El panorama de las ciberamenazas en la Unión Europea sigue estando marcado por una combinación de amenazas recurrentes. Entre los aspectos más destacados se incluyen:
- El ransomware sigue siendo el tipo de incidente con mayor impacto a corto plazo.
- Los acontecimientos geopolíticos siguen influyendo en la actividad cibernética que afecta a la UE, con campañas de ataques DDoS lideradas por hacktivistas dirigidas a entidades esenciales.
- La administración pública sigue siendo el sector más atacado.
- Es probable que las organizaciones de toda la UE sigan enfrentándose a una combinación de ciberdelincuencia, ciberespionaje y actividad de hacktivistas impulsada por acontecimientos geopolíticos.
- Se prevé que los modelos de IA emergentes se utilicen cada vez más para respaldar operaciones maliciosas.
Para comprender mejor el panorama de las ciberamenazas y su dinámica, ENISA recopiló y analizó incidentes y eventos observados entre el 1 de enero y el 31 de diciembre de 2025 para esta nueva edición del informe Panorama de Amenazas 2026. Estos eventos se obtuvieron de fuentes abiertas, así como de información anonimizada compartida por los Estados miembros de la UE y a través del Programa de Colaboración Cibernética de ENISA.
¿Qué podemos aprender, entonces, de los eventos que analizó ENISA?
El nuevo informe identifica y analiza diferentes tipos de amenazas, clasificadas en categorías principales. Estas incluyen ciberdelincuencia, actividades vinculadas a Estados, manipulación e injerencia de información extranjera (FIMI), hacktivismo y vulnerabilidades. Dichas amenazas se analizaron en relación con los sectores afectados y su propagación geográfica, así como con comportamientos técnicos específicos.
Los operadores de ransomware continuaron perturbando organizaciones en múltiples sectores mediante el cifrado, el robo de datos y operaciones basadas en la extorsión.
La ingeniería social siguió siendo una táctica común que permitía abusar de la confianza, en particular a través de campañas de phishing, cada vez más respaldadas por kits de phishing y ecosistemas basados en servicios, con un aumento en el uso de la técnica ClickFix.
La explotación de vulnerabilidades de día N y de día 0 sigue siendo un vector de intrusión frecuente. En el 5% de los incidentes de acceso no autorizado en los que ENISA pudo identificar un vector de intrusión, se observó que el 60% aprovechaba una vulnerabilidad.
El fraude también se ve facilitado por el robo de datos y credenciales. Además, existen sitios web diseñados para atraer y engañar a personas prometiéndoles ganancias fáciles. Conocidos como sitios de noticias engañosas (BNS, por sus siglas en inglés), aparentan ser creíbles y legítimos. La Autoridad Bancaria Europea informó que, según se estima, el fraude en inversiones en línea costó 4 mil millones de euros en todo el Espacio Económico Europeo (EEE) en 2024.
El análisis también revela que los grupos de ciberdelincuentes están reutilizando herramientas y técnicas , introduciendo nuevos modelos de ataque, explotando vulnerabilidades y colaborando para atentar contra la seguridad y la resiliencia de la infraestructura digital de la UE.
Por lo tanto, seguimos observando ataques dirigidos a las dependencias cibernéticas , incluidos ataques a la cadena de suministro y ataques de terceros . Estos ataques suelen provocar incidentes a gran escala y/o de gran impacto.
Las amenazas dirigidas contra la UE o que la afectaban estuvieron motivadas principalmente por razones ideológicas en el 57% de los incidentes, mientras que casi el 30% de ellas tuvieron motivaciones financieras.
Durante el período analizado, el panorama de amenazas siguió estando dominado, en general, por ataques DDoS de bajo impacto , que representaron el 51 % de los casos registrados. Estos ataques DDoS se vieron influenciados principalmente por acontecimientos geopolíticos y fueron impulsados por sucesos específicos, como declaraciones políticas.
La distinción entre las categorías de amenazas siguió difuminándose . Técnicas, infraestructuras y mecanismos de acceso similares aparecieron repetidamente en los informes sobre ciberdelincuencia, hacktivismo y vínculos con el Estado, a pesar de las diferencias en los objetivos subyacentes.
¿Cuáles son los sectores más afectados?
Considerando el número total de incidentes, el 73% de las organizaciones afectadas son entidades esenciales e importantes según la definición de la NIS2. El sector más afectado sigue siendo la administración pública, con un 32% de los casos . Otros sectores afectados fueron los servicios empresariales (8%), el transporte (8%), la industria manufacturera (7%) y las finanzas/banca (6%).
El panorama de amenazas para las administraciones públicas se ve afectado en gran medida por los ataques DDoS motivados por ideologías, que representaron el 82% de los incidentes registrados.
¿Cómo se alinea el ETL con los hallazgos de NIS360 de 2026?
Los nuevos hallazgos también ilustran y confirman las conclusiones del último informe NIS360 de ENISA. Los sectores objetivo presentaban un nivel de madurez inferior al promedio, con una criticidad que superaba dicho nivel. Estos sectores incluyen salud, ferrocarril, sector marítimo, servicios de gestión de TIC, sector espacial, administraciones públicas, agua potable y aguas residuales .
Análisis por categorías de amenazas
- Delitos cibernéticos: Los delitos cibernéticos siguieron siendo una de las principales amenazas en la UE y a nivel mundial durante el período analizado, representando el 36 % del total de incidentes. En 2025, las actividades con mayor motivación económica registradas incluyeron el despliegue de ransomware, que representó el 40 % de todos los incidentes analizados, seguido de las filtraciones de datos, con un 31 %, y el fraude y la suplantación de identidad, que constituyeron la tercera categoría más importante, con un 19 %.
- Actividades alineadas con el Estado: Se informó que los grupos de intrusión vinculados al Estado realizaban principalmente operaciones de intrusión (87%), así como campañas de phishing (12%).
- FIMI: La evolución que observamos se alinea con los avances tecnológicos, como la IA. Esta tendencia se hace visible mediante el uso de contenidos como audio y vídeo sintéticos y texto generado por IA. Estas herramientas rentables se han convertido en parte del arsenal diario de los ciberdelincuentes. La IA también permite la distribución masiva de contenido y la traducción, ampliando significativamente su alcance e impacto potencial.
- Hacktivismo: con un total de 4709 denuncias contra Estados miembros de la UE durante el período analizado, más del 89 % correspondieron a ataques DDoS . La mayoría de las campañas estuvieron vinculadas a acontecimientos políticos como elecciones, protestas y tensiones geopolíticas, así como al apoyo de los Estados miembros a Ucrania. A lo largo del año, los incidentes de hacktivismo se concentraron en la administración pública, el transporte y los servicios empresariales.
- Vulnerabilidades: En 2025 se publicaron más de 48.000 nuevas vulnerabilidades a las que se les asignaron identificadores comunes de vulnerabilidad y exposición (CVE), lo que supone un aumento del 22% con respecto al año anterior.
Estar atentos al doble papel de la IA
Seguimos observando un uso cada vez mayor de la IA por parte de grupos de ciberdelincuentes, principalmente para facilitar o potenciar sus actividades. La integración de sistemas de IA en entornos empresariales también amplía la superficie de ataque. Los grupos de amenazas, incluidos los grupos de intrusión vinculados a estados, los grupos de manipulación de información (IMS) y los ciberdelincuentes, demuestran un interés constante en los sistemas de IA, tanto como herramientas para facilitar actividades maliciosas como objetivos de explotación.