The Trade Desk ha anunciado el lanzamiento de Kokai Zuma, la nueva versión de su plataforma Kokai, diseñada para optimizar la planificación, compra y medición de publicidad en el internet abierto. Esta actualización, que incorpora inteligencia artificial agéntica, promete simplificar la experiencia del usuario y mejorar la eficiencia en la gestión de campañas publicitarias.

Desde su introducción en 2023, la plataforma Kokai ha cambiado la forma en que se gestionan los medios digitales. Con la llegada de Zuma, se han realizado mejoras significativas en la navegación y en el aprendizaje de la herramienta. La combinación de nuevas capacidades de inteligencia artificial con un marco de medición más accesible busca reducir la complejidad que enfrentan los compradores de medios en un entorno publicitario fragmentado.

Jeff Green, fundador y CEO de The Trade Desk, destaca que esta actualización tiene como objetivo hacer que la plataforma sea más intuitiva y proactiva. Las mejoradas capacidades de previsión de la inteligencia artificial de la plataforma han demostrado ser efectivas, con un aumento promedio del 32% en el rendimiento del costo por adquisición (CPA). Esto se logra gracias a la inversión en el motor de previsión de Kokai y las capacidades agénticas de Koa, la inteligencia artificial que impulsa la plataforma.

Koa, que se introdujo en 2018, ha ampliado constantemente su funcionalidad y ahora incluye asistentes especializados que facilitan tareas como la creación de audiencias, la optimización de la frecuencia y el análisis de rendimiento. Los anunciantes ahora pueden beneficiarse de herramientas como Koa Assistant y Audience Creation para maximizar el impacto de sus campañas.

Además de las mejoras en la inteligencia artificial, Kokai Zuma ofrece una experiencia de medición y reporting simplificada, que incluye un acceso más fácil a informes críticos y la capacidad de personalizarlos según las necesidades del usuario. La interfaz rediseñada tiene como objetivo proporcionar claridad y agilidad en los flujos de trabajo, permitiendo a los traders concentrarse en las decisiones estratégicas.

La implementación de Kokai Zuma se está llevando a cabo a nivel mundial y se espera que continúen apareciendo nuevas funciones con el tiempo. The Trade Desk busca seguir innovando y adaptándose a las necesidades de sus clientes en un ecosistema publicitario en constante evolución.

Con el aumento del uso de la inteligencia artificial, incluso los usuarios comunes de internet deben estar en estado de alerta. La facilidad con la que los cibercriminales pueden llevar a cabo ataques significa que cualquier persona puede convertirse en un blanco potencial. La recopilación de información de fuentes abiertas (OSINT, por sus siglas en inglés) ha dejado de ser una técnica reservada para objetivos de alto perfil. Anteriormente, se requería tiempo y habilidades para reunir información útil, proceso que se dificultaba por la necesidad de correlacionar datos de múltiples plataformas.

Ahora, el uso de herramientas de inteligencia artificial elimina gran parte de este trabajo arduo, procesando información de manera extremadamente rápida. Los algoritmos son capaces de rastrear datos disponibles públicamente en la web, relacionándolos con posibles víctimas y estableciendo vínculos entre ellos y sus círculos cercanos. Esto es especialmente preocupante, ya que permite a los estafadores recopilar información que puede hacer sus ataques más convincentes y escalables.

Los riesgos son evidentes: un correo electrónico de phishing puede tornarse mucho más persuasivo si contiene detalles personales de una víctima, como su lugar de trabajo o eventos recientes. Asimismo, los avances en la creación de «deepfakes» permiten a los estafadores engañar a las personas haciéndose pasar por alguien de confianza, incluso utilizando imágenes o voces manipuladas para extorsionar a familiares o realizar amenazas.

Además, la falta de límites claros entre la vida profesional y personal hace que la recopilación de datos sea aún más fácil para los criminales. Con el trabajo híbrido, el uso de dispositivos personales para actividades laborales y la interconexión de perfiles en redes sociales, un ataque a través de redes corporativas o hacia colegas puede ser mucho más sencillo de ejecutar.

Frente a esta situación, es crucial que las personas tomen medidas proactivas para proteger su información personal. Aunque no se puede controlar la totalidad de los datos disponibles públicamente, sí se pueden gestionar varios aspectos. Es recomendable reforzar la privacidad de los perfiles en redes sociales, limitar la información que se comparte, y utilizar autenticación de múltiples factores para proteger cuentas. Además, no aceptar solicitudes de amistad de desconocidos puede ayudar a reducir el riesgo.

La inteligencia artificial trae consigo beneficios indudables, pero también riesgos que debemos enfrentar con precaución. La mejor estrategia es asumir que todo lo que se publica en internet puede ser accesible para la IA y actuar en consecuencia, tanto para nosotros mismos como para aquellos a nuestro alrededor.
Fuente: WeLiveSecurity by eSet.

Las claves del Path Traversal en 20 segundos

• El ataque manipula rutas para intentar salir del directorio que la aplicación debería utilizar.
• Puede exponer configuraciones, credenciales, logs, archivos personales y otros datos sensibles.
• INCIBE advierte de que sigue apareciendo en aplicaciones web, APIs, contenedores, cloud y sistemas con IA.
• La defensa pasa por validar, canonicalizar y limitar estrictamente las rutas accesibles.
• Las listas de archivos permitidos ofrecen más protección que intentar bloquear patrones maliciosos.

