Prepárese para el curso 2025.
El panorama de la ciberseguridad, en constante evolución, ya resulta de por sí bastante complicado de abordar, y ahora estamos detectando algunas amenazas de un nivel verdaderamente superior que se avecinan.
Piense en algunas de las filtraciones más trascendentales de este año; eso le dará algunas pistas sobre las previsiones en materia de ciberseguridad que están por venir.
En 2024, se sustrajeron más de mil millones de registros , lo que perjudicó tanto a los particulares como a la reputación de las empresas. La «Shadow AI» —esa forma esquiva de IA generativa con la que los pioneros de su organización ya están experimentando— siguió abriéndose paso en empresas de todo el mundo, planteando dilemas a los departamentos de TI que no se habían planteado desde que los dispositivos móviles con una seguridad insuficiente irrumpieron en escena y los empleados comenzaron a utilizarlos en el trabajo. Y, por supuesto, el ransomware « » ( ) siguió siendo una amenaza muy devastadora, que afectó con especial dureza a los proveedores de asistencia sanitaria () ( ).
Puede estar seguro de que esas tendencias continuarán durante el nuevo año, pero hay más: Focal Point preguntó a algunas de las fuentes que hemos entrevistado recientemente si tenían alguna predicción atrevida sobre lo que se avecina. A continuación le presentamos algunas de sus opiniones más controvertidas y estimulantes, así como una serie de consejos y recursos que hemos recopilado para que se prepare para el curso 2025... y más allá:
1. La biometría fracasará estrepitosamente
La biometría se ha considerado el santo grial de la autenticación, pero Roger Grimes, un reconocido experto en autenticación de KnowBe4, una empresa dedicada a la formación en concienciación sobre seguridad, considera que eso es una tontería.
«. Despídase del mito de que las huellas dactilares son identificadores “únicos”: son casi tan fáciles de piratear como las contraseñas.»Roger Grimes, experto veterano en autenticación, KnowBe4
«Se demostrará que la biometría no es un buen método de autenticación», afirma, ya que la tecnología moderna, como la IA generativa, facilita en exceso la falsificación de un rostro, una retina o una huella dactilar. Esas películas en las que los ladrones le cortan el pulgar a un malhechor y lo utilizan para acceder a una cámara acorazada impenetrable adquieren un significado totalmente nuevo con la tecnología digital, afirma.
«Hoy en día, puedo tomar 30 segundos de su vídeo y crear un deepfake con el que le roben el dinero de su cuenta bancaria», afirma Grimes.
Un nuevo informe del Instituto de Seguridad y Tecnología ( ), titulado « », confirma este hecho al afirmar: «El auge de la tecnología de deepfakes , cada vez más convincente , supone una grave amenaza para los sistemas de autenticación tradicionales que se basan en señales visuales o auditivas para la verificación». «Los sistemas de autenticación biométrica que utilizan el reconocimiento facial o el análisis de voz ya se han visto comprometidos por la tecnología deepfake en varios casos».
Entonces, ¿qué va a pasar ahora? Es probable que las empresas y los gobiernos avancen hacia una autenticación multifactorial (MFA) y otras formas mejoradas de gestión de identidades y accesos (IAM) , tal vez combinando la biometría con llaves de hardware como YubiKeys, afirma. En resumen: la biometría por sí sola no es lo suficientemente segura. Gartner prevé que, para el año 2026, los ataques que utilicen «deepfakes» generados por IA en la biometría facial harán que el 30 % de las empresas dejen de considerar fiables, por sí solas, este tipo de soluciones de verificación y autenticación de identidad.
«Despídase del mito de que las huellas dactilares son identificadores “únicos”: son casi tan fáciles de piratear como las contraseñas, en cuanto los piratas informáticos empiecen a centrarse en ellas», afirma Grimes.
2. Las herramientas basadas en la inteligencia artificial se convierten en armas de doble filo
Erik Avakian, antiguo director de seguridad de la información (CISO) del Estado de Pensilvania y actualmente asesor en ciberseguridad, prevé que se producirá un aumento en el uso de herramientas de automatización y productividad personal basadas en la inteligencia artificial en los entornos empresariales. Según él, la incorporación de estas herramientas que imitan las tareas humanas aumentará la productividad, pero también supondrá riesgos para la seguridad y la privacidad.
«A medida que estas herramientas y capacidades se integran en los entornos empresariales, podrían tener consecuencias imprevistas y duraderas», advierte Avakian. «El aprovechamiento de las características y capacidades de las herramientas podría dar lugar a un acceso no autorizado con privilegios a datos sensibles o a la propiedad intelectual, o bien podría ser objeto de abuso mediante inyecciones maliciosas y un uso indebido, como la introducción de comandos erróneos (ya sean intencionados o no) sin que el usuario lo desee.»
