El tiempo disponible para detectar y contener un ciberataque continúa reduciéndose. El informe Cyber Threat Intelligence Trends 2026 de NTT DATA describe un escenario en el que algunas vulnerabilidades críticas empiezan a explotarse en menos de 24 horas, mientras determinados atacantes pueden avanzar desde el acceso inicial hasta la exfiltración de información en aproximadamente 72 minutos. A esta velocidad se suma un cambio menos visible: permanecer dentro de la infraestructura sin levantar sospechas puede resultar más útil que provocar una interrupción inmediata.
Las claves de Cyber Threat Intelligence 2026 en 30 segundos
- NTT DATA observa ataques más persistentes y discretos, orientados al espionaje, robo de información y extorsión.
- Algunas vulnerabilidades críticas pueden empezar a explotarse en menos de 24 horas y ciertos ciclos de intrusión completarse en unos 72 minutos.
- El ransomware evoluciona hacia modelos donde la exfiltración tiene tanto peso como el cifrado.
- La IA acelera reconocimiento, ingeniería social, phishing y otras tareas ofensivas.
- Cloud, SaaS e identidades legítimas complican la detección.
El cambio obliga a revisar una idea habitual en seguridad: que el objetivo del atacante es causar daños visibles cuanto antes. Una intrusión silenciosa puede proporcionar más oportunidades para descubrir la arquitectura interna, conseguir privilegios, localizar información sensible y preparar posteriormente una extorsión.
El informe también refleja la profesionalización de la economía criminal. Los grandes mercados clandestinos pierden peso frente a intermediarios especializados, canales privados y initial access brokers, actores dedicados a conseguir accesos a organizaciones para venderlos posteriormente a otros grupos.
Menos tiempo para parchear, detectar y responder
La reducción del intervalo entre descubrimiento y explotación de vulnerabilidades tiene consecuencias directas para los centros de operaciones de seguridad (SOC), los equipos de respuesta a incidentes y los administradores de sistemas.
Una vulnerabilidad crítica publicada el lunes puede dejar de ser un problema que se resuelve durante la ventana de mantenimiento del fin de semana. Si existe explotación activa, la prioridad cambia.
Esto convierte la gestión de vulnerabilidades en algo más que ordenar una lista por la puntuación del Common Vulnerability Scoring System (CVSS). La exposición real del activo, la existencia de un exploit, su accesibilidad desde Internet, los privilegios que permitiría conseguir y la presencia de explotación conocida son factores que ayudan a determinar qué debe corregirse primero.
La superficie de ataque tampoco termina en servidores y estaciones de trabajo. VPN, firewalls, dispositivos perimetrales, aplicaciones web, interfaces administrativas, cuentas de servicio, plataformas SaaS y configuraciones cloud forman parte del mismo problema.
La identidad gana especial importancia. Un atacante que consigue utilizar una cuenta válida puede generar actividad aparentemente legítima. El desafío para la defensa pasa entonces de bloquear un ejecutable malicioso a distinguir si una autenticación, una consulta o una transferencia de información corresponde realmente al comportamiento esperado de ese usuario.
Aquí entran controles como la autenticación multifactor resistente al phishing, la gestión de privilegios, la segmentación, el análisis de comportamiento y la correlación de eventos procedentes de diferentes capas de la infraestructura.
La cifra de aproximadamente 72 minutos entre acceso inicial y exfiltración que recoge NTT DATA no debe interpretarse como el tiempo estándar de todos los ataques. Sí sirve para ilustrar un escenario que los equipos defensivos deben contemplar: algunas intrusiones pueden avanzar mucho más deprisa que los procesos internos diseñados para responder a ellas.
La IA reduce el coste de automatizar partes del ataque
La inteligencia artificial añade otra variable. NTT DATA identifica su incorporación en operaciones de reconocimiento, ingeniería social, phishing, generación de contenidos falsos y automatización ofensiva.
Su efecto más inmediato no requiere imaginar malware completamente autónomo. Basta con automatizar tareas que anteriormente consumían tiempo humano.
Un atacante puede utilizar modelos generativos para preparar mensajes adaptados a diferentes empleados, analizar información pública sobre una organización, modificar textos, generar contenido en distintos idiomas o escalar determinadas campañas de ingeniería social.
Los deepfakes amplían además las posibilidades de suplantación mediante voz, imagen o vídeo. En entornos empresariales donde una solicitud aparentemente procedente de un directivo puede desencadenar una transferencia, un cambio de credenciales o la entrega de documentación, verificar la identidad por un segundo canal empieza a adquirir más peso.
