Cómo deben responder los líderes empresariales a las nuevas brechas de seguridad, y cómo la inteligencia de ciberamenazas puede ayudar.

El panorama de la ciberseguridad nunca se mantiene estático. En 2025, nuevas herramientas de ataque, el aumento de las tensiones geopolíticas y una creciente actividad hacktivista se combinaron para hacer que la amenaza global fuera mayor y más diversa que nunca.

Los datos lo demuestran. Según el Threat Landscape Report 2025, de Thales, durante el año se divulgaron 48.172 vulnerabilidades, un 18% más que en 2024. El estudio indica que las vulnerabilidades más comunes permitían a los atacantes ejecutar código malicioso de forma remota, robar información sensible de bases de datos o eludir los controles de acceso.

Pero no es solo el volumen de ataques lo que supone un reto para los equipos de seguridad, sino también la velocidad. Los datos revelan que, durante el segundo semestre de 2025, en muchos casos los atacantes tardaron menos de un día en explotar una vulnerabilidad tras su publicación como CVE (Common Vulnerabilities and Exposures). Esta velocidad de ataque deja a las organizaciones con muy poco margen de reacción.

Además de la velocidad, los atacantes también están cada vez más organizados. ¿Un ejemplo? El ataque de zero‑day, que explota una vulnerabilidad de software desconocida para los desarrolladores. El informe señala que los hackers ya no actúan al azar. En su lugar, atacan de forma deliberada vulnerabilidades zero‑day y están utilizando como arma vulnerabilidades recientemente divulgadas (N‑days) más rápido de lo que las organizaciones pueden parchearlas.

Está claro que este panorama de amenazas en constante evolución plantea nuevos retos a los líderes, tanto consejos de administración como del Estado.

Entonces, ¿cómo deberían responder los responsables de la toma de decisiones?

Cada vez más, los Centros de Operaciones de Seguridad (SOC) son conscientes de que los muros defensivos no son suficientes. En su lugar, necesitan recopilar información sobre sus adversarios antes de que ataquen: quiénes son, qué métodos utilizan y cuándo atacarán.

Esta recopilación de información se conoce como Inteligencia de Ciberamenazas (Cyber Threat Intelligence, CTI) (véase más adelante). La CTI combina el conocimiento de los riesgos específicos de un sector con una visión de tendencias más generales. De este modo, la ciberdefensa pasa de ser reactiva a proactiva.

Miguel López Negrete, Global CTI Manager en Thales, ha observado en los últimos años un compromiso creciente de las organizaciones con este enfoque defensivo. «Muchas empresas ya no ven la CTI como un coste, sino más bien como una inversión», afirma. «A medida que aumenta el nivel general de amenaza, la CTI les ayuda a reducir el número de incidentes críticos, y eso supone una ventaja competitiva en muchos casos».

Esto se refleja en el impacto cambiante de los ciberataques en los distintos sectores industriales. Por ejemplo, los datos muestran que en 2025 el sector industrial (producción) fue el más afectado, con 2.801 empresas atacadas, lo que representa el 36,37% del total a través de todos los sectores.

Miguel López Negrete explica:«Los ciberdelincuentes han empezado a centrarse en sectores menos maduros, como el industrial. Si observamos, por ejemplo, al sector bancario, ha invertido mucho en CTI y ciberseguridad, por lo que cada vez resulta más difícil de atacar. Las pequeñas y medianas empresas industriales no están tan bien protegidas. Por eso estamos viendo cómo cada vez más criminales atacan y luego extorsionan a este tipo de organizaciones».

Entonces, ¿qué hay detrás del aumento de la velocidad y el profesionalismo de los atacantes? Como era de esperar, la inteligencia artificial (IA) es el factor central. En el segundo semestre de 2025, el 87% de las organizaciones experimentó al menos un incidente impulsado por IA, mientras que el phishing generado por IA ya representa más del 80% de las amenazas por correo electrónico.

Miguel López Negrete señala que uno de los principales impactos de la IA es cómo democratiza el ciberdelito. «Gracias a la IA, los atacantes ya no necesitan el mismo nivel de conocimiento que antes», afirma. «Pueden utilizarla para crear identidades falsas, malware, campañas e incluso TTPs (Técnicas, Tácticas y Procedimientos) totalmente nuevas que no habíamos visto hasta ahora».

Otro efecto colateral de la automatización impulsada por IA es el auge del modelo de suscripción al cibercrimen. Estos servicios permiten que atacantes sin conocimientos técnicos paguen una pequeña cuota mensual para ejecutar estafas. El  Threat Landscape Report 2025 identifica la “extorsión como servicio” (extortion‑as‑a‑service) como la amenaza de crecimiento más rápido. En este modelo, los delincuentes roban datos sensibles y amenazan con hacerlos públicos para obtener pagos, presionando a las organizaciones incluso cuando existen copias de seguridad sólidas o planes de recuperación ante desastres.

