La convergencia entre inteligencia artificial y cibercrimen industrializado ha mutado el panorama digital hasta convertirlo en un entorno de amenaza permanente y acelerada. Durante el primer semestre de 2026, el centro de operaciones de seguridad de Inetum LiveSOC registró más de 60.000 alertas y gestionó más de 22.000 incidentes, de los cuales cerca del 40% fueron clasificados con gravedad alta o crítica. Son las cifras centrales del informe Mid-Year Threat Landscape 2026, elaborado por el equipo de Inetum LiveSOC, que describe un ecosistema criminal cada vez más automatizado, profesionalizado y condicionado por el contexto geopolítico global.
El dato del 40% de incidentes graves no es un accidente estadístico. Evidencia una madurez del atacante que ya no actúa de forma aislada, sino integrado en una cadena de producción delictiva con roles definidos, infraestructuras compartidas y estrategias de evasión en constante evolución. Las organizaciones públicas y privadas no enfrentan únicamente más amenazas; enfrentan amenazas que aprenden, se adaptan y se ejecutan en tiempo real.
IA y cibercrimen industrializado: la nueva maquinaria de ataque
El modelo artesanal del ciberataque aislado ha dado paso a una lógica de fábrica. Los atacantes automatizan la exploración de vulnerabilidades, la generación de señuelos personalizados, la distribución de malware y la gestión de las infraestructuras comprometidas. El informe de Inetum confirma que el malware, los intentos de intrusión y el fraude concentran más del 60% de los casos detectados, una proporción que refleja un negocio estructurado en torno a las vías de ataque más rentables.
La inteligencia artificial actúa como multiplicador de esta industria. Reduce los costes de creación de campañas maliciosas, acelera los ciclos de explotación y complica la detección mediante técnicas que imitan el comportamiento humano o generan contenido falso casi indistinguible del real. Ya no es necesario que un operador humano redacte cada correo o planifique cada fase del ataque; la máquina lo hace por él, a escala global y con una capacidad de aprendizaje continuo.
| Dato | Cifra | Implicación operativa |
|---|---|---|
| Alertas gestionadas por LiveSOC | Más de 60.000 | Volumen que exige automatización de la respuesta |
| Incidentes gestionados | Más de 22.000 | Supera los 120 incidentes diarios durante el semestre |
| Incidentes de gravedad alta o crítica | Cerca del 40% | Aproximadamente 8.800 incidentes requirieron acción urgente |
| Incidentes de malware, intrusión y fraude | Más del 60% | Predominio claro de las tres familias de ataque principales |
Más de 22.000 incidentes en un semestre: la gravedad como nueva normalidad
Gestionar 22.000 incidentes en seis meses equivale a más de 120 casos cada día. La cifra por sí sola ya desborda la capacidad de cualquier equipo humano de respuesta, lo que explica por qué la automatización defensiva se ha convertido en una necesidad estructural y no en una opción tecnológica. Pero el dato más revelador es la proporción de incidentes graves: casi cuatro de cada diez requirieron atención inmediata, lo que implica no solo una alta presión operativa, sino también una selección minuciosa de objetivos por parte de los atacantes.
La distribución del ataque también ha cambiado. El malware sigue siendo la herramienta básica, pero los intentos de intrusión revelan un conocimiento previo de las redes atacadas, y el fraude exhibe un aprovechamiento intensivo de la identidad humana como superficie de explotación. Esta combinación sugiere que la delincuencia digital ha dejado de disparar al azar: observa, selecciona, prueba y ajusta sus tácticas en función de las defensas que encuentra.
El arsenal de la IA: phishing adaptativo, deepfakes y ransomware autónomo
El phishing continúa siendo la principal vía de acceso inicial, pero su naturaleza ha cambiado por completo. Según el análisis de Inetum, el 83% de las campañas de phishing detectadas ya incorporan capacidades basadas en inteligencia artificial. Esto significa que los correos fraudulentos se redactan con el contexto de la víctima, imitando el estilo de sus proveedores, compañeros y plataformas habituales, y se envían en el momento más oportuno. El resultado es una eficacia mucho mayor con una inversión menor.