El Instituto Nacional de Ciberseguridad (INCIBE) considera esta debilidad especialmente relevante porque afecta directamente a la relación entre una aplicación y el sistema de archivos sobre el que se ejecuta. MITRE mantiene Path Traversal como CWE-22, mientras que OWASP lo relaciona con problemas de control de acceso: el atacante intenta que una aplicación procese una ruta diferente de la que su desarrollador esperaba.

El fallo puede parecer elemental, pero sigue siendo fácil de introducir. Una aplicación permite, por ejemplo, descargar documentos almacenados dentro de una carpeta. Si el programa toma directamente el valor enviado por el usuario y lo añade a una ruta base, el usuario puede intentar modificar esa ruta antes de que el sistema operativo la resuelva.

El problema empieza al confiar demasiado en el nombre de un archivo

El estudio de INCIBE utiliza un ejemplo muy reconocible. Una aplicación tiene una carpeta destinada a documentos y construye la ruta que utilizará para abrirlos concatenando el directorio base con el parámetro recibido del navegador.

En condiciones normales, el usuario solicita un archivo permitido y la aplicación accede a él.

El problema aparece si ese parámetro admite componentes de ruta como ../. En sistemas Unix y Linux esa secuencia representa el directorio padre. Repetirla puede hacer que la ruta vaya ascendiendo por la estructura de directorios hasta abandonar la ubicación inicialmente prevista.

La ilustración aportada resume precisamente este recorrido: una aplicación parte de /var/www/html/files/, pero una ruta manipulada puede intentar ascender por html, www y var hasta llegar a la raíz del sistema y, desde allí, solicitar otra ubicación como /etc. El fallo no reside en el sistema de archivos de Linux, sino en que la aplicación ha permitido que una entrada controlada por el usuario participe directamente en la construcción de la ruta.

INCIBE diferencia además entre Path Traversal relativo y absoluto. El primero intenta escapar utilizando referencias a directorios superiores, mientras que el segundo introduce directamente una ruta absoluta hacia otra ubicación del sistema.

OWASP describe el mismo principio: modificar variables que hacen referencia a archivos mediante secuencias de recorrido o rutas absolutas puede permitir acceder a código fuente, configuraciones u otros recursos almacenados fuera del directorio web. El acceso final sigue dependiendo de los permisos que tenga el proceso vulnerable.

Leer un archivo puede ser solo el primer problema

Path Traversal no equivale automáticamente a tomar el control completo de un servidor.

El impacto depende de qué pueda hacer la aplicación, de los permisos del proceso que la ejecuta y de otras vulnerabilidades que puedan encadenarse posteriormente.

En su estudio, INCIBE señala como primer riesgo el acceso no autorizado a archivos sensibles. Una aplicación vulnerable podría exponer configuraciones, credenciales de bases de datos, claves de API guardadas en archivos de entorno, logs u otra información almacenada localmente.

Ese detalle explica por qué una vulnerabilidad inicialmente limitada a lectura puede terminar siendo mucho más seria.

Un fichero de configuración puede contener una contraseña que permita acceder a una base de datos. Un archivo de entorno puede revelar secretos utilizados para comunicarse con servicios externos. Un log puede contener información que facilite otro ataque. Y una ruta vulnerable combinada con una función de carga o inclusión de archivos puede ampliar considerablemente el impacto.

INCIBE contempla entre los escenarios posteriores la escalada de privilegios y, cuando existen condiciones adicionales, la posibilidad de llegar a ejecución remota de código mediante la combinación con otras debilidades. Por tanto, leer un fichero fuera del directorio permitido no debe confundirse con ejecutar código de forma automática, pero tampoco debería tratarse como una filtración irrelevante.

No es una vulnerabilidad limitada a viejas páginas PHP

Uno de los apartados más interesantes del informe de 2026 es que traslada el problema a arquitecturas actuales.

INCIBE señala que Path Traversal puede aparecer también en microservicios, contenedores, plataformas cloud, API REST y soluciones que incorporan inteligencia artificial. Todos ellos continúan trabajando con rutas hacia archivos, modelos, conjuntos de datos, repositorios de artefactos o recursos compartidos.

La tecnología cambia, pero el error de programación puede ser esencialmente el mismo.

Un servicio de IA puede recibir el identificador de un modelo que debe cargar desde disco. Una API puede servir documentos asociados a un cliente. Una aplicación en contenedor puede escribir archivos temporales. Una plataforma de machine learning puede gestionar datasets o checkpoints.

Si alguno de esos nombres termina convirtiéndose en una ruta sin controles suficientes, vuelve a existir una superficie similar.

Los contenedores pueden reducir el alcance si están correctamente aislados y funcionan con permisos mínimos, pero no eliminan el error. Una aplicación vulnerable todavía puede acceder a cualquier fichero que el proceso tenga permitido ver dentro de su entorno.

Por eso INCIBE recomienda también aplicar mínimo privilegio y aislamiento entre componentes, además de validar las propias rutas.

Bloquear simplemente ../ no soluciona el problema

Una de las tentaciones habituales es buscar la cadena ../ y rechazarla.

