El 64% de pymes evalúa la ciberseguridad de sus proveedores

Mantener la seguridad de las pymes (pequeñas y medianas empresas) no es precisamente una tarea sencilla. Este fundamental grupo impulsa la mitad de la economía mundial, y quienes las dirigen se enfrentan a un amplio abanico de retos, en muchos casos, compaginando responsabilidades en todos los ámbitos, desde las operaciones, las ventas, el marketing, la marca, la tecnología y los recursos humanos, entre otros. Una de sus tareas más complicadas es la de evaluar los riesgos, lo que les exige comprender la constante evolución de las amenazas a las que se enfrentan las empresas. La complejidad de estas amenazas sigue en aumento a medida que los avances tecnológicos, como los agentes de inteligencia artificial, transforman el mundo que nos rodea. 

Por eso la 9ª edición del Informe sobre ciberpreparación de Hiscox coloca el foco en el impacto de estos riesgos digitales en rápida evolución, lo que implican y cómo las pequeñas empresas pueden tomar medidas para atenuar su exposición. El 94% de las pymes espera aumentar sus inversiones en ciberseguridad y protección de datos en los siguientes 12 meses, actualizar la ciberformación de sus empleados (70%) y contratar personal adicional para aumentar la ciberresiliencia (60%). 

Se evidencia, por tanto, la determinación de las pymes de no solo invertir en software y formación, sino también de mantenerse al día con evaluaciones de riesgos y comprobaciones de vulnerabilidad frecuentes, además de contratar ciberseguros. Gracias a este enfoque proactivo, las empresas están mostrando una mayor confianza, y el 83% afirma haber mejorado la ciberresiliencia de su empresa en los últimos 12 meses. 

La complejidad de los riesgos digitales sigue aumentando. Las empresas se enfrentan al reto de gestionar las secuelas de los ataques de ransomware, entre los que encontramos los cambios normativos, como una nueva ley en Australia que obliga a las empresas a revelar las cantidades pagadas en concepto de rescate. Se trata de una norma que también podría adoptarse en otros países, y el 71% de las empresas considera que estas revelaciones deberían ser obligatorias, aunque la tasa baja al 53% en caso de estar implicada una compañía privada. 

El 60% considera que la ingeniería social y el malware basados en IA, y los ataques de phishing serán las principales amenazas que surgirán en los próximos cinco años.

Las pequeñas y medianas empresas continúan enfrentándose a un entorno de riesgo, cada vez más alto, en materia de ciberseguridad. En los últimos meses, los ciberataques no solo han aumentado en frecuencia, sino que también han tenido un impacto significativo en la operativa y la estabilidad financiera de las organizaciones. Según el Informe de Ciberpreparación de Hiscox 2025, solo el 1% de las pymes españolas afectadas logró evitar cualquier tipo de consecuencia derivada de los ciberataques en los últimos 12 meses.

La pérdida financiera por fraude de desvío de pagos sigue siendo la principal consecuencia para el 53% de las empresas afectadas (55% en 2024). Los ataques de denegación de servicios distribuido (DDoS) han afectado al 49% de las organizaciones (51% en el ejercicio precedente). El uso indebido de recursos de TI, como el minado de criptomonedas o la creación de botnets, ha impactado al 43% de las empresas, y el ransomware, incluyendo la extorsión cibernética, ha afectado al 31% de las compañías, frente al 38% del año anterior.

Las brechas de datos también siguen siendo una preocupación relevante. Un 30% de las empresas reporta pérdida de datos no encriptados, frente al 35% de 2024, mientras que el 26% sufrió pérdida de datos encriptados (33% en 2024). Los brotes de virus (excluyendo ransomware) bajan en un año desde el 46% al 20%, desde el 46% en 2024.

Ante este escenario, las empresas españolas están reforzando sus estrategias de prevención mediante la realización de verificaciones de vulnerabilidad cibernética, como pruebas de penetración o simulacros de ataque. El 18% de las organizaciones realiza estas comprobaciones al menos una vez a la semana, un 26% lo hace un par de veces al mes y un 28% aproximadamente una vez al mes. Además, un 19% lleva a cabo estas evaluaciones de forma trimestral. El 72% de las empresas realiza verificaciones al menos mensualmente, y el 91% lo hace como mínimo una vez al trimestre, lo que evidencia un alto grado de concienciación en torno a la identificación de vulnerabilidades. El 99% afirma haber realizado este tipo de pruebas en alguna ocasión.

