Ciberseguridad: los básicos para empresas

El balance de cibercriminalidad publicado por el Ministerio del Interior ofrece un titular contradictorio: por primera vez, el número total de ciberdelitos bajó, un dato que podría leerse como un éxito, si no fuera porque, al mismo tiempo los ataques contra operadores esenciales –energía, transporte, finanzas– casi se duplicaron con un incremento del 97,5 %.

Este contraste ilustra a la perfección el momento que vive la ciberseguridad en España: los delitos de consumo masivo empieza a frenarse gracias a una mayor concienciación y a las inversiones por parte de las empresas en protegerse. En cambio las amenazas más sofisticadas, aquellas que apuntan a la productividad de un país, no paran de crecer.

Según el informe del Centro Criptológico Nacional Computer Emergency Response Team (CCN-CERT) de Ciberamenazas y Tendencias la explotación de vulnerabilidades en dispositivos perimetrales-routers, firewalls, VPNs- se ha convertido en la vía favorita de entrada de ataques. Paradójicamente esta brecha suele producirse en productos que se utilizan a diario. La falta de mantenimiento sigue siendo muy caro.

La Comunidad Valenciana toma la delantera

El Museo de las Ciencias de València acogió la II Jornada de Ciberseguridad Industrial en torno a una pregunta central: ¿está preparada la industria valenciana para sobrevivir a un ciberataque?. La respuesta llegó de manos de El Centro Valenciano de Ciberseguridad que presentó la Estrategia Industrial de Ciberseguridad. Una hoja de ruta diseñada y pensada para “consolidar un ecosistema industrial seguro, resiliente y competitivo”.

La creciente digitalización de los procesos productivos y la interconexión de sistemas de control industrial – los llamados entornos OT (tecnología operativa)- han aumentado de forma significativa este tipo de ataques. El sistema de gestión de energía o el CRM puede suponer la puerta de entrada a una empresa. En este aspecto el CCN-CERT alerta de que los sistemas industriales son una de las tendencias de amenaza más preocupantes para los próximos años.

Panorama de los ataques

En el informe, la misma entidad detalla un ecosistema criminal que está en plena transformación. El secuestro de datos a cambio de rescate sigue siendo el cibercrimen más utilizado. En cambio como todo lo relacionado con la tecnología ha evolucionado.

Ahora la novedad más relevante es la consolidación del modelo Malware-as-a-Service (MaaS): los atacantes ya no necesitan ser expertos técnicos. Pueden alquilar herramientas sofisticadas por una tarifa mensual, lo que democratiza el crimen digital y lo pone al alcance de actores sin experiencia previa.

En cuanto al perfil del delicuente detenido en España, el Ministerio del Interior traza el retrato en hombre de entre 18-25 años de nacionalidad española. En cambio, el perfil de los ataques más dañinos como son el espionaje, suelen atribuirse a grupos organizados.

El riesgo para las bases de datos

En el momento del ciberataque es importante el estado en el que se encuentre las bases de datos de la empresa. Francisco Racionero, especialista de Aleson ITC lo tiene claro: la conversación sobre ciberseguridad se ha desplazado a los dispositivos, correos y usuarios, pero lo que marca la diferencia a la hora de decidir si una empresa sobrevive o no a un incidente, sigue siendo la base de datos.

El mito de la plataforma segura

Cuando se le pregunta a Racionero por las vulnerabilidades más exploradas en Microfoft 365 y Azure, este empieza por desmontar una creencia extendida: “Trabajar en Microsoft no equivale a estar seguro. Las grandes brechas que vemos rara vez se deben a un fallo del producto. Lo que se explota casi siempre son configuraciones débiles, identidades mal protegidas y dato mal gobernados. El atacante no entra por una puerta blindada. Entra por la ventana que el cliente ha dejado abierta sin saberlo”.

Las empresas se dividen entre las que han sido atacadas y las que lo serán

Aleson ITC, maneja un principio que resumen bien el estado de la amenazada: existen dos tipos de empresas, las que han sido atacadas y las que lo serán. A la hora de recomendar soluciones concretas, Racionero rechaza la tentación habitual del sector: “Una empresa no es más segura por tener más herramientas, si no por tener las capas adecuadas bien configuradas y sobre todo probadas”.