Puede ser una protección adicional, pero el informe desaconseja depender exclusivamente de listas negras. Existen distintas representaciones y procesos de codificación y decodificación que pueden hacer que una entrada termine teniendo un significado diferente cuando finalmente llega al sistema de archivos.

INCIBE describe pruebas con codificación URL y Unicode precisamente para comprobar si los controles se ejecutan antes o después de la normalización de la entrada. También aborda variantes históricas basadas en caracteres especiales y truncamiento.

La enseñanza defensiva es más importante que cada técnica concreta: la aplicación debería decidir qué está permitido, no intentar imaginar todas las formas posibles de escribir algo prohibido.

De ahí la recomendación de utilizar allowlists o listas de valores permitidos.

Si una función únicamente debe entregar factura.pdf, manual.pdf y contrato.pdf, resulta más seguro aceptar exclusivamente esos identificadores que permitir cualquier texto y posteriormente intentar descubrir si contiene una ruta peligrosa.

INCIBE dedica una sección completa a este enfoque y considera preferibles las listas blancas porque reducen el problema a un conjunto conocido de entradas válidas.

La ruta debe resolverse antes de decidir si es segura

Otro control especialmente importante consiste en trabajar con la ruta canonicalizada.

Una aplicación no debería limitarse a comprobar la cadena que ha recibido. Debe resolverla y verificar cuál sería realmente su destino antes de abrir el archivo.

El informe propone comprobar que la ruta absoluta resultante continúe dentro del directorio permitido. Si una solicitud aparentemente relacionada con /var/www/html/documentos/ termina resolviéndose fuera de esa ubicación, debe rechazarse.

Es una diferencia pequeña en código y enorme en seguridad.

También pueden restringirse los nombres admitidos mediante un formato conocido. Si una función únicamente necesita un identificador alfanumérico y una extensión concreta, no tiene por qué aceptar barras, separadores de directorio u otras cadenas arbitrarias.

La defensa debe completarse en otras capas. INCIBE recomienda limitar los permisos del proceso, restringir qué directorios puede leer el servidor web, mantener registros de acceso y utilizar sistemas de monitorización que permitan detectar solicitudes sospechosas. El documento menciona expresamente la integración con soluciones SIEM, Security Information and Event Management, para identificar patrones y responder ante intentos de explotación.

Zip Slip demuestra que el mismo error puede aparecer fuera de una URL

El informe incluye otra variante interesante: Zip Slip.

El problema surge cuando una aplicación extrae un ZIP, TAR, JAR u otro archivo comprimido y confía directamente en las rutas internas que aparecen en el paquete.

Un archivo manipulado puede contener entradas diseñadas para intentar escribir fuera de la carpeta en la que debería realizarse la extracción. Si el programa concatena esas rutas sin normalizarlas y comprobar su destino, podría terminar sobrescribiendo configuraciones, bibliotecas u otros recursos accesibles para el proceso.

INCIBE señala que el mecanismo no es exactamente igual al de una aplicación web vulnerable, pero el origen es prácticamente idéntico: utilizar una ruta externa sin verificar dónde termina realmente.

Es una buena muestra de por qué Path Traversal continúa apareciendo después de décadas de documentación.

El error no pertenece a un lenguaje de programación concreto ni a una generación determinada de servidores web. Aparece cada vez que software y datos externos se encuentran en una operación sobre el sistema de archivos.

Detectarlo antes de producción sigue siendo la medida más barata

INCIBE propone combinar varias técnicas durante el desarrollo y las auditorías.

El análisis estático de código, conocido como SAST, puede localizar puntos donde una entrada controlada por el usuario termina llegando a funciones que abren o leen archivos. El análisis dinámico, DAST, prueba la aplicación mientras se ejecuta para observar cómo responde ante entradas manipuladas. Las pruebas de penetración permiten estudiar además la vulnerabilidad dentro del comportamiento general de la aplicación.

Ninguna herramienta sustituye a un diseño seguro.

Una aplicación puede disponer de firewall, monitorización, autenticación multifactor y múltiples capas defensivas y seguir exponiendo información si una función aparentemente secundaria de descarga de documentos confía en una ruta manipulable.

Ese es precisamente el valor del estudio publicado por INCIBE-CERT el 23/07/2026: recordar que buena parte de la seguridad de aplicaciones sigue dependiendo de decisiones de desarrollo relativamente básicas.

Path Traversal lleva años documentado, pero sigue apareciendo porque las aplicaciones continúan necesitando leer, escribir, importar, exportar y transformar archivos.

Y con la expansión de APIs, contenedores, servicios cloud y sistemas de IA, el número de lugares donde una ruta externa puede terminar llegando al sistema de archivos no está disminuyendo.

Preguntas frecuentes

¿Qué es una vulnerabilidad Path Traversal?

Es un fallo que permite manipular una ruta utilizada por una aplicación para intentar acceder a archivos o directorios situados fuera de la ubicación prevista. MITRE la clasifica como CWE-22.

¿Path Traversal permite controlar directamente un servidor?

No necesariamente. Puede limitarse a lectura o acceso a determinados archivos según los permisos disponibles, aunque INCIBE advierte de que puede combinarse con otras vulnerabilidades y facilitar ataques posteriores más graves.

¿Cómo se evita Path Traversal?

