Infoblox, plataforma especializada en seguridad preventiva y gestión de servicios críticos de red, ha publicado su esperado informe 2026 Threat Landscape Report, una radiografía exhaustiva de cómo el cibercrimen se ha transformado en una industria global automatizada. El dato más alarmante del estudio, que analiza miles de millones de consultas DNS y transacciones delictivas, es que casi el 25% de los 120 millones de dominios recientemente observados presentaban un riesgo alto o crítico. Esta cifra no solo revela la escala masiva de la infraestructura desechable que los atacantes utilizan para sus operaciones, sino que también pone en entredicho la eficacia de las estrategias de seguridad tradicionales, centradas casi exclusivamente en la detección y la respuesta.
La industrialización del cibercrimen: cuatro dimensiones que redefinen la amenaza
El informe de Infoblox no se limita a enumerar estadísticas; descompone la actividad maliciosa en cuatro dimensiones interconectadas que explican cómo opera el cibercrimen moderno: la industrialización de los servicios, las infraestructuras ocultas, los señuelos en constante evolución y la expansión de la superficie de ataque. Cada una de estas dimensiones representa un pilar sobre el que los atacantes construyen campañas más rápidas, más escalables y más difíciles de neutralizar.
La industrialización permite que proveedores especializados ofrezcan desde alquiler de bots hasta sistemas de distribución de tráfico (TDS) como servicio, lo que reduce la barrera de entrada para ciberdelincuentes con pocos conocimientos técnicos. Las infraestructuras ocultas, por su parte, aprovechan redes proxy residenciales y dominios efímeros para camuflar el tráfico malicioso como actividad legítima. Los señuelos —páginas de phishing, estafas de suplantación, ofertas fraudulentas— evolucionan constantemente para eludir filtros. Y la expansión de la superficie de ataque, impulsada por la hiperconectividad y el crecimiento de dispositivos IoT, abre nuevas puertas de entrada a las redes corporativas.
25% de dominios con riesgo crítico: la magnitud de la infraestructura desechable
Uno de los hallazgos centrales del 2026 Threat Landscape Report es que, de los 120 millones de dominios observados por primera vez durante el período de estudio, aproximadamente uno de cada cuatro representaba un riesgo alto o crítico. Esta proporción refleja la enorme escala de la denominada infraestructura desechable (disposable infrastructure), un modelo en el que los atacantes registran dominios masivamente, los utilizan durante periodos brevísimos para lanzar ataques y luego los abandonan, dificultando enormemente su rastreo y bloqueo.
¿Qué significa esto en la práctica? Que los defensores se enfrentan a un blanco móvil: mientras las listas de bloqueo se actualizan, los atacantes ya han rotado sus dominios decenas de veces. El informe de Infoblox cuantifica este fenómeno con precisión: el 88% de los dominios relacionados con amenazas se observaron en un solo entorno de cliente, lo que indica que fueron creados específicamente para atacar a una organización concreta. Más revelador aún, el 44% de esos dominios estuvieron activos solo un día. Es decir, casi la mitad de la infraestructura maliciosa desaparece en menos de 24 horas, antes de que los sistemas de seguridad puedan reaccionar.
Los TDS: la amenaza más frecuente, presente en más del 95% de las redes
Si hay un vector que destaca por su omnipresencia, ese es el sistema de distribución de tráfico (TDS). Según Infoblox, los TDS afectan a más del 95% de las redes analizadas. Se trata de una infraestructura especialmente difícil de detectar porque su función —redirigir tráfico— es legítima en contextos publicitarios o de marketing. Los atacantes la explotan para dirigir a las víctimas hacia páginas de malware, phishing o estafas, aprovechando que el tráfico pasa por cadenas de redireccionamiento que enmascaran el destino final.
Los TDS operan como un embudo: un usuario hace clic en un enlace aparentemente inocuo, es redirigido a través de varios servidores intermediarios y termina en una página controlada por el atacante. Cada salto dificulta la trazabilidad y permite al delincuente segmentar a las víctimas según su perfil (geolocalización, navegador, sistema operativo) para mostrarles la amenaza más efectiva en cada caso. La dificultad para detectar los TDS radica en que el tráfico malicioso se mezcla con redirecciones legítimas, y solo un análisis profundo de las cadenas DNS puede revelar la verdadera naturaleza de la comunicación.