Las pymes españolas ante el reto de la ciberseguridad

El estudio de la Industria de la Ciberseguridad 2025, elaborado por Incibe y CONETIC, refleja una clara expansión en el sector pero con enormes brechas. La mayoría de pymes españolas no cuentan con un especialista dedicado a la seguridad, carecen de un plan de respuesta ante ataques y no realizan autorías periódicas. La digitalización ha llegado antes que la protección.

Por suerte, Incibe, junto a este informe, también publica una guía de gestión de riesgos donde ofrece un marco metodológico claro: identificar activos críticos, evaluar amenazas y vulnerabilidades, calcular el nivel de riesgo y actuar. Un proceso que muy pocas pymes siguen de forma estructurada.

La pregunta no es si una empresa será atacada o no si no cuándo lo será. Y ante este escenario, Incibe propone una actuación en tres fases: prevención (con medidas técnicas y formación), detección (monitorización de sistemas) y respuesta (planes probados y actualizados).

Tres medidas que toda pyme debería implementar

• Control en todos los accesos corporativos. El robo de credenciales es la vía de entrada más frecuente y esta medida lo dificulta sin requerir grandes inversiones.
• Verificación periódica de su integridad. El ataque cifra todo lo que está conectado; una copia aislada puede ser la diferencia entre sobrevivir o no a un ataque.
• Formación para todos los empleados. Más del 70% de los incidentes comienza con un clic humano en un correo o enlace malicioso. Es por ello que la formación básica en phishing es fundamental.

El escenario de las amenazas de 2026 es más complejo que el de hace unos años, pero también hay más herramientas, más regulación y más conciencia. España ha dado pasos relevantes: el descenso histórico en ciberdelitos de consumo, la apertura de centros de innovación, la creciente colaboración público-privada.

Pero la brecha entre lo que se necesita y lo que existe en la mayoría de pymes sigue siendo preocupante. La ciberseguridad ha dejado de ser un coste extra para convertirse en una condición de supervivencia empresarial. Las empresas que lo entiendan antes tendrán, además, una ventaja competitiva: clientes más confiados, procesos más resilientes y acceso a mercados —especialmente públicos— que cada vez exigen mayores garantías de seguridad.

Los escudos digitales de la Administración Pública

El Estado también se arma de especialistas. La señal más clara de que la ciberseguridad ha dejado de ser una preocupación periférica para convertirse en una prioridad de Estado llega desde el BOE. El Consejo de Ministros ha aprobado la Oferta de Empleo Público 2026 con una novedad histórica: por primera vez se convocan plazas específicas para especialistas en inteligencia artificial, ciberseguridad y ciencia del dato. En total, la oferta incluye 1.700 plazas para cuerpos TIC, un 42% más que en 2025, con pruebas por especialidad en ciberseguridad dentro del Cuerpo Superior de Sistemas y Tecnologías de la Información. Un reconocimiento implícito de que proteger las infraestructuras públicas ya no puede depender solo de la contratación externa.

La ciberseguridad ha dejado de ser el problema de unos pocos para convertirse en la columna vertebral de la economía digital española. Desde la pyme que todavía no tiene un plan de respuesta hasta el operador crítico que sufrió el doble de ataques que el año anterior, pasando por una Administración que por fin empieza a formar sus propios especialistas, el diagnóstico es unánime: la amenaza no espera. España tiene más herramientas, más regulación y más conciencia que nunca, pero la velocidad a la que evoluciona el crimen digital —con modelos de malware de alquiler, ataques a infraestructuras industriales y credenciales robadas como puerta de entrada— exige que empresas, instituciones y ciudadanos dejen de reaccionar para empezar a anticiparse.

La pregunta ya no es si tu empresa será atacada. La pregunta es si habrás hecho los deberes antes de que ocurra. Ya que la industria crece porque la amenaza no para.