La Agencia de la UE para la Ciberseguridad registra 8.257 incidentes de ciberseguridad y alerta del avance del ransomware y la IA maliciosa

El informe se basa principalmente en fuentes abiertas y en información anonimizada compartida por los Estados miembros y los participantes en el programa de colaboración de ENISA. La agencia advierte de que sus cifras constituyen una aproximación a las tendencias observadas, no una representación completa de la actividad maliciosa: los incidentes pueden notificarse con retraso y las campañas de ciberespionaje, en particular, pueden tardar meses o incluso años en salir a la luz.

España aparece entre los países europeos con mayor presencia en las reclamaciones de ransomware recopiladas por ENISA. Con un 12,2% de los casos identificados, ocupa la cuarta posición, por detrás de Alemania, Francia e Italia. El país también figura entre los cinco Estados miembros más afectados por las reclamaciones de ataques hacktivistas, con un 10,1% del total. En esta clasificación se sitúan por delante Alemania (16%), Francia (14,8%) e Italia (10,5%), mientras que Polonia registra un 8,9%.

Estas operaciones estuvieron vinculadas principalmente a campañas organizadas en torno a acontecimientos geopolíticos y políticos. La Administración pública concentró el 45,8% de los incidentes hacktivistas, seguida del transporte (11,7%) y los servicios empresariales (7%). ENISA advierte de que el volumen de reclamaciones no implica necesariamente un impacto elevado: buena parte de las acciones consistió en ataques DDoS contra servicios y páginas web de acceso público.

A nivel europeo, los ataques de denegación de servicio distribuido (DDoS) representaron el 51,3% de los incidentes identificados, seguidos de los accesos no autorizados, con un 39,5%. Dentro de las técnicas de ingeniería social, el phishing continuó siendo el vector más habitual: estuvo presente en el 77,8% de los incidentes en los que se identificaron estas prácticas. ENISA también destaca la expansión de ClickFix, una técnica que engaña a la víctima para que ejecute código malicioso creyendo que está solucionando un problema, y la popularización de plataformas de phishing como servicio.

Incidentes en la Administración pública

La Administración pública fue el sector más afectado, con el 31,8% de los incidentes registrados en la Unión Europea. Le siguieron los servicios empresariales (8,5%), el transporte (8%), la industria manufacturera (6,9%) y las finanzas y la banca (5,6%). Las entidades esenciales representaron el 72,9% del total de incidentes documentados.

En el ámbito de la Administración pública, los ataques DDoS vinculados a motivaciones ideológicas concentraron el 81,8% de los incidentes. Las páginas web y los portales de organismos públicos fueron objeto de campañas relacionadas con acontecimientos políticos, procesos electorales y tensiones geopolíticas. Aunque estas operaciones provocaron interrupciones temporales de servicios, ENISA señala que su impacto fue, en general, limitado.

Los servicios empresariales ocuparon la segunda posición entre los sectores afectados. En este ámbito, los accesos no autorizados representaron el 56,7% de los incidentes y los ataques DDoS, el 38%. Entre los primeros, el ransomware concentró el 54% de los casos y las brechas de datos, el 26,5%. El informe incluye dentro de este sector actividades diversas, como consultoría, servicios jurídicos, medios de comunicación, inmobiliarias y otros proveedores profesionales.

El transporte, por su parte, registró una mayor incidencia en el ferrocarril, que concentró el 31,9% de los incidentes del sector, y en el transporte aéreo, con un 30,4%. El transporte por carretera representó el 17,9% y el marítimo, el 16,4%. ENISA destaca el aumento de los incidentes relacionados con operadores ferroviarios, metros y tranvías durante la segunda mitad de 2025, principalmente por campañas de denegación de servicio.

Ransomware y brechas de datos

Dentro de los incidentes con motivación financiera registrados por ENISA, que constituyen una de las amenazas más relevantes para las organizaciones europeas, el ransomware representó el 47,3%, las brechas de datos el 36% y el fraude y la suplantación de identidad el 13,3%.