INCIBE recomienda listas de valores permitidos, canonicalización de rutas, comprobación de que el destino permanece dentro del directorio autorizado, validación del formato, mínimo privilegio, configuración segura del servidor y monitorización.

¿Puede aparecer Path Traversal en aplicaciones cloud o de inteligencia artificial?

Sí. INCIBE señala expresamente microservicios, contenedores, cloud, APIs REST y soluciones con IA como entornos actuales donde siguen utilizándose rutas hacia modelos, datasets, archivos temporales y otros recursos.

La reciente patente presentada por Meta para sus gafas inteligentes ha avivado el debate sobre las implicaciones en materia de privacidad y ciberseguridad que estos dispositivos pueden generar. Con el avance tecnológico, las gafas no solo se limitan a capturar imágenes o vídeos del entorno, sino que están diseñadas para recopilar datos biométricos, identificar rostros, analizar reacciones y mapear conexiones sociales, lo que amplía significativamente el perfil de riesgo asociado a su uso.

Este desarrollo no solo afecta a quienes utilizan el dispositivo, sino que también plantea serias preocupaciones sobre la privacidad de las personas que se encuentran a su alrededor. Muchos de estos individuos podrían no ser conscientes de que sus datos están siendo recopilados y analizados sin su consentimiento.

Oded Vanunu, responsable de investigación de vulnerabilidades de producto en Check Point Software Technologies, ha señalado que la patente de Meta transforma el concepto de las gafas inteligentes, llevándolo a un nivel que trasciende el simple grabado de imágenes. La capacidad de las gafas para generar datos biométricos y mapear relaciones sociales implica un cambio radical en la forma en que se manejan y almacenan estos datos, lo que podría dar lugar a un aumento en los riesgos asociados a la ciberseguridad.

Uno de los principales retos radica en el almacenamiento y procesamiento de esta información. Si los datos se sincronizan con la nube, las preocupaciones sobre la seguridad trascienden el propio dispositivo, abarcando la cuenta y los servicios conectados. Este escenario aumenta las posibilidades de ataques como phishing, robo de credenciales o secuestro de cuentas, que podrían comprometer información sensible, incluyendo detalles sobre relaciones sociales y patrones de uso.

Además, surgen inquietudes sobre el uso a largo plazo de estos datos. La pregunta que se plantea es si la información recopilada se limita a la funcionalidad específica para la que fue obtenida, o si se combina con otras fuentes de datos, se emplea para mejorar modelos de inteligencia artificial o se almacena por períodos prolongados. Con cada nuevo tipo de información recopilada, como rostros, ubicaciones y reacciones, la sensibilidad de los datos aumenta.

Así, las gafas inteligentes no son solo herramientas de captación, sino un punto central en la cadena de manejo de información, lo que hace imperativo comprender el destino de estos datos y las medidas de protección que existen para asegurar la privacidad y la integridad de las cuentas de usuario y los servicios que las gestionan.

La compañía Atos ha anuncado el exitoso despliegue de sus servicios digitales y de gestión de competición para los Juegos Special Olympics USA 2026, consolidando así su alianza con Special Olympics y demostrando su compromiso con la inclusión a través del deporte. Este evento, celebrado en Estados Unidos, reunió a miles de deportistas, entrenadores y aficionados, destacando el papel vital que juega el deporte en la generación de oportunidades para personas con discapacidades intelectuales.

Durante los Juegos, Atos se encargó de un amplio espectro de servicios críticos, incluyendo la gestión de competiciones, procesamiento de datos, inscripciones deportivas, acreditaciones, integración de cronometraje y puntuación, así como la distribución de resultados. Estas acciones se enmarcan dentro del sistema global de juegos de Special Olympics que la compañía ha desarrollado y mantenido, así como de los servicios de infraestructura y soporte necesarios para garantizar un evento seguro y fluido.

Nacho Moros, responsable de Major Events de Atos, expresó su orgullo por la contribución de la empresa a un evento tan singular. «La combinación de valentía, rendimiento, comprensión y amabilidad que se vivió en estos Juegos es difícil de encontrar en otros eventos deportivos», afirmó.

Por su parte, Isabel Cervelló, vicepresidenta de Tecnología para Grandes Eventos de Special Olympics, subrayó que los atletas «merecen lo mejor que la tecnología puede ofrecer para respaldar unos Juegos bien organizados y de alta calidad». Esta exitosa colaboración, que comenzó en 2023, incluye además otros eventos globales de Special Olympics, como los Juegos Mundiales de Invierno y Verano, los Juegos USA y la Unified Cup.

Atos, con más de 30 años de experiencia en el ámbito de la tecnología deportiva y la gestión de grandes eventos, sigue ampliando su influencia en el deporte internacional, siendo también socio oficial de tecnología de la UEFA en el ámbito del fútbol de selecciones nacionales y socio oficial de innovación de la CONMEBOL.

TrendAI

El análisis revela que los ciberdelincuentes están identificando de forma deliberada a empleados con capacidad para autorizar operaciones, recuperar cuentas, alterar procedimientos internos, consultar información confidencial o proporcionar acceso directo a sistemas corporativos. De esta manera, los atacantes pueden sortear parte de las medidas de seguridad convencionales sin necesidad de explotar directamente las defensas tecnológicas de las organizaciones.