Infraestructuras efímeras: el 44% de los dominios maliciosos vive menos de 24 horas
El concepto de infraestructura efímera es clave para entender por qué las defensas tradicionales están perdiendo la batalla. Los atacantes ya no necesitan mantener servidores durante semanas o meses; pueden alquilar dominios y servidores por horas, lanzar una oleada de ataques y desmantelar todo antes de que los equipos de seguridad puedan completar el análisis forense. Infoblox documenta que el 44% de los dominios asociados a amenazas estuvieron activos solo un día, y el 88% aparecieron en un único cliente, lo que sugiere una personalización extrema del ataque.
Esta estrategia tiene implicaciones profundas para la ciberseguridad empresarial. Los sistemas basados en listas negras o firmas estáticas quedan obsoletos antes de actualizarse. La detección debe pasar de ser reactiva a predictiva, apoyándose en inteligencia de amenazas en tiempo real y en el análisis de comportamiento de red. Las organizaciones que todavía confían en bloqueos por reputación de dominio están, según los datos de Infoblox, operando con una ventaja de información muy desfavorable.
Redes proxy residenciales: el 65% de los clientes consultaron dominios asociados
Otro dato que ilustra la sofisticación del ecosistema criminal es que el 65% de los clientes de Infoblox Threat Defense consultaron dominios vinculados a redes proxy residenciales. Estas redes utilizan direcciones IP de hogares reales —a menudo obtenidas mediante malware o aplicaciones que los usuarios instalan voluntariamente a cambio de compensaciones económicas— para hacer pasar tráfico malicioso por tráfico legítimo. Para un firewall o un sistema de detección de intrusiones, una conexión proveniente de una IP residencial parece perfectamente normal. El atacante se oculta tras el tráfico cotidiano de usuarios reales.
Este mecanismo es particularmente peligroso porque erosiona la confianza en las listas de reputación de IP. Muchas organizaciones siguen utilizando geobloqueo o listas blancas basadas en rangos de IP corporativos, pero los proxies residenciales permiten a los atacantes operar desde direcciones que cualquier sistema consideraría benignas. La única defensa efectiva pasa por analizar el comportamiento de las conexiones: quién se comunica con quién, con qué frecuencia, con qué patrones de tráfico, en lugar de confiar ciegamente en la reputación de la IP de origen.
Aumento del 62% interanual en dominios de estafa: suplantación, robo de identidad y fraude financiero
El informe también revela un crecimiento explosivo de los dominios dedicados a estafas, que aumentaron un 62% respecto al año anterior. Estos dominios se utilizan para campañas de suplantación de identidad (phishing), robo de credenciales y datos personales, y fraudes financieros de todo tipo. La cifra es consistente con la tendencia a la industrialización: los atacantes ya no crean páginas de phishing artesanales, sino que utilizan kits automatizados que generan sitios idénticos a los legítimos en cuestión de segundos, y los alojan en infraestructuras efímeras que desaparecen tras capturar unas pocas docenas de credenciales.
Este incremento no es casual. La disponibilidad de IA generativa permite crear textos de phishing muy convincentes, adaptados al idioma y al contexto de la víctima, sin errores gramaticales que delaten la estafa. Combinado con la infraestructura desechable y los TDS, el resultado es un ecosistema donde la relación coste-beneficio para el atacante es extremadamente favorable: los costes de lanzar una campaña son mínimos, y las probabilidades de ser detectado antes de completar el robo son bajas.
Por qué las estrategias de detección y respuesta ya no son suficientes
La conclusión implícita en todos los datos del 2026 Threat Landscape Report es que el paradigma de seguridad centrado en detectar y responder —el famoso “asumir la brecha”— está llegando a sus límites. Cuando el 44% de los dominios maliciosos vive menos de 24 horas, cuando los TDS afectan al 95% de las redes y cuando el 65% de las organizaciones ya está lidiando con proxies residenciales, el tiempo de detección y respuesta se vuelve irrelevante si no se cuenta con capacidades de anticipación.
La seguridad preventiva, que es precisamente el ámbito en el que opera Infoblox, propone un enfoque diferente: bloquear las amenazas antes de que se materialicen, utilizando inteligencia de DNS y datos de red para identificar patrones de infraestructura maliciosa en lugar de esperar a que un usuario haga clic en un enlace o un malware se ejecute. Esto implica monitorizar en tiempo real la creación de nuevos dominios, analizar las cadenas de resolución DNS y detectar comportamientos anómalos en el tráfico antes de que la amenaza llegue al endpoint.