La IA también puede favorecer la velocidad. Si parte del reconocimiento, clasificación de objetivos o preparación de campañas se automatiza, un mismo operador puede actuar contra más organizaciones.
Eso no elimina las barreras técnicas de un ataque avanzado ni convierte automáticamente a cualquier delincuente en un grupo sofisticado. Pero sí reduce el coste de determinadas tareas y permite ampliar operaciones que antes requerían más recursos.
El ransomware ya no depende únicamente del cifrado
El ransomware sigue siendo uno de los componentes más visibles del cibercrimen. El informe recoge 2.122 víctimas publicadas durante el primer trimestre de 2026 y señala su presencia en el 48 % de las brechas analizadas. Los diez grupos más activos concentraron el 71,1 % de las víctimas contabilizadas.
Pero medir esta amenaza únicamente por los equipos cifrados ofrece una imagen incompleta.
La exfiltración permite mantener la capacidad de extorsión aunque la organización disponga de copias de seguridad funcionales. Una empresa puede recuperar sus servidores y continuar enfrentándose a la amenaza de publicación de información confidencial, datos personales, contratos o documentación interna.
Por eso la estrategia de defensa frente al ransomware necesita contemplar dos escenarios distintos: recuperar los sistemas y detectar la salida de información.
También resulta relevante el abuso de servicios legítimos. Plataformas cloud, herramientas SaaS y otros servicios utilizados diariamente por las empresas pueden mezclarse con el tráfico normal y proporcionar al atacante mecanismos para mantener persistencia o mover información.
NTT DATA sitúa además a administraciones públicas y gobiernos como el sector con más incidentes, con 3.343 durante el semestre analizado. Le siguen educación, con 1.140; servicios financieros, con 957; tecnologías de la información, con 802; y telecomunicaciones, con 614.
| Sector | Incidentes |
|---|---|
| Administración pública y gobiernos | 3.343 |
| Educación | 1.140 |
| Servicios financieros | 957 |
| Tecnologías de la información | 802 |
| Telecomunicaciones | 614 |
El informe relaciona parte de esta actividad con un escenario geopolítico más complejo, donde ciberespionaje, delincuencia económica y operaciones vinculadas a intereses estatales pueden compartir técnicas, infraestructuras e intermediarios.
Para los responsables de seguridad, una de las consecuencias es que cumplimiento y resiliencia no pueden utilizarse como sinónimos. Una organización puede superar una auditoría y seguir teniendo tiempos de detección demasiado elevados, cuentas con privilegios excesivos, activos desconocidos o copias de seguridad que nunca se han probado mediante una restauración real.
Cuando determinadas intrusiones pueden medirse en minutos, métricas como el tiempo medio de detección (MTTD) y el tiempo medio de respuesta (MTTR) dejan de ser indicadores secundarios. Saber qué activos existen, cuáles están expuestos, quién tiene privilegios, qué información está abandonando la red y cuánto se tarda realmente en aislar un sistema comprometido ofrece una visión más próxima de la capacidad defensiva real.
Preguntas frecuentes
¿Puede un atacante robar datos en poco más de una hora?
NTT DATA recoge escenarios donde el recorrido desde el acceso inicial hasta la exfiltración puede reducirse a aproximadamente 72 minutos. No es una duración aplicable a todas las intrusiones, pero muestra el nivel de velocidad que los equipos de respuesta deben contemplar.
¿Cómo está utilizando la IA el cibercrimen en 2026?
El informe identifica usos relacionados con reconocimiento, phishing personalizado, deepfakes, ingeniería social y automatización de tareas ofensivas. Su principal efecto es reducir trabajo manual y permitir operar a mayor velocidad o escala.
¿Por qué las copias de seguridad ya no bastan contra el ransomware?
Las copias siguen siendo esenciales para recuperar sistemas, pero muchos atacantes roban información antes de cifrarla. Una restauración correcta no elimina el riesgo de extorsión asociado a los datos exfiltrados.
¿Qué deberían vigilar los equipos de ciberseguridad además del malware?
Identidades comprometidas, accesos privilegiados, servicios expuestos, movimientos laterales, transferencias anómalas de información y actividad sospechosa en plataformas cloud y SaaS son algunos de los elementos que adquieren mayor importancia ante ataques de bajo perfil.