“Durante años hemos centrado la atención en proteger el perímetro de las organizaciones, pero los propios ciberdelincuentes están demostrando que el acceso más eficiente no siempre pasa por romper las defensas, sino por convencer a quien ya trabaja dentro. Estamos asistiendo a la profesionalización de un mercado que convierte la confianza en un activo comercializable”, destaca David Sancho, investigador senior de amenazas de TrendAI.

Un modelo de captación cada vez más profesionalizado

Lejos de responder a acciones oportunistas, el informe revela una estructura cada vez más profesionalizada. Se han identificado anuncios en los que se ofrecen primas de incorporación de hasta 25.000 dólares, recompensas por recomendar a otros empleados con acceso similar, acuerdos de reparto de beneficios y servicios de garantía (escrow) para asegurar las transacciones entre delincuentes y colaboradores internos.

En muchos casos, los ciberdelincuentes no buscan conocimientos técnicos avanzados, sino empleados situados en posiciones estratégicas dentro de los procesos de negocio: gestores capaces de aprobar pagos, personal con acceso a sistemas de recuperación de cuentas, operadores que puedan modificar el estado de un envío o empleados con capacidad de validar operaciones que un atacante externo podría ejecutar difícilmente.

Además, el informe pone de manifiesto un cambio profundo en las prioridades del cibercrimen. El auténtico valor ya no reside solamente en acceder a una red corporativa, sino en controlar procesos de negocio críticos desde dentro de la organización.

Se han observado ofertas dirigidas a empleados de entidades financieras, de telecomunicaciones, plataformas digitales, compañías logísticas, organismos públicos, empresas sanitarias o grandes cadenas comerciales. En función del sector, los ciberdelincuentes buscan realizar intercambios fraudulentos de tarjetas SIM, manipular sistemas de seguimiento de envíos, autorizar reembolsos, acceder a historiales médicos o comercializar accesos privilegiados listos para usar.

La confianza, nuevo objetivo del cibercrimen

Para TrendAI, esta evolución obliga a replantear la gestión del riesgo interno. La amenaza ya no debe entenderse únicamente como un problema tecnológico o de recursos humanos, sino como un riesgo de negocio que afecta directamente a los procesos de confianza sobre los que operan las organizaciones.

“La mayoría de estos ataques no requieren vulnerar sistemas complejos, sino aprovechar procesos legítimos ejecutados por personas autorizadas. Por eso, las organizaciones deben complementar las medidas tradicionales de ciberseguridad con controles sobre los procesos críticos y programas específicos para concienciar a los empleados de que ellos también son el objetivo de campañas de captación”, concluye Sancho.

Las claves del ransomware industrial en 20 segundos

• El ransomware aumentó en sistemas ICS de casi todas las regiones durante el segundo trimestre de 2026.
• El mayor crecimiento trimestral se registró en Australia y Nueva Zelanda, con un 67 %, seguido del sudeste asiático, con un 50 %.
• Europa occidental y meridional quedaron fuera de esta tendencia ascendente.
• El sector biométrico registró amenazas en el 26 % de sus equipos ICS.

Los datos muestran una situación menos tranquilizadora de lo que podría sugerir la caída de las amenazas industriales en conjunto. El volumen general disminuye, pero una categoría especialmente peligrosa para fábricas, plantas energéticas, infraestructuras y otros entornos de tecnología operacional (OT) está ganando presencia.

El problema del ransomware industrial tampoco termina en el cifrado o robo de información. Una intrusión que obligue a detener determinados sistemas puede afectar directamente a procesos productivos y servicios físicos, una circunstancia que aumenta la capacidad de presión de los atacantes.

El ransomware crece con fuerza en varias regiones

Kaspersky ICS CERT detectó aumentos entre el primer y el segundo trimestre especialmente acusados en algunas zonas. Los equipos ICS afectados por ransomware crecieron un 67 % en Australia y Nueva Zelanda, un 50 % en el sudeste asiático, un 38 % en Sudamérica y un 31 % tanto en África como en Asia Central. Oriente Medio registró un incremento del 11 %.

Por porcentaje de ordenadores ICS atacados con ransomware, las regiones situadas en las primeras posiciones fueron África, Oriente Medio, Asia Central y Cáucaso Sur, Asia Oriental, Europa meridional y Asia del Sur.

La tendencia, sin embargo, no fue uniforme. Europa occidental, Europa meridional y Canadá fueron las excepciones al crecimiento trimestral del ransomware, según el informe.

Esta distinción resulta importante. Que Europa meridional aparezca entre las regiones con una proporción elevada de sistemas afectados no significa necesariamente que el problema estuviera aumentando durante el trimestre. Son dos métricas diferentes: nivel de exposición y evolución respecto al trimestre anterior.

También conviene poner los porcentajes de crecimiento en perspectiva. Un aumento trimestral del 67 %, por ejemplo, no significa que el 67 % de las máquinas industriales de una región haya sufrido ransomware, sino que la proporción detectada por Kaspersky aumentó en ese porcentaje respecto al trimestre precedente.

Menos amenazas industriales no significa menos riesgo

El informe deja una aparente paradoja: mientras el ransomware crece geográficamente, el porcentaje agregado de ordenadores ICS en los que Kaspersky bloqueó algún tipo de objeto malicioso siguió disminuyendo hasta marcar su nivel más bajo desde 2022.