El auge del vishing —la estafa telefónica mediante voz sintética— y de los deepfakes hiperrealistas está llevando la suplantación de identidad un paso más allá. Los analistas de Inetum advierten que estas técnicas pueden comprometer incluso cuentas protegidas mediante autenticación multifactor, porque el eslabón humano de la verificación —una llamada, un vídeo, una instrucción de voz— puede ser falsificado con una calidad que engaña al propio usuario y a los sistemas de control.
En el terreno del ransomware, la IA ya no es un complemento experimental, sino una pieza estructural. Tal como explica Manuel Castillo, director de Global Security Operations (SOC) en Inetum: “La inteligencia artificial se ha convertido en un factor decisivo en la evolución del ciberdelito. La automatización de campañas de ransomware, phishing y fraude digital está permitiendo a los atacantes desarrollar operaciones más rápidas, escalables y difíciles de detectar. En el ámbito del ransomware, identificamos un ecosistema cada vez más profesionalizado y un crecimiento de las campañas potenciadas por IA, que ya estarían presentes en cerca del 80% de los ataques”.
Ese 80% implica que la mayoría de las infecciones de ransomware ya no dependen de la pericia de un operador humano para propagarse dentro de la red, cifrar sistemas, exfiltrar datos y negociar el rescate. El software malicioso ejecuta la cadena completa de forma autónoma, modificando su comportamiento según las respuestas de los sistemas defensivos que encuentra.
¿Cómo utiliza la inteligencia artificial el cibercrimen?
La inteligencia artificial se utiliza a lo largo de toda la cadena de ataque: para generar campañas de phishing personalizadas a escala, crear deepfakes de voz y vídeo que eluden la autenticación multifactor, automatizar la explotación de vulnerabilidades y optimizar las operaciones de ransomware. El informe de Inetum cuantifica su alcance: el 83% del phishing detectado y cerca del 80% de los ataques de ransomware ya están potenciados por IA.
El cibercrimen como servicio: cuando el delito se alquila
La expansión del modelo criminal As-a-Service está democratizando el acceso a capacidades ofensivas que antes eran privilegio de grupos de élite. Los atacantes pueden alquilar infraestructuras de comando y control, accesos iniciales a redes corporativas, plataformas de lanzamiento de ransomware, botnets para denegación de servicio y sistemas de lavado de criptomonedas. Todo ello con precios de mercado, soporte técnico y garantías de continuidad, de forma muy similar al modelo de suscripción de software legítimo.
Esta tendencia está reduciendo las barreras de entrada de manera drástica. Un actor con conocimientos técnicos limitados puede encargar un ataque sofisticado o alquilar una infraestructura ya operativa. El informe de Inetum identifica este fenómeno como uno de los aceleradores de la industrialización del cibercrimen, porque convierte la capacidad destructiva en una mercancía accesible y escalable.
La consecuencia es un aumento del número de intentos, pero también una mayor dispersión geográfica y sectorial. No solo atacan las grandes organizaciones con datos valiosos; también las pymes, los proveedores de servicios y los nodos de infraestructura que sirven como puerta de entrada a redes mayores. El riesgo se ha redistribuido por toda la cadena de suministro digital.
Infraestructuras críticas y geopolítica: del robo de datos al impacto físico
Uno de los focos de atención más urgentes del informe es el creciente riesgo sobre las infraestructuras críticas y los entornos industriales. La convergencia entre tecnologías de información (IT) y tecnologías operativas (OT), junto con la incorporación de agentes de IA en los procesos de producción, está ampliando la superficie de exposición en plantas de energía, redes de agua, fábricas y sistemas de transporte.
El dato más revelador es que el 75% de los ataques industriales tienen su origen en brechas procedentes del entorno corporativo. Esto significa que las vulnerabilidades se inician en oficinas, sistemas administrativos o empleados con accesos remotos, y desde allí saltan a los sistemas que controlan procesos físicos. La segmentación entre redes corporativas y redes industriales se ha convertido, por tanto, en una de las prioridades estratégicas de seguridad más acuciantes.
Los ciberdelincuentes también han evolucionado en sus objetivos. Ya no se conforman con el robo de información; buscan causar daños físicos, interrumpir la producción, sabotear cadenas de suministro y generar consecuencias sociales o económicas de gran alcance. Este cambio de paradigma convierte al ransomware industrial en una amenaza con potencial de impacto en la vida real, más allá de la pérdida de datos.
¿Qué son los entornos OT y por qué son ahora un objetivo prioritario?
