Un proveedor de la nube sufre una caída, y son decenas de empresas clientes las que pierden el acceso a sus herramientas de negocio durante varias horas. Este escenario, cada vez más frecuente, ilustra un cambio importante en ciberseguridad: la amenaza ya no proviene únicamente de un ataque directo, sino de las dependencias digitales entre organizaciones. Las tendencias de ciberseguridad de 2026 confirman que proteger su propio perímetro ya no es suficiente.
Dependencias digitales y efecto dominó en la resiliencia de las empresas
El informe Threat Landscape 2026 de ENISA, publicado el 22 de septiembre de 2026, coloca la interconexión de servicios y proveedores en el centro de los riesgos. Una organización puede verse afectada sin haber sido directamente objetivo, simplemente porque un proveedor o una plataforma crítica ha sido comprometida.
Concretamente, imagina una empresa que utiliza una herramienta de facturación alojada en un proveedor de nube. Si este proveedor sufre un ransomware, la empresa no puede emitir facturas, incluso si sus propios sistemas están intactos. Un ataque en un eslabón afecta a toda la cadena.
Esta realidad cambia la forma en que los equipos de seguridad deben trabajar. Mapear sus dependencias técnicas (quién aloja qué, quién tiene acceso a qué) se vuelve tan estratégico como actualizar sus cortafuegos. Las organizaciones que siguen las noticias del sitio Cyber sPass encuentran regularmente este tipo de análisis aplicado a casos concretos del momento.
ENISA confirma además que los ransomware siguen siendo la amenaza de mayor impacto a corto plazo en Europa. Su eficacia se basa precisamente en estas interdependencias: cifrar los datos de un proveedor clave puede paralizar a decenas de clientes aguas abajo.
Campañas de manipulación asistidas por IA: más allá del phishing clásico
Cuando se habla de IA y ciberseguridad, el phishing y los deepfakes vienen inmediatamente a la mente. Pero un fenómeno menos mediático está adquiriendo una magnitud preocupante: las campañas de manipulación e injerencia extranjeras (designadas por el acrónimo FIMI).
Según ENISA, las campañas europeas de este tipo asistidas por IA han pasado de 41 a 147 en un año, lo que representa un aumento del 259 % en las operaciones de influencia manipulada. La IA no se utiliza aquí para robar una contraseña. Genera contenido creíble a gran escala para influir en la opinión, desestabilizar instituciones o sembrar confusión en torno a eventos sensibles.
¿Por qué es un tema de ciberseguridad y no solo de política? Porque estas campañas también apuntan a las empresas. Un falso comunicado de prensa generado por IA, difundido en las redes sociales, puede hacer caer una acción o desencadenar pánico entre los clientes de una marca. La frontera entre desinformación y ataque informático se difumina.
Phishing por flujo de autorización: una técnica que elude la contraseña
En cuanto a ataques directos, el phishing también evoluciona. Las técnicas recientes de phishing por flujo de autorización de dispositivo permiten a los atacantes obtener tokens de acceso persistentes sin nunca robar la contraseña de la víctima.
El principio: el usuario recibe una falsa solicitud de autorización, similar a las que generan las aplicaciones legítimas. Al validar esta solicitud, otorga al atacante un token que permanece activo incluso después de un cambio de contraseña. La autenticación multifactor clásica no bloquea este escenario, ya que el atacante no necesita el segundo factor.
Para los equipos informáticos, esto significa que deben monitorear los tokens activos y las autorizaciones otorgadas a los dispositivos, no solo los intentos de conexión sospechosos.
Conformidad regulatoria en Europa: NIS2 y DORA cambian las obligaciones
Dos regulaciones europeas modifican concretamente lo que las empresas deben hacer en materia de seguridad informática:
- La directiva NIS2 amplía el perímetro de las organizaciones sujetas a obligaciones de ciberseguridad. Sectores como la gestión de residuos, la agroalimentación o los servicios postales están ahora cubiertos, mientras que antes no lo estaban.
- El reglamento DORA impone a los actores financieros (bancos, aseguradoras, proveedores de servicios de pago) requisitos precisos de resiliencia operativa digital, incluyendo pruebas de penetración regulares y una gestión formalizada de los riesgos relacionados con proveedores externos.
- La Ley de IA de la UE añade una capa adicional para los sistemas de IA considerados de alto riesgo, con obligaciones de documentación, supervisión humana y gestión de incidentes.
La conformidad ya no es un tema reservado para grandes empresas. Una PYME que proporciona servicios digitales a un actor financiero puede verse indirectamente sujeta a los requisitos de DORA a través de su contrato de prestación.
Medidas concretas de protección para las organizaciones en 2026
Frente a estas evoluciones, algunas acciones destacan por su eficacia. No todas requieren un presupuesto considerable, pero sí exigen una verdadera decisión de la dirección.
Mapear sus dependencias críticas
Listar cada proveedor, cada servicio en la nube, cada interconexión con un socio. Para cada uno, evaluar qué sucede si este eslabón falla. Las empresas que conocen sus dependencias reaccionan más rápido en caso de incidente.
Monitorear las autorizaciones y los tokens activos
La contraseña sola ya no protege. Es necesario auditar regularmente los tokens OAuth activos, las autorizaciones otorgadas a aplicaciones de terceros y los dispositivos conectados a las cuentas profesionales. Una sesión olvidada en un dispositivo no controlado puede convertirse en una puerta de entrada silenciosa.
Formar más allá del phishing por correo electrónico
Las formaciones de concienciación deben integrar las nuevas formas de manipulación: falsas solicitudes de autorización, deepfakes de audio durante llamadas telefónicas, campañas de desinformación dirigidas a la empresa. Un colaborador informado también detecta las manipulaciones que no pasan por un correo electrónico.
Las amenazas de ciberseguridad de 2026 comparten un rasgo común: explotan la confianza. Confianza en un proveedor, confianza en una voz familiar por teléfono, confianza en una solicitud de autorización que parece legítima. Reforzar la seguridad de los datos y la resiliencia de las organizaciones ahora pasa por una revisión sistemática de esta confianza otorgada por defecto.
