
El modelo de Ransomware as a Service ha profesionalizado el negocio: unos grupos desarrollan malware, paneles, infraestructura de extorsión y negociación; otros afiliados ejecutan los ataques; y el rescate se reparte.
Eso ha reducido la barrera de entrada.
Hoy un atacante no necesita ser un genio. Le basta con comprar acceso, robar credenciales, explotar una VPN sin parchear, entrar por escritorio remoto mal protegido o aprovechar un usuario sin MFA.
El ransomware moderno además ya no se limita a cifrar archivos. Muchas campañas combinan:
- Robo de datos.
- Cifrado de sistemas.
- Extorsión por publicación.
- Presión a clientes o proveedores.
- Ataques a backups.
- Interrupción operativa.
Por eso los backups son imprescindibles, pero no suficientes. Necesitas backups aislados, pruebas de restauración, segmentación, MFA, control de accesos y un plan de respuesta a incidentes que no exista solo en un PDF.
2. Identidad: el nuevo perímetro
Durante años se protegió la red como si el perímetro fuera claro: dentro era seguro, fuera era peligroso.
Ese mundo ya no existe.
Hoy tienes usuarios remotos, SaaS, cloud, proveedores, APIs, dispositivos personales, móviles, integraciones, cuentas de servicio y automatizaciones. En ese escenario, la identidad se convierte en una de las superficies de ataque más importantes.
Muchas brechas recientes no empiezan con un exploit espectacular, sino con algo mucho más simple:
- Credenciales robadas.
- Contraseñas reutilizadas.
- Falta de MFA.
- Tokens expuestos.
- Cuentas de servicio con permisos excesivos.
- Sesiones antiguas sin rotación.
Por eso, si tuviera que elegir una medida básica de alto impacto, sería esta: MFA en todas las cuentas críticas.
Y no solo para administradores. También para correo, VPN, cloud, CRM, herramientas financieras, repositorios de código, copias de seguridad y cualquier plataforma donde una cuenta comprometida pueda convertirse en un incidente serio.
3. IA generativa: útil para defensores y atacantes
La inteligencia artificial no está solo del lado de los buenos.
Los atacantes pueden usar modelos generativos para redactar phishing más creíble, traducir campañas, personalizar mensajes, generar código, resumir información robada o automatizar parte del reconocimiento.
Pero conviene no exagerar.
La IA no ha sustituido las técnicas clásicas. Las ha hecho más rápidas, más baratas y más escalables.
Antes muchos correos de phishing se detectaban porque estaban mal escritos, mal traducidos o sonaban raros. Hoy eso ya no es una pista fiable. Un correo falso puede sonar perfectamente profesional.
También empiezan a verse riesgos asociados a deepfakes de voz o vídeo, especialmente en fraudes dirigidos a departamentos financieros, soporte o dirección.
La defensa no pasa por prohibir la IA sin más. Pasa por usarla con criterio, formar a los equipos, revisar procesos sensibles y no confiar decisiones críticas a un único canal.
Si una transferencia importante se aprueba solo porque alguien “parece” haberlo pedido por correo, audio o videollamada, el problema no es la IA. El problema es el proceso.
4. Seguridad en la nube y responsabilidad compartida
La nube no es insegura por defecto. Pero tampoco es segura por arte de magia.
El proveedor protege la infraestructura de base, pero tú sigues siendo responsable de muchas cosas: identidades, permisos, configuración, datos, redes, claves, logs, backups, exposición pública y gobierno.
Un bucket mal configurado, una API sin autenticación, una cuenta con permisos excesivos o una base de datos expuesta siguen siendo responsabilidad de quien despliega.
El modelo de responsabilidad compartida se entiende muy bien en teoría. En la práctica, muchas organizaciones siguen creyendo que “estar en cloud” equivale a “estar protegido”.
No es así.
Cloud exige más disciplina, no menos.
5. El factor humano sigue pesando
Da igual cuánto inviertas en tecnología si los procesos son débiles.
Un empleado que aprueba una petición falsa. Un administrador que reutiliza contraseña. Un proveedor con acceso excesivo. Un usuario que ignora avisos de seguridad. Un equipo que no sabe a quién llamar durante un incidente.
La formación ayuda, pero no basta con mandar un curso anual y marcar una casilla.
La concienciación útil es continua, práctica y adaptada al trabajo real:
- Simulaciones de phishing.
- Canales claros para reportar sospechas.
- Formación por rol.
- Procedimientos de verificación para pagos o cambios críticos.
- Cultura de no castigar al que avisa rápido.
El objetivo no es que todo el mundo sea experto en ciberseguridad. El objetivo es que no se queden solos cuando algo huele raro.
Incidentes que conviene conocer
Estos casos no están aquí por morbo. Están porque enseñan muy bien cómo fallan las organizaciones cuando identidad, continuidad, proveedores o recuperación no están bien resueltos.
1. Change Healthcare — 2024
En febrero de 2024, Change Healthcare, filial de UnitedHealth, sufrió un ataque de ransomware atribuido a ALPHV/BlackCat que afectó gravemente al sistema sanitario estadounidense.