Las dos tendencias pueden coexistir porque el ransomware representa únicamente una parte del conjunto de amenazas observadas.

Para una organización industrial, además, el número de incidentes no es la única variable relevante. Importa también qué sistemas alcanzan los atacantes y qué consecuencias puede tener su indisponibilidad.

Los entornos industriales presentan características diferentes a las de una red informática corporativa convencional. Determinados sistemas permanecen operativos durante largos periodos, las ventanas para aplicar actualizaciones pueden estar condicionadas por la producción y detener un equipo para realizar cambios no siempre resulta sencillo.

También existe una creciente interconexión entre sistemas de tecnología de la información (IT) y tecnología operacional. Herramientas administrativas legítimas, accesos remotos y servicios compartidos pueden convertirse en vías utilizadas por los atacantes sin necesidad de recurrir siempre a malware especialmente sofisticado.

Kaspersky advierte precisamente de una evolución hacia técnicas que buscan pasar más desapercibidas y mezclarse con el tráfico habitual mediante herramientas legítimas de administración.

En un entorno empresarial convencional, un ataque de ransomware puede provocar pérdida de acceso a documentos, aplicaciones o bases de datos. En una infraestructura industrial, dependiendo de los sistemas comprometidos, también puede provocar paradas de producción o interrupciones operativas.

Por ello, la recuperación adquiere una dimensión diferente. No basta necesariamente con disponer de una copia de seguridad: hay que conocer las dependencias entre sistemas, establecer procedimientos de aislamiento y recuperación y comprobar que la restauración puede realizarse dentro de los tiempos que admite la operación.

La biometría aparece como el sector más expuesto

Fuera específicamente del ransomware, el informe sitúa a los sistemas relacionados con biometría como el sector con mayor porcentaje global de equipos ICS en los que se bloquearon objetos maliciosos.

La cifra alcanzó el 26 % durante el segundo trimestre de 2026, ligeramente por encima del trimestre anterior.

Kaspersky relaciona esta exposición con características habituales de estos entornos, entre ellas el acceso a Internet, un uso amplio del correo electrónico y, en determinadas organizaciones, controles de ciberseguridad limitados.

Las diferencias regionales vuelven a ser considerables. Europa meridional encabezó esta clasificación con amenazas bloqueadas en el 33 % de los ordenadores ICS vinculados a biometría, seguida por África y Asia Central.

Los resultados recuerdan que la superficie industrial moderna va bastante más allá de los tradicionales sistemas de control de una fábrica. Sensores, sistemas biométricos, dispositivos conectados y componentes del Internet Industrial de las Cosas (IIoT) amplían el número de equipos que deben gestionarse y protegerse.

Kaspersky recomienda realizar evaluaciones periódicas de seguridad de los sistemas OT, mantener un proceso continuo de identificación y priorización de vulnerabilidades y aplicar actualizaciones o medidas compensatorias cuando no sea técnicamente posible instalar inmediatamente un parche.

También señala la necesidad de mejorar las capacidades de detección y respuesta y la formación específica de los equipos responsables de IT y OT.

Los datos del segundo trimestre dejan así una lectura relevante para responsables de seguridad y operaciones: la reducción del volumen general de amenazas detectadas no permite asumir que disminuya de la misma manera el riesgo operativo. El crecimiento del ransomware en numerosas regiones muestra que los ataques capaces de provocar interrupciones siguen teniendo un peso propio dentro de la seguridad industrial.

Preguntas frecuentes

¿Ha aumentado el ransomware contra sistemas industriales en 2026?

Según Kaspersky ICS CERT, entre el primer y el segundo trimestre de 2026 aumentó el porcentaje de equipos ICS afectados por ransomware en casi todas las regiones analizadas. Europa occidental, Europa meridional y Canadá fueron las excepciones.

¿Dónde creció más el ransomware industrial?

El mayor incremento trimestral señalado por Kaspersky se produjo en Australia y Nueva Zelanda, con un 67 %. Le siguieron el sudeste asiático, con un 50 %, y Sudamérica, con un 38 %.

¿Qué son los sistemas ICS?

ICS corresponde a Industrial Control Systems o sistemas de control industrial. Son equipos y plataformas utilizados para supervisar y controlar procesos físicos en fábricas, energía, transporte y otras instalaciones industriales.

¿Cuál fue el sector con mayor porcentaje de amenazas detectadas?

Según el estudio, el sector biométrico encabezó la clasificación global durante el segundo trimestre de 2026, con objetos maliciosos bloqueados en el 26 % de los ordenadores ICS analizados.

vía: kaspersky

Los datos muestran la magnitud que está adquiriendo este fenómeno. De acuerdo con el Informe sobre la Cibercriminalidad en España 2025, elaborado por el Ministerio del Interior, durante el pasado año se contabilizaron 488.426 ciberdelitos, lo que supone un incremento del 5,1% respecto a 2024. Los delitos cometidos a través de medios digitales representan ya el 19,8% del conjunto de la criminalidad registrada en España. Además, el número de víctimas creció un 9,3%, superando las 383.000 personas.

