admin
El informe Tendencias CTI Inteligencia de ciberamenazas de NTT DATA correspondiente al primer semestre de 2026, presentado la semana pasada, refleja una aceleración operativa del ciclo de ataques en estos primeros seis meses. En el caso de España, revela que nuestro país registró entre enero y junio un incremento del 45% de los incidentes graves de ciberseguridad. Este aumento viene impulsado por el crecimiento del fraude online, el phishing y los ataques dirigidos a organizaciones que gestionan grandes volúmenes de datos y transacciones.
Así, en España hubo 879 incidentes reconocidos entre enero y junio. Aunque nuestro país es el menos afectado de las cinco grandes economías europeas (Reino Unido sufrió 3.448 incidentes y Francia 2.750), estamos ante un aumento significativo -el citado 45%- respecto a los 605 registrados en la segunda mitad de 2025.
Si nos fijamos en el Balance de Criminalidad del Ministerio del Interior correspondiente al primer trimestre de 2026, vemos que el cibercrimen ya supone el 20,6% de la criminalidad registrada en España. Dentro de los ciberdelitos, las estafas informáticas concentran el 90,2% de toda la cibercriminalidad de este periodo.
El estudio observa que el fraude, la extorsión, el abuso de identidad y la exposición de terceros “actúan como vectores conectados, no como fenómenos aislados”. Las grandes amenazas que marcan el primer semestre del año son tres: fraude masivo, riesgo asociado a proveedores externos, y ransomware y extorsión contra servicios muy sensibles a la interrupción (energía, transporte, defensa, Administraciones públicas).
La primera idea clave es que el fraude digital se ha consolidado como el vector principal del panorama de amenazas español. Como se vio en el incidente sufrido por Endesa, el valor del acceso no autorizado no reside solo en la exposición inicial de datos, sino en su posible reutilización para acciones de suplantación, phishing, spam o intentos de fraude contra clientes. “Este patrón se refuerza en el ámbito turístico, especialmente relevante para España”, continúa el informe, que recuerda que en mayo la Agencia Española de Protección de Datos (AEPD) alertó de un aumento de brechas vinculadas a establecimientos hoteleros y plataformas de gestión de reservas, cuyos datos se usaban para contactar con clientes y dar verosimilitud a la reclamación de pagos fraudulentos.
La segunda tendencia es el desplazamiento del perímetro efectivo de seguridad hacia los proveedores, plataformas externas y encargados de tratamiento. Desde el punto de vista de la inteligencia de amenazas, esto fortalece la idea de que la cadena de suministro digital ya no es un riesgo periférico, sino “una extensión real de la superficie de ataque”, sostiene el informe de NTT DATA.
Como tercera línea de presión encontramos el ransomware y la extorsión contra servicios clave que tienen una baja tolerancia a la interrupción. Los ataques al Puerto de Vigo -que afectó a servicios digitales y gestión logística- o al Ayuntamiento de Valdemoro -que impidió trámites y consultas y obligó a la suspensión de plazos administrativos- son dos ejemplos significativos. No olvidemos que, según el informe, España está en el top 15 de países más afectados por el ransomware. Asimismo, el hacktivismo mantiene cierta capacidad de presión simbólica y operativa en España. Este tipo de actores buscan visibilidad, interrupción temporal y desgaste institucional de ministerios, partidos e instituciones públicas, como es el caso de los integrantes de Anonymous Fénix detenidos por ataques DDoS.
Sandra Somastre González, investigadora del equipo de Ciberamenazas de NTT DATA España, considera que “el incremento observado en España refleja una combinación de mayor exposición digital y una profesionalización creciente de los actores maliciosos. El sector turístico constituye un ejemplo representativo de cómo la exposición ya no depende únicamente de la seguridad de una organización concreta”.
En resumen, el panorama español reflejado por el informe apunta a un ciberriesgo “marcado por la convergencia entre fraude masivo, exposición de datos, dependencia de terceros y ataques disruptivos contra servicios públicos y sectores estratégicos”. ¿Cómo afrontarlo? Para NTT DATA, no basta con reforzar la tecnología. También es necesario mejorar la gobernanza de los proveedores, la gestión de identidad, la autenticación fuerte, la resiliencia operativa y la detección temprana de accesos anómalos, antes de que el incidente se convierta en fraude, extorsión o interrupción de servicio.
Panorama global
En un entorno marcado por la combinación de geopolítica, exposición digital, dependencia de terceros, explotación rápida de vulnerabilidades y monetización de identidades comprometidas, la principal diferencia observada en este semestre frente a periodos anteriores es “la capacidad de convertir vectores de amenaza conocidos en campañas más rápidas, escalables y difíciles de contener”.
El informe Tendencias CTI Inteligencia de ciberamenazas señala a los sospechosos habituales entre las principales ciberamenazas globales: la continuidad del ransomware, la explotación de vulnerabilidades, el uso de infostealers, la ingeniería social impulsada por inteligencia artificial, la expansión del cloud y el SaaS, y los ataques disruptivos contra infraestructuras críticas. La explotación de vulnerabilidades ya supera al robo de credenciales como principal vía de acceso inicial, lo que refleja la velocidad con la que los cibercriminales son capaces de aprovechar fallos públicos. El ransomware estuvo presente en el 48% de las brechas analizadas, con grupos como Qilin, Akira o The Gentlemen, mientras que en el primer trimestre del año se registraron 2.122 víctimas de ataques publicadas en sitios de filtración.La sección de vulnerabilidades del informe apunta hacia la explotación activa de las mismas, la exposición real y la criticidad operativa como elementos en los que deben centrarse las prioridades defensivas.
Respecto al impacto económico del cibercrimen, ha superado los 12,5 billones de dólares anuales, con un coste medio por brecha de 4,44 millones de dólares. En contraposición, la inversión media para conseguir un acceso malicioso ha caído hasta los 439 dólares, menos de la tercera parte de los 1.427 que costaba hace solo tres años. Lanzar un ataque es más barato que nunca, lo que amplía la base de actores capaces de monetizar intrusiones.
En este marco, un aspecto positivo es que la normativa legal y la acción policial van avanzando hacia respuestas más operativas.
En el caso legal, la Cyber Resilience Act europea, la Certificación del Modelo de Madurez de Ciberseguridad (CMMC) estadounidense, las nuevas guías NIST y las reformas normativas en distintas regiones han fortalecido las exigencias sobre seguridad de producto, protección de infraestructuras críticas, relaciones con proveedores y reporte de incidentes.