El impacto fue enorme: interrupciones en procesamiento de pagos, reclamaciones, farmacias, hospitales y servicios asociados. UnitedHealth reconoció un pago de 22 millones de dólares relacionado con el incidente, y aun así el problema no quedó resuelto de forma limpia.
La lección es clara: los servicios críticos necesitan resiliencia real.
No basta con tener backups. No basta con tener proveedores grandes. Hay que saber cómo se sigue operando si una pieza central cae durante días o semanas.
Preguntas incómodas que deja este caso:
- ¿Qué sistemas no pueden parar?
- ¿Qué proveedores son críticos?
- ¿Hay plan B si uno cae?
- ¿Se ha probado la continuidad operativa?
- ¿Quién decide durante la crisis?
2. Campaña contra clientes de Snowflake — 2024
En 2024 se conoció una campaña de acceso no autorizado a entornos de clientes de Snowflake que afectó a organizaciones como Ticketmaster, Santander o AT&T, entre otras.
Lo importante aquí es el patrón: credenciales robadas, ausencia de MFA en cuentas afectadas y accesos a grandes volúmenes de datos en entornos cloud.
Snowflake indicó que no se trató de una brecha directa de su plataforma central, sino de accesos no autorizados a cuentas de clientes. Y ahí está precisamente la lección: en cloud, la configuración de identidad y acceso es crítica.
No puedes proteger datos sensibles con cuentas sin MFA, credenciales antiguas, tokens expuestos o permisos excesivos.
Medidas que este caso refuerza:
- MFA obligatorio.
- Rotación de credenciales.
- Detección de credenciales expuestas.
- Restricciones por IP o red cuando sea posible.
- Principio de mínimo privilegio.
- Monitorización de accesos anómalos.
- Revisión de cuentas de servicio.
3. SEPE — 2021
En marzo de 2021, el Servicio Público de Empleo Estatal sufrió un ciberataque asociado a ransomware Ryuk que paralizó parte de su operativa y obligó a aislar sistemas.
Este caso es especialmente relevante en España porque mostró el impacto que puede tener un incidente en una administración pública que presta servicios esenciales a millones de ciudadanos.
Conviene ser precisos: las comunicaciones públicas indicaron que no constaba sustracción de datos ni afectación a la confidencialidad de pagos. Aun así, el impacto operativo fue suficiente para demostrar algo importante: un incidente de ciberseguridad no solo va de robar datos. También va de disponibilidad.
Si un servicio público, una pyme o una empresa no puede operar durante días, el daño ya está hecho aunque no haya fuga de información.
La lección: disponibilidad, backups, segmentación, respuesta a incidentes y continuidad no son temas secundarios.
Checklist de medidas prácticas
Más allá de la teoría, esto es lo que realmente pondría encima de la mesa si una organización quiere mejorar su postura de seguridad.
| Medida | Prioridad | Por qué importa |
|---|---|---|
| MFA en cuentas críticas | Alta | Reduce muchísimo el impacto de credenciales robadas. |
| Backups 3-2-1-1-0 | Alta | La recuperación es tu última línea de defensa frente a ransomware. |
| Gestión de parches | Alta | Muchos ataques explotan vulnerabilidades conocidas y corregidas. |
| Inventario de activos | Alta | No puedes proteger lo que no sabes que existe. |
| Principio de mínimo privilegio | Alta | Limita el daño cuando una cuenta o sistema se compromete. |
| Segmentación de red | Media/Alta | Reduce movimiento lateral y separa sistemas críticos. |
| Monitorización y logs | Media/Alta | Permite detectar comportamientos anómalos y responder antes. |
| Plan de respuesta a incidentes | Alta | Evita improvisar durante una crisis. |
| Formación y simulaciones de phishing | Media | Reduce errores humanos y mejora la detección temprana. |
| Cifrado de datos | Constante | Protege información en tránsito y en reposo. |
| Gestión de proveedores | Media/Alta | Tu riesgo también depende de terceros. |
Si tuviera que empezar por solo cinco cosas, serían estas:
- MFA en todo lo crítico.
- Backups probados y aislados.
- Inventario básico de activos y cuentas.
- Parches en sistemas expuestos.
- Plan de respuesta a incidentes probado, aunque sea con un simulacro sencillo.
Cómo empezar si no tienes nada de esto
La ciberseguridad abruma porque parece infinita. Siempre hay otra herramienta, otro informe, otro framework, otro control.
Pero empezar no tiene por qué ser complejo.
1. Haz inventario
Lista lo básico:
- Servidores.
- Aplicaciones críticas.
- Bases de datos.
- Cuentas administradoras.
- Proveedores clave.
- Herramientas cloud.
- Copias de seguridad.
- Dominios y DNS.
Sin inventario, todo lo demás es intuición.
2. Busca los agujeros evidentes
- ¿Hay cuentas sin MFA?
- ¿Hay sistemas sin parches?
- ¿Hay puertos expuestos sin necesidad?
- ¿Hay backups sin probar?
- ¿Hay usuarios antiguos activos?
- ¿Hay contraseñas compartidas?