Paralelamente, la expansión de la inteligencia artificial también está cambiando las características y el alcance de las amenazas digitales. El último Cost of a Data Breach Report de IBM advierte de que la rápida incorporación de tecnologías de IA está aumentando la superficie de exposición de las organizaciones. A ello se suma la ausencia, en algunos casos, de mecanismos de control específicos para estos entornos, una circunstancia que se está convirtiendo en un nuevo elemento de riesgo para las empresas.

El problema ya no es detectar un ataque

Durante los últimos años, las compañías han invertido millones de euros en herramientas de ciberseguridad. Soluciones EDR, plataformas SIEM, firewalls de nueva generación, protección cloud o inteligencia de amenazas forman parte del día a día de la mayoría de las organizaciones.

Sin embargo, disponer de más tecnología no implica necesariamente estar mejor protegido.

La mayoría de las compañías ya son capaces de detectar comportamientos anómalos, accesos sospechosos o intentos de ataque. Sin embargo, el verdadero reto comienza cuando aparece una alerta y alguien debe decidir, en cuestión de minutos, si se trata de un falso positivo o de un incidente capaz de comprometer la continuidad del negocio.

En un contexto en el que los atacantes reducen continuamente el tiempo necesario para comprometer una infraestructura, la capacidad de respuesta se ha convertido en el nuevo indicador de madurez en ciberseguridad.

“Las organizaciones ya disponen de herramientas capaces de generar alertas. Lo que marca la diferencia es disponer de un equipo que las analice, determine su criticidad y actúe de forma coordinada cuando realmente existe una amenaza”, explica Álvaro Sánchez, Security Presales de h&k.

Del exceso de alertas a la inteligencia operativa

Uno de los grandes desafíos actuales para los equipos de TI es la fragmentación tecnológica. Redes, infraestructuras cloud, aplicaciones SaaS, identidades digitales, dispositivos conectados y soluciones de distintos fabricantes generan diariamente miles de eventos de seguridad que deben analizarse de forma conjunta para comprender qué está ocurriendo realmente.

Esta complejidad está impulsando un cambio de paradigma. Las organizaciones ya no buscan únicamente nuevas herramientas, sino capacidades que les permitan monitorizar, correlacionar información y responder de manera continua.

En este sentido, los Centros de Operaciones de Seguridad (SOC) se están consolidando como uno de los pilares de la estrategia de ciberseguridad empresarial.

Un SOC para responder cuando cada minuto cuenta

Con el objetivo de ayudar a las organizaciones a afrontar este nuevo escenario, h&k ha reforzado su oferta de servicios gestionados con un Centro de Operaciones de Seguridad (SOC) que combina monitorización continua, inteligencia de amenazas, automatización y respuesta especializada ante incidentes.

El servicio integra información procedente de múltiples tecnologías (SIEM, EDR, plataformas cloud, sistemas de identidad o firewalls) para ofrecer una plataforma única con una visión unificada del riesgo que permite reducir significativamente los tiempos de detección y respuesta. Además, incorpora procesos de automatización y un equipo de analistas especializados que validan cada incidente antes de ejecutar las acciones necesarias para contener la amenaza.

«La ciberseguridad ya no puede limitarse a generar avisos. Las organizaciones necesitan capacidad operativa para actuar, escalar incidentes, aplicar procedimientos de respuesta y acompañar al cliente durante todo el proceso. Ahí es donde realmente se aporta valor», señala Carlos Gutiérrez, Director de Go To Market de h&k.

De la ciberseguridad reactiva a la resiliencia digital

La irrupción de la IA ha elevado el nivel de sofisticación de los ataques y ha reducido el margen de reacción de las organizaciones. En este nuevo escenario, la diferencia ya no la marca quién dispone de más herramientas, sino quién es capaz de interpretar antes una amenaza y actuar de forma coordinada para contenerla.

Por ello, los SOC han dejado de ser una capacidad reservada a grandes corporaciones para convertirse en un elemento estratégico que permite a empresas de cualquier tamaño reforzar su resiliencia digital y proteger la continuidad de su negocio frente a un entorno de amenazas cada vez más dinámico.

ERA Group ha alertado sobre la creciente gravedad de los ciberataques, que ya no solo comprometen la tecnología de las organizaciones, sino que amenazan su liquidez, la continuidad del negocio, su reputación y su capacidad de crecimiento. Esta transformación del riesgo cibernético ha convertido a estos incidentes en un desafío financiero que se sitúa entre las principales preocupaciones de las empresas.

En un contexto donde el Instituto Nacional de Ciberseguridad (INCIBE) gestionó 122.223 incidentes de ciberseguridad en 2025, un aumento del 26 % en comparación al año anterior, se evidencia que las amenazas digitales se han vuelto omnipresentes en el entorno corporativo español. En este marco, el informe «El coste del silencio: por qué los directores financieros no pueden ignorar el riesgo cibernético», elaborado por ERA Group, enfatiza la necesidad de abordar la ciberseguridad desde un enfoque que trascienda los departamentos de tecnología.

Los datos del estudio indican que un ciberataque puede interrumpir la producción, impedir la emisión de facturas, retrasar el cumplimiento de pedidos y comprometer datos sensibles, lo que no solo genera responsabilidades legales, sino que también deteriora la confianza de clientes e inversores. Así, los costes asociados a un incidente no se limitan a la pérdida inmediata, sino que se extienden a diversas áreas del negocio, complicando su cuantificación y gestión.