Los operadores de ransomware continuaron combinando el cifrado de sistemas, el robo de información y la extorsión. Entre los grupos más activos en la Unión Europea figuran Qilin, SafePay, Akira, INC Ramson y Hunters International. Alemania concentró el 26,5% de las reclamaciones de ataques de ransomware identificadas, seguida de Francia (14,7%), Italia (13,6%), España (12,2%) y Países Bajos (4,7%).

En cuanto a las brechas de datos, el informe recoge ataques dirigidos a entornos cloud y plataformas de software como servicio, en los que los delincuentes recurrieron a técnicas como el phishing, la suplantación de personal de soporte técnico y el robo de credenciales para acceder a información corporativa, financiera y personal. Una vez obtenidos los datos, los grupos los utilizaron como instrumento de extorsión o los difundieron en foros y sitios de filtración.

ENISA identifica campañas de suplantación, compromisos de correo electrónico empresarial, desvíos de pagos, estafas y fraudes de inversión. También señala el incremento del smishing, que utiliza mensajes SMS para engañar a las víctimas, y el abuso de plataformas de mensajería para establecer contactos personalizados y conducir a los usuarios hacia procesos de autenticación legítimos que permiten tomar el control de sus cuentas o dispositivos.

Inteligencia artificial maliciosa

Durante 2025, grupos de ciberdelincuentes, actores vinculados a Estados e iniciativas de manipulación informativa recurrieron a estas herramientas para acelerar y ampliar sus actividades. Entre los usos identificados figuran la generación de mensajes de phishing personalizados, la creación de contenidos para campañas de influencia, la elaboración de identidades sintéticas y el desarrollo de código malicioso. También se documentaron aplicaciones de IA en tareas de reconocimiento, desarrollo de scripts y fases posteriores a la intrusión.

No obstante, ENISA matiza que, durante el periodo analizado, los atacantes utilizaron principalmente herramientas de IA de consumo para reforzar capacidades y técnicas que ya existían, en lugar de conseguir avances completamente novedosos. La agencia sí advierte de que la evolución de los modelos más avanzados puede acelerar la identificación y explotación de vulnerabilidades y reducir las barreras de entrada para nuevos actores maliciosos.

La propia integración de sistemas de IA en los entornos empresariales abre nuevas superficies de ataque. Las aplicaciones y sus ecosistemas pueden convertirse en objetivos cuando tienen acceso a archivos, credenciales, sesiones de navegador o entornos de desarrollo. Por ello, el riesgo afecta a las organizaciones que incorporan estas herramientas a sus procesos.

ENISA contabilizó más de 48.000 nuevas vulnerabilidades publicadas durante 2025 con identificadores CVE, un 22% más que el año anterior. De ellas, el 9% fueron clasificadas como críticas y el 30% como altas. Además, el 71% de las vulnerabilidades documentadas señalaba la red como vector de ataque, lo que evidencia la exposición de los sistemas accesibles de forma remota.

El informe también apunta a la explotación de infraestructuras empresariales, dispositivos perimetrales, herramientas de desarrollo y equipos IoT y de borde sin actualizar; también, los ataques a la cadena de suministro digital, que afectan a proveedores externos, repositorios de software, bibliotecas y extensiones de navegador. La dependencia de servicios de terceros

A ello se suman los ataques a la cadena de suministro digital, que afectan a proveedores externos, repositorios de software, bibliotecas y extensiones de navegador. La dependencia de servicios de terceros y plataformas cloud puede ampliar el alcance de un incidente y trasladar sus consecuencias a otras organizaciones.

De cara al siguiente periodo, ENISA prevé que las organizaciones europeas continúen expuestas a una combinación de ciberdelincuencia, ciberespionaje y hacktivismo. La agencia anticipa la continuidad de las campañas vinculadas a actores estatales, especialmente aquellos relacionados con Rusia y China, y la consolidación de un ecosistema criminal más maduro y fragmentado.