Los entornos OT, o tecnologías operativas, son los sistemas informáticos que controlan procesos físicos e industriales, como la generación de energía, la automatización de fábricas o la gestión del agua. Su creciente conexión con las redes de TI ha creado un nuevo vector de ataque: los delincuentes penetran primero en la red corporativa y después se desplazan lateralmente hacia los sistemas de control industrial. Por eso el informe de Inetum subraya que tres de cada cuatro ataques industriales nacen en el ámbito corporativo.
El contexto geopolítico añade una capa adicional de complejidad. Los conflictos internacionales se están trasladando al ciberespacio mediante campañas de espionaje, sabotaje, desinformación y ataques de denegación de servicio. Los analistas anticipan que las infraestructuras de conectividad, los sistemas satelitales, los cables submarinos y los servicios esenciales continuarán siendo objetivos prioritarios durante la segunda mitad de 2026. La ciberseguridad deja así de ser una cuestión exclusivamente técnica para convertirse en una dimensión de la seguridad nacional y de la estabilidad económica.
La respuesta organizativa: ciberresiliencia, identidades digitales y detección temprana
Frente a un panorama de amenazas autónomas y rápidamente mutables, las soluciones tradicionales basadas exclusivamente en perímetros de red y actualizaciones de software resultan insuficientes. El informe de Inetum LiveSOC concluye que las organizaciones deberán reforzar sus capacidades de detección temprana, respuesta automatizada y protección de identidades digitales para sostener una defensa eficaz.
La detección temprana exige visibilidad continua sobre todos los activos, incluyendo aquellos que se conectan fuera del perímetro corporativo. La respuesta automatizada, por su parte, permite contener un incidente antes de que el atacante complete su misión, bloqueando endpoints, aislando segmentos de red o revocando credenciales comprometidas en cuestión de segundos. En un entorno donde cada día se producen más de un centenar de incidentes, la intervención humana no puede ser el primer y único mecanismo de defensa.
La protección de las identidades digitales se revela como otro pilar crítico. Con técnicas de suplantación cada vez más difíciles de detectar, la validación de identidad debe ser continua, contextual y basada en múltiples factores de comportamiento, no en una credencial estática. Las organizaciones que mantienen políticas de autenticación basadas únicamente en contraseñas o en factores únicos quedan expuestas a las campañas de phishing reforzado con IA que describen los analistas.
En este escenario, la cooperación entre organizaciones y la colaboración con centros de operaciones especializados adquieren un valor estratégico. El equipo de Inetum LiveSOC está integrado en la Red Nacional de SOCs española, un esquema cooperativo público-privado orientado a la compartición de inteligencia de amenazas y a la respuesta coordinada ante incidentes de gran escala. Su reconocimiento como miembro de nivel Gold de dicha red subraya el grado de madurez de sus procesos de supervisión y respuesta.
La normativa europea está impulsando en la misma dirección. Directivas como NIS2, junto con los requisitos de resiliencia operativa digital para el sector financiero, están obligando a un número creciente de organizaciones a elevar sus estándares de gestión de riesgos, notificación de incidentes y continuidad de negocio. La ciberresiliencia deja de ser un proyecto técnico aislado para convertirse en un requisito de cumplimiento, una condición de competitividad y un criterio de confianza para clientes y socios comerciales.
El modelo de ciberresiliencia que emerge no asume la prevención absoluta, porque la prevención absoluta ya no existe. Asume, en cambio, que la intrusión puede ocurrir, que el atacante tendrá una ventana de acción, y que la madurez defensiva se mide por la capacidad de detectar rápido, contener antes, recuperar con agilidad y aprender de cada incidente. Con un volumen de alertas que supera las 60.000 en seis meses, la única estrategia viable es la que combina automatización, inteligencia humana y cooperación sectorial.
La segunda mitad de 2026 se presenta como un periodo de consolidación de amenazas cada vez más autónomas y sofisticadas. El informe de Inetum no ofrece soluciones milagrosas, pero sí una lectura clara de la situación: el cibercrimen se ha industrializado, la inteligencia artificial está en el centro de esa industria, y la geopolítica amplifica sus efectos. Las organizaciones que entiendan este nuevo contexto y transformen sus estrategias en consecuencia estarán mejor posicionadas para convertir la seguridad en una ventaja estratégica, en lugar de un campo de batalla permanentemente perdido.