Eva Linares, socia de ERA Group, sostiene que la ciberseguridad debe ser considerada un riesgo empresarial fundamental que impacta en el flujo de caja y la estabilidad financiera de la organización. «La dirección financiera debe unirse a esta conversación», advierte, sugiriendo que es vital que los altos ejecutivos comprendan las implicaciones financieras de posibles incidentes y cómo estos pueden amenazar la operatividad y solvencia de sus empresas.

El informe también revela que en Reino Unido, el 43 % de las empresas enfrentó al menos un incidente cibernético durante el periodo 2025/26, mientras que en el ámbito español, el 60 % de los incidentes reportados afectaron a pequeñas y medianas empresas, mostrando que la vulnerabilidad a los ataques cibernéticos no se limita solo a grandes corporaciones.

Entre las amenazas con repercusiones financieras más directas, se destaca el fraude online, que en 2025 representó 45.445 incidentes registrando un incremento del 19 % respecto al año anterior. Esta clase de fraudes, que incluye suplantaciones de identidad y transferencias fraudulentas, tiene un impacto inmediato en las finanzas de las organizaciones.

ERA Group subraya que los costes derivados de un incidente no se centran únicamente en el rescate de datos o la recuperación tecnológica. La interrupción de la atención al cliente, los retrasos en la cadena de suministro, la necesidad de contratar proveedores alternativos y el daño a la reputación pueden prolongar la crisis económica durante meses.

La consultora propone que la gestión del riesgo cibernético debe integrar la dirección financiera, enfatizando que los directores financieros deben evaluar aspectos como la dependencia de proveedores críticos, la efectividad de las coberturas aseguradoras y la revisión de planes de continuidad. Este enfoque integral busca no solo proteger a las empresas, sino también optimizar sus recursos a la hora de reforzar su infraestructura de ciberseguridad.

Las conclusiones del informe sugieren que las organizaciones que integren el riesgo cibernético en su estrategia financiera estarán mejor posicionadas para salvaguardar su flujo de caja y mantener la confianza de sus clientes, a medida que el panorama de amenazas cibernéticas continúa evolucionando y la presión regulatoria se intensifica.

Iberdrola ha anunciado avances significativos en la incorporación de inteligencia artificial agéntica con el objetivo de mejorar la productividad, acelerar los procesos y reforzar la calidad de sus operaciones. La compañía ha informado que actualmente dispone de cerca de 500 agentes de IA, ya implementados o en diversas etapas de desarrollo, los cuales abarcan aplicaciones en áreas como redes eléctricas, generación de energía, atención al cliente y distintos sectores corporativos e IT.

Este movimiento se enmarca dentro de la estrategia denominada «AI Utility of the Future», que busca integrar de manera efectiva la experiencia humana con la inteligencia artificial, considerando esta fusión como una herramienta clave para la transformación del sector eléctrico. Iberdrola sostiene que esta estrategia contribuirá a ofrecer un servicio más eficiente, resiliente y sostenible.

La compañía enfatiza que la inteligencia artificial se utiliza para apoyar el trabajo de sus profesionales, facilitando el acceso al conocimiento y automatizando tareas rutinarias. Además, proporciona información contextual y recomendaciones que permiten a los equipos tomar decisiones de manera más ágil. En un sector como el eléctrico, donde la gestión de infraestructuras críticas es fundamental, la combinación de experiencia humana y análisis de datos se vuelve esencial.

Iberdrola destaca que la inteligencia artificial tiene aplicaciones significativas en múltiples actividades dentro del Grupo. En el ámbito de las redes eléctricas, por ejemplo, esta tecnología es fundamental para anticipar y diagnosticar en tiempo real posibles incidencias en las infraestructuras, así como para restablecer el suministro rápidamente.

En lo que respecta a las centrales de generación, la IA contribuye a la planificación de trabajos y la coordinación de tareas de mantenimiento, facilitando el acceso a la información técnica necesaria para la gestión de activos. En la atención al cliente, herramientas como voicebots y chatbots mejoran la eficiencia en la resolución de consultas, reclamaciones y trámites.

Las áreas corporativas de Iberdrola también se benefician de estas capacidades para optimizar la productividad en funciones administrativas y financieras. Asimismo, en el departamento de IT, agentes especializados ayudan a gestionar incidencias y acelerar la resolución de problemas.

La compañía ha subrayado su compromiso con la formación y adopción responsable de estas tecnologías, apoyando a sus empleados en la identificación de oportunidades y en el desarrollo de casos de uso que aborden desafíos específicos del negocio. De esta manera, Iberdrola busca integrar la inteligencia artificial como una herramienta de apoyo en el día a día, actuando como un catalizador de innovación.

Iberdrola asegura que la implementación de la inteligencia artificial se realiza de manera progresiva y responsable, con el fin de mantener siempre el control y la responsabilidad de las decisiones en manos de las personas. En un contexto donde aumentan la complejidad operativa y las exigencias sobre infraestructuras críticas, la compañía posiciona la IA agéntica como un recurso valioso que refuerza el trabajo de los equipos y garantiza la consistencia en la ejecución de procesos.