Antes de incorporar herramientas basadas en la inteligencia artificial en el entorno de producción, Avakian aconseja a las organizaciones que establezcan una base sólida en materia de inteligencia artificial « », gobernanza de datos, estrategia de seguridad (combatir el fuego con fuego mediante el refuerzo de la seguridad con la automatización y la inteligencia artificial), políticas de privacidad, formación de los empleados y procedimientos de pruebas exhaustivos, todo ello alineado con los objetivos empresariales. Sin esta base, estas herramientas podrían aumentar la exposición al riesgo de la organización, ya que su eficacia depende en gran medida de la calidad y la seguridad de los datos que procesan, afirma.
[Lea también: Guía definitiva sobre ciberseguridad basada en la IA: ventajas, riesgos y beneficios]
3. Los pagos de rescates por ransomware se enfrentan a una regulación a escala mundial
El ransomware ya no es solo un problema informático; ahora constituye una amenaza para la seguridad nacional, según Kirsten Bay, directora ejecutiva de Cysurance, una aseguradora especializada en ciberseguridad. Dado el reciente aumento de los ataques de «ransomware como servicio» (que no hará más que incrementarse gracias a la inteligencia artificial), Bay prevé una campaña de represión contra el pago de rescates mediante un marco normativo coordinado a nivel mundial.
«Los casos de extorsión constituyen una amenaza global para la seguridad nacional», afirma Bay. Esto implica un seguimiento más riguroso y posibles sanciones por los pagos de rescate no declarados, especialmente en criptomonedas.
Aunque es posible que la normativa no consiga erradicar el ransomware, sí podría frenar su propagación al cortar las fuentes de ingresos de los delincuentes. Cabe esperar que los gobiernos presionen con mayor firmeza a las empresas para que informen de los incidentes de rescate, imponiendo sanciones a aquellas que no lo hagan. Esto podría suponer nuevos obstáculos legales y de cumplimiento normativo para las empresas a la hora de gestionar las negociaciones de rescate.
4. La soberanía de los datos y las «embajadas de datos» se generalizan
Los países, especialmente los de la Unión Europea, se están volviendo cada vez más protectores con los datos personales de sus ciudadanos , lo que ha dado lugar a las «embajadas de datos» —centros de datos seguros situados fuera de las fronteras físicas de un país—.
«: Los países soberanos más pequeños se están dando cuenta de que no siempre pueden proteger los datos locales.»Frank Dickson, analista de ciberseguridad de IDC
La idea en la que se basan las embajadas de datos es que, al trasladar los activos digitales fuera de las propias fronteras —donde un gobierno podría no disponer de los medios necesarios para defenderse plenamente de las intrusiones— a instalaciones más seguras en otros países, se consigue que sean «inviolables y, por lo tanto, estén exentos de registro, requisa, embargo o ejecución», según la Iniciativa Datasphere. Estonia, por ejemplo, trasladó sus activos digitales a la vecina Luxemburgo en 2016 para protegerlos de los ataques que, al parecer, procedían de Rusia.
IDC considera que se trata de una tendencia en auge y prevé que, para el año 2026 (de acuerdo, no es exactamente una previsión para el 2025 , pero podría haber novedades al respecto el año que viene), cinco países soberanos establecerán embajadas de datos en la UE.
«Los países soberanos más pequeños se están dando cuenta de que no siempre pueden proteger los datos que se almacenan en sus propias instalaciones», afirma Frank Dickson, analista de ciberseguridad de IDC. Tiene sentido. Al fin y al cabo, ¿cómo se pueden mantener la soberanía y la coherencia de los datos gubernamentales si se tiene dificultades para proteger las propias fronteras?
Para las empresas estadounidenses que operan a nivel mundial, esta tendencia supone normas más estrictas en cuanto al lugar donde se pueden almacenar y tratar los datos, afirma Dickson. Es probable que el cumplimiento de la normativa de la UE y de los marcos G7 en materia de soberanía de los datos pase a ser una exigencia ineludible, lo que obligará a las empresas a replantearse sus estrategias de infraestructura. El incumplimiento podría acarrear multas cuantiosas y restricciones comerciales a ambos lados del Atlántico, concluye.
5. Las aseguradoras cibernéticas endurecen las condiciones para la tramitación de las reclamaciones
La fase de «luna de miel» de los seguros cibernéticos llegará a su fin.