La IA como acelerador del cibercrimen: capacidades sofisticadas al alcance de cualquiera
Uno de los mensajes más potentes del informe, y que merece un análisis detenido, es que el cambio más importante no es que los atacantes se hayan vuelto más sofisticados —aunque también—, sino que las capacidades sofisticadas se han generalizado. La IA de última generación, los servicios criminales especializados y la infraestructura oculta ya no son patrimonio de grupos avanzados con recursos millonarios. Cualquier delincuente con unos pocos cientos de dólares puede alquilar un TDS, comprar un kit de phishing con IA integrada y alojar su campaña en una red proxy residencial.
Esta democratización del cibercrimen tiene un efecto multiplicador. El ritmo de crecimiento de las amenazas se acelera, no porque haya más hackers geniales, sino porque las herramientas para atacar están empaquetadas, automatizadas y listas para usar. Las organizaciones que no incorporen inteligencia artificial y automatización en sus defensas se enfrentan a una asimetría insalvable: sus adversarios operan con velocidad de máquina mientras ellas siguen dependiendo de procesos manuales o semiautomatizados.
Renée Burton, VP de Infoblox Threat Intel: “las capacidades sofisticadas se han generalizado”
Renée Burton, vicepresidenta de Infoblox Threat Intel, resume el diagnóstico con claridad: “El informe de este año ilustra la maquinaria del cibercrimen en la actualidad, una economía criminal conectada globalmente donde la IA de vanguardia, los servicios criminales especializados y la infraestructura oculta han transformado la forma en que se crean, intercambian y despliegan los ataques. El cambio más importante no radica en que los atacantes se hayan vuelto más sofisticados, sino en que las capacidades sofisticadas se han generalizado, lo que ha alterado el ritmo de crecimiento del cibercrimen y ha puesto en entredicho las estrategias de seguridad centradas principalmente en la detección y la respuesta.”
Esta declaración es un llamamiento directo a la industria para que abandone la mentalidad reactiva. Si las capacidades ofensivas están disponibles de forma masiva, la única respuesta sostenible es adoptar un modelo de seguridad preventiva que opere en la misma escala y con la misma velocidad que los atacantes. Esto implica invertir en inteligencia de amenazas, análisis de comportamiento, automatización de respuesta y, sobre todo, en visibilidad sobre la capa de DNS, que sigue siendo una de las fuentes más ricas de telemetría sobre infraestructura maliciosa.
Lo que las organizaciones deben hacer a la luz del informe
Aunque el panorama que dibuja el 2026 Threat Landscape Report es sombrío, también ofrece pistas concretas sobre cómo mejorar la postura de seguridad. La primera es reconocer que el DNS no es solo un protocolo de resolución de nombres, sino un vector de ataque y, al mismo tiempo, una fuente de inteligencia invaluable. Las consultas DNS que genera cualquier dispositivo en la red revelan conexiones con servidores de comando y control, descargas de malware, redirecciones maliciosas y comunicaciones con proxies.
La segunda lección es que la infraestructura desechable exige defensas dinámicas. Bloquear dominios conocidos ya no es suficiente; hay que identificar dominios recién registrados, analizar su comportamiento y correlacionar esa información con otras señales de la red. Los sistemas de seguridad deben ser capaces de evaluar el riesgo de un dominio en tiempo real, incluso si nunca antes se había visto.
La tercera es que la colaboración y el intercambio de inteligencia son más importantes que nunca. Ninguna organización por sí sola puede monitorizar los 120 millones de dominios que aparecen cada año. Las plataformas de inteligencia de amenazas que agregan datos de miles de clientes, como hace Infoblox Threat Intel, tienen una ventaja decisiva porque pueden detectar patrones globales que pasarían desapercibidos a nivel local.
Por último, el informe subraya la necesidad de formar equipos de seguridad capaces de interpretar datos de red y de DNS, no solo de manejar herramientas de endpoint. La caza de amenazas (threat hunting) basada en infraestructura es una disciplina que muchas organizaciones aún no han desarrollado, y los datos del estudio sugieren que quienes no lo hagan quedarán expuestos a ataques que sus defensas tradicionales ni siquiera alcanzarán a ver.
El ecosistema criminal descrito por Infoblox no es una predicción lejana; es la realidad operativa del cibercrimen en 2026. Las organizaciones que sigan confiando en estrategias de detección y respuesta sin incorporar capacidades preventivas y de inteligencia en tiempo real se enfrentarán a una desventaja estructural difícil de remontar. El informe no deja espacio para la complacencia: el 25% de los nuevos dominios ya son riesgosos, y la tendencia apunta a que esa proporción seguirá creciendo. Prepararse no es una opción, es una necesidad estratégica.