Por otro lado, las empresas también están preocupadas por la entrada de atacantes a través de sus proveedores o socios. El 64% de las empresas evalúa los riesgos de sus proveedores al menos una vez al mes, mientras que el 88% lo hace como mínimo trimestralmente, lo que pone de manifiesto que la gran mayoría mantiene algún tipo de control regular sobre su cadena de suministro. Además, el hecho de que el 99% de las empresas haya llevado a cabo este tipo de análisis en alguna ocasión refleja una preocupación prácticamente generalizada por los riesgos derivados de terceros y su impacto potencial en la seguridad global de la organización.

Cisco: el ciberdelincuente es vertiginoso en explotar vulnerabilidades

Talos, la división de ciber-inteligencia de Cisco, ha detectado un aumento significativo de los ataques perpetrados por ciberdelincuentes durante 2025. El Cisco Talos Year in Review identifica tres vectores de ataque principales: la explotación generalizada de vulnerabilidades a lo largo de todo el ciclo de vida (desde fallos recién revelados hasta problemas heredados de hace décadas); los ataques dirigidos a la ‘arquitectura de confianza’ (identidad y autenticación); y la explotación de frameworks centralizados y ampliamente utilizados para maximizar el impacto.

“Los adversarios se mueven a una velocidad vertiginosa para explotar vulnerabilidades -a menudo en cuestión de horas-, sin dejar prácticamente tiempo a los equipos de seguridad para reaccionar entre la detección y la infiltración”, afirma Ángel Ortiz, Director de Ciberseguridad en Cisco España. “En esta peligrosa carrera contrarreloj, observamos una gran dependencia de infraestructuras heredadas y obsoletas, que suponen una ‘puerta abierta’ para los atacantes. Si a esto le sumamos el vertiginoso incremento de ataques basados en la identidad, las organizaciones deben reemplazar el antiguo modelo de parcheo reactivo por una estrategia de seguridad proactiva y centrada en la identidad”, advierte.

Entre las conclusiones del informe de Talos:

• La identidad es el objetivo principal. Las técnicas de compromiso de dispositivos dirigidas a la autenticación multi-factor (MFA) y la infraestructura de identidad aumentaron un 178% durante 2025. Al comprometer las credenciales, los atacantes logran extender sigilosamente su alcance mediante el phishing interno y el abuso de los controles de identidad, obteniendo -en la práctica- el control de todo el entorno y facilitando un movimiento lateral persistente.
• Explotación en todo el espectro de vulnerabilidades. Aunque los atacantes utilizan rápidamente vulnerabilidades nuevas y de alto perfil (como React2Shell, que se convirtió en la vulnerabilidad más atacada del año tan sólo tres semanas después de su divulgación), continúan explotando sistemáticamente vulnerabilidades antiguas.
• El riesgo de sistemas heredados persiste. El 32 % de las 100 vulnerabilidades más atacadas tenían más de una década de antigüedad.
• Exposición a sistemas obsoletos. Casi el 40 % de las vulnerabilidades más atacadas afectan a sistemas que ya no pueden recibir parches de seguridad.
• Riesgo de frameworks compartidos. Aproximadamente el 25% de las 100 vulnerabilidades más atacadas afectaban a frameworks y bibliotecas de uso generalizado, permitiendo a los atacantes aprovechar una única vulnerabilidad en múltiples sectores.
• Ransomware industrializado: Qilin fue la variante de ransomware más frecuente en 2025, con alrededor de 40 víctimas al mes. El sector fabricación ha seguido siendo el más atacado.

Cisco recomienda a los equipos de seguridad ir más allá de las medidas reactivas y centrarse en los pilares que realmente detienen a los atacantes. Como concluye Ortiz, “para construir una defensa sólida, las organizaciones deben priorizar tres acciones clave: parchear rápidamente las nuevas vulnerabilidades para adelantarse al cada vez menor margen de explotación, fortalecer la infraestructura de identidad con autenticación MFA resistente al phishing y desmantelar los sistemas obsoletos que actúan como puertas traseras permanentes para los atacantes”.