«: cabe esperar ajustes más agresivos y condiciones más estrictas para las reclamaciones.»Scott Godes, socio y copresidente de Barnes & Thornburg
Scott Godes, socio y copresidente de Barnes & Thornburg, prevé que las aseguradoras limitarán las indemnizaciones por siniestros cibernéticos, especialmente en lo que respecta al ransomware y a las violaciones de la privacidad de los datos. «Cabe esperar ajustes más drásticos y condiciones más estrictas para las reclamaciones», afirma.
¿Qué implica esto para las empresas? Las aseguradoras están endureciendo las normas. Si su empresa no puede demostrar que cuenta con un sistema de seguridad infalible, no espere recibir una indemnización cuantiosa —ni siquiera ninguna— en caso de sufrir un ataque informático.
En cambio, manténgase alerta ante la posibilidad de que su aseguradora presente una demanda para evitar pagarle, alegando que usted no actuó con la diligencia debida y no informó adecuadamente sobre las medidas que estaba tomando para proteger sus datos. Los CISO deben prestar mayor atención a y documentar todo lo que hacen —todas sus medidas de seguridad— o se arriesgan a que una aseguradora les deje en la estacada cuando se produzca un costoso incidente cibernético.
6. Los ataques basados en la inteligencia artificial ponen en peligro las infraestructuras críticas
Hemos sido testigos de numerosos ataques de ransomware, pero esperen y verán: el año que viene, si no antes, esos ataques podrían alcanzar nuevas cotas al debilitar las infraestructuras críticas.
«Ya no se trata solo de una disrupción; es una destrucción.»Erik Avakian, antiguo director de seguridad de la información (CISO) del Estado de Pensilvania
Avakian considera que los atacantes se centrarán cada vez más en los sistemas físicos, desde las redes eléctricas hasta los sistemas de abastecimiento de agua. (En situación de especial riesgo: pequeñas empresas de servicios públicos y energéticas.) Ya estamos observando indicios claros de que unos piratas informáticos, presuntamente vinculados a gobiernos hostiles, están intensificando sus ataques contra las infraestructuras críticas de Estados Unidos. En marzo, el FBI advirtió al Congreso de que unos piratas informáticos chinos se habían infiltrado profundamente en la ciberinfraestructura de Estados Unidos con la intención de causar daños. Y a principios de octubre, American Water, la mayor empresa de suministro de agua de Estados Unidos, sufrió un ciberataque que obligó a la empresa a desconectar sus sistemas. No se identificó al responsable, pero se cree que contaba con el respaldo de un Estado-nación.
«Ya no se trata solo de una disrupción; es una destrucción», advierte Avakian.
Estos ataques impulsados por la inteligencia artificial podrían poner en peligro cadenas de suministro enteras, provocando estragos que van más allá de la pérdida de datos. Imagínese el pánico que se desataría si un gusano informático basado en inteligencia artificial pudiera destruir físicamente el hardware, lo que obligaría a las empresas a tomar medidas urgentes para recuperarse. Los gobiernos y el sector privado tendrán que reforzar la seguridad ciberfísica o afrontar las consecuencias.
7. Las empresas estadounidenses se preparan para afrontar nuevas exigencias de la UE en materia de privacidad relacionadas con la inteligencia artificial
IDC prevé que, para el año que viene, la UE y G7 adoptarán un marco normativo que permita a los particulares bloquear el uso de la información de identificación personal (PII) en la inteligencia artificial, regular dónde puede almacenarse geográficamente dicha información y corregir la información errónea. Es de suponer que una predicción de este tipo iría más allá de lo que recoge la Ley de IA de la UE, recientemente promulgada, . Este amplio marco basado en el riesgo regulará el desarrollo, la implantación y el uso de sistemas de inteligencia artificial « » en Europa.
Según Dickson, de IDC, esta previsión afectará gravemente a las empresas estadounidenses que operan en Europa si no están preparadas para ello. En su opinión, la preparación consiste en disponer de las tecnologías necesarias para impedir que los modelos de lenguaje a gran escala (LLM) que impulsan herramientas de chatbot con IA, como ChatGPT, Gemini o Microsoft Copilot, carguen y utilicen información de carácter personal (PII).
«Si un residente de la UE tiene derecho a bloquear el uso de sus datos, tendrá que asegurarse de que sus plataformas de datos de clientes (CDP) puedan automatizar el bloqueo de dichos datos», afirma. «Si comete un desliz, ese tipo de normativas son muy estrictas, y su incumplimiento podría salirle muy caro».