- ¿Hay servicios publicados sin control?
No empieces por lo sofisticado. Empieza por lo obvio.
3. Prioriza por impacto
No todo tiene el mismo riesgo.
Un servidor de pruebas no vale lo mismo que el ERP. Una cuenta de marketing no tiene el mismo impacto que una cuenta global admin. Una web pública no tiene el mismo riesgo que una base de datos de clientes.
Priorizar no es dejar cosas sin hacer. Es hacer primero lo que más reduce riesgo.
4. Aplica hardening básico
SSH con claves, firewall, actualizaciones, mínimos privilegios, logs, servicios innecesarios fuera, backups y monitorización.
No es glamuroso, pero funciona.
Si gestionas servidores Linux, puedes usar esta guía práctica de hardening como punto de partida.
5. Documenta respuesta a incidentes
Un plan básico vale más que un plan perfecto que nunca se usa.
Como mínimo, documenta:
- Quién coordina.
- A quién se avisa.
- Cómo se aísla un equipo.
- Cómo se preservan evidencias.
- Cómo se comunica internamente.
- Cómo se decide restaurar.
- Qué proveedores hay que contactar.
Y pruébalo.
Una reunión de simulacro de una hora puede descubrir más problemas que veinte páginas de política.
Normativa: GDPR, DORA y NIS2
El panorama regulatorio europeo se ha endurecido claramente.
El GDPR sigue siendo la base en protección de datos personales. No es una norma “de privacidad” aislada de la ciberseguridad: si tratas datos personales, necesitas medidas técnicas y organizativas adecuadas para protegerlos.
DORA, el Reglamento de Resiliencia Operativa Digital, aplica al sector financiero y a determinados proveedores TIC. Desde el 17 de enero de 2025 es plenamente aplicable y exige gestión de riesgo TIC, notificación de incidentes, pruebas de resiliencia y control de proveedores tecnológicos.
NIS2 amplía el marco de ciberseguridad para sectores esenciales e importantes en la Unión Europea. Entró en vigor en enero de 2023 y los Estados miembros debían transponerla antes del 17 de octubre de 2024. Afecta a más sectores, introduce obligaciones de gestión de riesgos, notificación de incidentes y responsabilidad de la dirección.
La conclusión es clara: la ciberseguridad ya no es solo buena práctica. En muchos sectores es obligación regulatoria, responsabilidad de dirección y parte de la continuidad del negocio.
Y aunque tu organización no esté directamente dentro de DORA o NIS2, el estándar de exigencia sube para todos. Clientes, aseguradoras, partners y proveedores cada vez preguntan más por MFA, backups, respuesta a incidentes, continuidad, control de accesos y gestión de terceros.
Lo que no debería faltar
Si tuviera que resumir una estrategia mínima razonable, sería esta:
- Identidad protegida: MFA, mínimos privilegios y revisión de accesos.
- Sistemas actualizados: parches, hardening y servicios innecesarios fuera.
- Datos recuperables: backups 3-2-1-1-0 y pruebas de restauración.
- Red segmentada: separar usuarios, servidores, backups e IoT cuando sea posible.
- Monitorización: logs, alertas y visibilidad sobre lo que ocurre.
- Personas formadas: phishing, procedimientos y cultura de reporte.
- Plan de respuesta: saber qué hacer antes de que pase.
- Proveedores controlados: porque tu seguridad también depende de ellos.
Como parte de esa estrategia, no olvides implementar una política sólida de backups 3-2-1-1-0. Y si gestionas servidores, empieza por el hardening básico de Linux.
Si quieres ver cómo aplico muchas de estas ideas en un entorno de pruebas real, puedes visitar mi homelab. No porque un homelab sea una empresa, sino porque es un laboratorio perfecto para aprender, romper y entender antes de decidir.
Conclusión
La ciberseguridad no es un proyecto con fecha de fin.
Es un proceso continuo que mezcla tecnología, personas, procesos, proveedores, normativa y negocio.
La mejor postura no es el alarmismo ni la complacencia. Es la adopción informada: conocer las amenazas, aplicar medidas básicas, probar lo que dices que tienes y mejorar de forma continua.
No necesitas empezar comprando la herramienta más cara.
Empieza por lo que más reduce riesgo:
- MFA.
- Backups probados.
- Parches.
- Inventario.
- Mínimo privilegio.
- Respuesta a incidentes.
Lo demás vendrá después.
Porque al final, la ciberseguridad no va de tener todos los logos en una diapositiva.
Va de poder responder una pregunta muy sencilla:
Si mañana pasa algo, ¿podemos seguir funcionando?
¿Qué medida de seguridad te ha evitado un problema real? Cuéntalo en los comentarios. Las experiencias reales enseñan más que cualquier checklist perfecto.
Artículos relacionados
Activos TIC: el inventario que sí sirve para algo
6 Jul 2026 · CIO técnico
Gestión de riesgos TIC sin humo: antes del Excel, entiende tu tecnología
30 Jun 2026 · CIO técnico
5 configuraciones DNS que mejoran la privacidad de tu red
21 Jun 2026 · Homelab