«Los criminales pueden ir a la deep web o dark web y simplemente suscribirse a un servicio de ataque como si fuera Netflix. Creo que esto está detrás del fuerte aumento de los grupos de ransomware que hemos visto en los últimos años». De hecho, los datos muestran que en 2025 se registraron 7.701 incidentes de ransomware (un 51,5% más interanual) y que se identificaron 63 nuevos grupos de ransomware.

Afortunadamente, el impacto de la IA es bidireccional. Miguel López Negrete añade que los equipos de CTI también pueden aprovecharla:
«La IA nos ayuda. Actualmente la utilizamos en toda la operación para mejorar las capacidades de detección y automatizar nuestros procesos. Con estas herramientas podemos ingerir información de una amplia variedad de fuentes, simplificarla y comprender mejor cómo operan los criminales».

Para los líderes empresariales, la lección es clara: la ciberseguridad ya no puede depender únicamente de las defensas perimetrales. En un panorama de amenazas moldeado por la automatización, la inteligencia artificial y el cibercrimen industrializado, las organizaciones deben invertir en seguridad basada en inteligencia, anticipándose a los ataques en lugar de limitarse a reaccionar ante ellos.

Una breve guía sobre la Cyber Threat Intelligence

CTI is cybersecurity’s early warning system. 

La CTI es el sistema de alerta temprana de la ciberseguridad.

La Cyber Threat Intelligence (CTI) se ha convertido en un componente esencial en la lucha contra las ciberamenazas. Según Precedence Research, el mercado global de CTI fue valorado en 16.800 millones de dólares en 2025 y se espera que alcance cerca de 65.000 millones de dólares en 2035.

Los equipos de CTI recurren a una amplia variedad de fuentes para obtener información. Pueden comenzar con inteligencia interna recopilada a partir de los sistemas de los clientes, como registros de seguridad, informes de incidentes y telemetría de red. También exploran inteligencia de fuentes abiertas procedente de foros públicos, incluidos blogs, alertas gubernamentales, redes sociales y otros espacios similares.

Otra opción es pagar por inteligencia curada proporcionada por empresas especializadas en CTI. Y, por último, está la deep web y la dark web: foros de hackers, mercados de credenciales robadas y aplicaciones de mensajería cifrada (como Telegram o Signal), donde actualmente se organiza gran parte del cibercrimen.

Los especialistas en CTI agrupan esta información en tres tipos principales:

• Indicadores de Compromiso (IoCs)
  Direcciones IP maliciosas, dominios, URLs, hashes de archivos y otros indicadores técnicos.
• Indicadores de Ataque (IoAs)
  Patrones de comportamiento que indican un ataque en curso, como intentos de inicio de sesión inusuales o picos anómalos de tráfico de red.
• Técnicas, Tácticas y Procedimientos (TTPs)
  Descripciones de los métodos específicos utilizados por los atacantes, que a menudo se mapean en marcos como MITRE ATT&CK (una base de conocimiento de tácticas y técnicas de adversarios basada en observaciones del mundo real).

Más allá de estas categorías operativas, algunos profesionales también distinguen un cuarto tipo: la inteligencia estratégica de ciberamenazas.

Este tipo de informes se centra menos en la detección o respuesta inmediata y ofrece, en cambio, perspectivas de alto nivel que ayudan a las organizaciones a anticipar riesgos, priorizar inversiones y adaptar su postura global de ciberseguridad a lo largo del tiempo.

Para ayudar a las empresas a actuar a partir de estos conocimientos, los equipos de CTI utilizan técnicas de visualización que transforman grandes volúmenes de datos en representaciones accionables. Estos recursos visuales permiten identificar quién está atacando, desde dónde, cómo están relacionados los distintos actores y cuándo podrían producirse los ataques.

Las herramientas de visualización de datos incluyen mapas geoespaciales o mapas de calor, que muestran cómo se relacionan distintas entidades (direcciones IP, dominios, actores de amenazas, etc.). Otra opción es el uso de líneas de tiempo, que permiten a los equipos seguir cronológicamente cada fase de un ciberataque, evento por evento.

Datos: la evolución de las amenazas de ciberseguridad en 2025

• 48.172 vulnerabilidades notificadas en 2025, un 18% más que en 2024
• Los incidentes de ransomware alcanzaron los 7.701 en 2025, un aumento interanual del 51,5%
• 63 nuevos grupos de ransomware identificados a lo largo del año, lo que supone un incremento del 37% respecto a 2024
• El 87 % de las organizaciones experimentó al menos un incidente impulsado por inteligencia artificial
• 2.801 empresas del sector manufacturero fueron objetivo de ciberataques, lo que representa una de cada tres entre todos los sectores