[Lea también: Cómo prepararse para la Ley de IA de la UE: comience por evaluar su nivel de riesgo]
8. La reducción de los reaseguros cibernéticos provoca una crisis de cobertura
El aumento de los pagos de rescates y de los incidentes de suplantación de identidad en el correo electrónico empresarial (BEC) está llevando a las reaseguradoras a dar un paso atrás. El Sr. Bay, de Cysurance, prevé una «reducción de la reaseguración cibernética» que limitará los fondos de que disponen las compañías de seguros, lo que reducirá el alcance de la cobertura cibernética disponible para las empresas.
Para las empresas, esto supone unas primas potencialmente más elevadas, límites de cobertura más bajos y requisitos de seguridad más estrictos para poder optar siquiera a un seguro, incluso si las tarifas generales de « » siguen bajando. Las reaseguradoras exigirán pruebas de un sólido nivel de seguridad, por lo que las empresas deberán validar rigurosamente sus medidas de protección, afirma Bay.
Este cambio podría dificultar la contratación de seguros cibernéticos justo cuando estos se están convirtiendo en algo imprescindible, añade.
9. La ciberdefensa descentralizada se generaliza
Dado que los sistemas centralizados de ciberseguridad tienen dificultades para mantenerse al día frente a las amenazas en constante evolución, el año 2025 marcará el auge de las redes de ciberdefensa descentralizadas e impulsadas por la comunidad, afirma Sean O'Brien, fundador del Yale Privacy Lab, quien considera que este cambio supondrá un punto de inflexión.
«Veremos un rápido crecimiento de las redes de ciberdefensa descentralizadas que aprovechan la cadena de bloques, el software de código abierto y la tecnología P2P .»Sean O'Brien, fundador del Yale Privacy Lab
«Veremos un rápido crecimiento de las redes descentralizadas de ciberdefensa que aprovechan la cadena de bloques , el software de código abierto y la tecnología P2P », pronostica. Estas redes, u «observatorios», permitirán a las empresas poner en común recursos, de forma muy similar a como lo hacen las organizaciones a la hora de crear programas de ciberseguridad a nivel estatal , y compartir mecanismos de defensa de una manera sin necesidad de confianza y distribuida, afirma.
¿Cuál es el impacto? Este enfoque podría mitigar los riesgos de los puntos únicos de fallo inherentes a los sistemas centralizados, creando una defensa más resistente frente a ataques sofisticados. Para las empresas, esto supone aprovechar los recursos impulsados por la comunidad y la inteligencia sobre amenazas en tiempo real de , que puede adaptarse con mayor rapidez que los modelos tradicionales. Para el año 2025, las defensas descentralizadas podrían ser la solución para liberarse de los marcos de ciberseguridad obsoletos y fácilmente vulnerables.
[Lea también: Una guía práctica para elaborar una estrategia de ciberseguridad a nivel estatal]
10. Los atacantes se aprovechan de las implementaciones descuidadas de la inteligencia artificial
Johannes Ullrich, decano de investigación del Instituto SANS, señala que no todas las implementaciones de IA son iguales. De hecho, es posible que muchas organizaciones, en su prisa por adoptar la IA generativa con fines empresariales y operativos, no implementen esta tecnología teniendo en cuenta en primer lugar las cuestiones de seguridad.
«Los atacantes podrían darse cuenta de que las defensas basadas en IA y aprendizaje automático presentan puntos ciegos específicos debido a que los datos de entrenamiento utilizados para crear estos modelos son incompletos y sesgados», afirma Ullrich. «En algunos casos, si se utilizan modelos de inteligencia artificial para responder de forma automática, los autores de amenazas podrían engañar a dichos modelos para que actúen en nombre del malware».
Avakian afirma que el riesgo de que se produzcan este tipo de ataques pone de manifiesto la necesidad de contar con una gobernanza sólida en materia de inteligencia artificial. Los CISO deben garantizar que las integraciones de IA sean seguras y cumplan con la normativa, afirma. Esto implica desarrollar nuevas políticas en materia de tratamiento de datos, seguridad y cumplimiento normativo, sin frenar la innovación.
Dado que los procesos impulsados por la inteligencia artificial abarcan prácticamente todos los ámbitos de la empresa, desde los recursos humanos hasta la atención al cliente, las empresas necesitarán marcos sólidos para garantizar la seguridad y la eficiencia, añade Avakian. Quienes ignoren la gobernanza de la inteligencia artificial podrían acabar pagando las consecuencias en forma de filtraciones de datos y cuantiosas multas regulatorias.
