Las vulnerabilidades de ciberseguridad aumentan un 62% en Euskadi

Cyberzaintza, la Agencia Vasca de Ciberseguridad, ha analizado durante los seis primeros meses del año 200 incidentes de especial relevancia con impacto potencial en Euskadi, un 57,5% más que los 127 estudiados durante todo 2025, en un contexto en el que las vulnerabilidades de ciberseguridad publicadas en Euskadi han aumentado un 61,7%, hasta alcanzar las 35.494, y más de la mitad presentan una severidad alta o crítica.

La Agencia Vasca de Ciberseguridad ha hecho balance sobre el estado de la ciberseguridad en Euskadi durante el primer semestre del año, a través de varios análisis técnicos que permiten obtener una visión conjunta de la evolución de las principales ciberamenazas, según ha informado el Gobierno Vasco en un comunicado.

Esta foto retrata el 'modus operandi' de los grupos criminales con impacto potencial en Euskadi, la evolución de las vulnerabilidades de ciberseguridad y la actividad de los grupos de 'ransomware' o software malintencionado, según ha informado el Gobierno Vasco en un comunicado.

Los datos reflejan un escenario de mayor actividad y una creciente capacidad de detección. Durante los seis primeros meses del año Cyberzaintza ha analizado 200 incidentes de especial relevancia con impacto potencial en Euskadi, un 57,5% más que los 127 estudiados durante todo 2025, en un contexto de mayor concienciación, detección y comunicación de los incidentes de ciberseguridad.

Al mismo tiempo, se han publicado 35.494 vulnerabilidades de ciberseguridad, un 61,7% más que en el primer semestre del año anterior, mientras que las víctimas publicadas por grupos de 'ransomware' han aumentado un 20,78% a nivel global.

Más incidentes

El análisis del 'modus operandi' de los grupos criminales permite conocer las distintas fases que siguen los atacantes, desde la recopilación inicial de información hasta el acceso a los sistemas, la obtención de credenciales, el movimiento dentro de una red o el robo y cifrado de información.

Durante el primer semestre de 2026, la explotación de aplicaciones expuestas a Internet y el phishing --robo de datos-- comparten protagonismo como principales vías de acceso inicial, representando cada una un 31,9% de las técnicas identificadas en esta fase. El dato supone un cambio respecto a 2025, cuando la explotación de aplicaciones públicas concentraba por sí sola buena parte de los accesos iniciales.

Una vez conseguido el acceso, los atacantes encadenan distintas acciones. Entre las técnicas observadas destacan la explotación de vulnerabilidades para ampliar privilegios, la obtención de credenciales almacenadas en los sistemas y el uso de servicios remotos para desplazarse desde un equipo comprometido hacia otros dispositivos de la misma red.

El cifrado de información continúa además destacando entre las técnicas destinadas a provocar un impacto directo sobre los sistemas, presente en el 50,6% de las técnicas identificadas dentro de esta categoría.

El análisis de vulnerabilidades muestra una evolución especialmente significativa. Durante los seis primeros meses del año, se han publicado 35.494 vulnerabilidades de ciberseguridad, frente a las 21.950 del mismo periodo de 2025, lo que supone un incremento del 61,7%.

Una vulnerabilidad es una debilidad presente en un sistema, aplicación o dispositivo que puede ser aprovechada por un atacante y convertirse en una vía de entrada. No todas las vulnerabilidades llegan a ser explotadas, pero conocerlas y corregirlas con rapidez resulta esencial para reducir la exposición de los sistemas.

Además de aumentar su número, también lo hace su gravedad. Las vulnerabilidades clasificadas como altas o críticas representan ya el 53,12% del total, frente al 18,11% registrado en el mismo periodo de 2025. En concreto, se han identificado 4.230 vulnerabilidades críticas y 14.623 de severidad alta.

Especialmente relevante es el número de vulnerabilidades que ya están siendo utilizadas por los ciberdelincuentes. El informe contabiliza 1.639 vulnerabilidades con explotación activa, un 18,68% más que hace un año, y 146 nuevas vulnerabilidades en explotación activa identificadas durante este semestre.

El análisis revela además que conviven dos tendencias: vulnerabilidades conocidas desde hace años que continúan siendo aprovechadas y nuevas debilidades que comienzan a explotarse poco después de hacerse públicas. Esta evolución reduce el tiempo disponible para reaccionar y refuerza la importancia de mantener una vigilancia y actualización continuas.

Para facilitar este seguimiento, Cyberzaintza publica y actualiza en la sección 'Última hora' de su web las vulnerabilidades detectadas y analizadas, junto con información sobre los sistemas afectados y las medidas que pueden adoptarse para corregirlas o reducir su impacto.

Ransomware

El tercer análisis se centra en la evolución del 'ransomware', un tipo de ciberataque mediante el que los delincuentes consiguen acceder a los sistemas para bloquearlos o cifrar su información y, habitualmente, exigir posteriormente un rescate.

Durante el primer semestre se han contabilizado 4.929 víctimas publicadas por grupos de 'ransomware' a nivel global, un 20,78% más que en el mismo periodo de 2025. También aumenta el número de grupos activos, que alcanza los 108, un 13,68% más.

En Euskadi se han confirmado nueve casos durante los seis primeros meses de 2026, la misma cifra que en el mismo periodo del año anterior. La estabilidad en el número de casos no supone, sin embargo, una reducción de la amenaza en un contexto general de incremento de la actividad de estos grupos. NightSpire ha sido el grupo con mayor impacto identificado en Euskadi durante este periodo, con víctimas principalmente en los sectores de transporte, industria y servicios financieros.

El 'ransomware' muestra además una relación directa con la explotación de vulnerabilidades. Las utilizadas por los grupos más activos se concentran especialmente en tecnologías situadas en el perímetro de las organizaciones, como VPN, firewalls, sistemas de gestión remota, herramientas de transferencia de archivos y soluciones de copia de seguridad.

Un ejemplo es la vulnerabilidad CVE-2024-55591, que afecta a productos de la empresa Fortinet y presenta una gravedad de 9,8 sobre 10. Ha sido asociada a, al menos, cuatro de los diez grupos de 'ransomware' con mayor actividad observados durante el semestre.

La lectura conjunta de los tres análisis permite relacionar las distintas fases de un mismo escenario: los atacantes buscan vías de entrada, aprovechan vulnerabilidades, consiguen acceso a los sistemas y emplean diferentes tácticas hasta alcanzar objetivos como el robo o el cifrado de información.

Por ello, disponer de información actualizada sobre las amenazas es una parte fundamental de la prevención. Desde su Observatorio Tecnológico, Cyberzaintza publica periódicamente informes técnicos sobre 'ransomware', junto con las principales tácticas y técnicas empleadas por la ciberdelincuencia.

Los análisis ponen también de relieve la importancia de combinar diferentes capas de protección: una adecuada política de actualizaciones y parcheo, la gestión segura de identidades y cuentas con privilegios, la autenticación multifactor, la segmentación de redes, las copias de seguridad aisladas y verificadas, la monitorización de sistemas y la existencia de planes de continuidad y respuesta ante incidentes.

De esta forma, la información obtenida a través de la identificación y monitorización de amenazas se integra en un objetivo más amplio: mejorar la prevención, la capacidad de respuesta y la resiliencia de los sistemas y servicios públicos de Euskadi ante un entorno de amenazas cada vez más complejo.