X-Force Threat Intelligence Index 2026

Por quinto año consecutivo, el sector manufacturero siguió siendo la industria más atacada, representando el 27.7 % de todos los incidentes dentro de las principales industrias. Este continuo ataque refleja su papel crítico en las cadenas de suministro globales y el alto valor de los datos operativos y de propiedad intelectual.

Los atacantes aprovecharon varios métodos para vulnerar los sistemas de fabricación, siendo la explotación de aplicaciones públicas (32 %) el vector más común. Las cuentas válidas (dominio) (16 %) y los servicios remotos externos (11 %) también fueron prominentes, lo que refleja la dependencia de los atacantes de explotar puntos de acceso mal configurados o insuficientemente seguros.

Después de obtener acceso a los entornos de fabricación, los atacantes se centraron en establecer el control, vulnerar los sistemas o exfiltrar datos valiosos. El malware representó el 45 % de las acciones observadas en el objetivo, lo que indica un fuerte énfasis en la interrupción operativa y la extorsión financiera. También se destacó el uso de herramientas legítimas (31 %), mostrando el valor del acceso vulnerado para permitir nuevos ataques.

Las organizaciones de fabricación experimentaron impactos significativos por estos ataques. El robo de datos (40 %) fue el más frecuente, dirigido tanto a activos financieros como a propiedad intelectual, como secretos comerciales. La recolección de credenciales (10 %) aumentó aún más los riesgos, permitiendo el acceso persistente del atacante. El sector también enfrentó desafíos con el daño a la reputación de la marca (20 %), lo que subraya las consecuencias comerciales y sociales más amplias de los incidentes cibernéticos.

La región de Asia-Pacífico continuó siendo el epicentro de los incidentes relacionados con la fabricación, representando el 68 % de los ataques. Norteamérica (23 %) siguió como la segunda región más afectada, lo que refleja la importancia económica de sus operaciones de fabricación. Europa (5 %) y Latinoamérica (2 %) también experimentaron actividad, con una ligera disminución con respecto al año pasado.

El sector de finanzas y seguros se clasificó como la segunda industria más atacada por quinto año consecutivo, solo detrás de la fabricación, y representó el 27 % de todos los incidentes en 2025. El sector siguió siendo un objetivo de alto valor dado su papel crítico en la economía global y el valor significativo de sus datos y activos financieros.

Los atacantes violaron principalmente los sistemas financieros y de seguros mediante la explotación de aplicaciones públicas (36 %). Las cuentas válidas (dominio) (14 %) y los servicios remotos externos (14 %) también fueron tácticas comunes, destacando la necesidad de prácticas robustas de gestión de credenciales y acceso, así como de monitorear vulnerabilidades de acceso remoto.

Una vez que los atacantes estaban dentro, la atención se centraba en el reconocimiento y la exfiltración de datos. La acción más observada en el objetivo fue el despliegue de malware (54 %) y el uso de herramientas legítimas (29 %).

El sector enfrentó impactos sustanciales por estos incidentes. La recolección de credenciales (46 %) y las fugas de datos (31 %) fueron las más comunes, y los atacantes se centraron en robar y filtrar información confidencial y comprometer las credenciales de las cuentas. Otros impactos, como la reputación de la marca (15 %), destacaron los intentos adicionales de empañar la identidad de la marca y la reputación general dentro del sector.

A nivel regional, Europa experimentó el mayor volumen de incidentes (35 %), probablemente impulsados por la concentración de las principales instituciones financieras de la región, la complejidad regulatoria en todas las jurisdicciones y su papel central en los mercados financieros globales. Le siguió la región Asia-Pacífico (19 %), impulsada por su crecimiento económico y su huella digital en expansión. Norteamérica (19 %) también siguió siendo un objetivo importante este año, empatando con la región de Asia-Pacífico. Latinoamérica (16 %) registró una actividad notable con menos casos en comparación con el año anterior, mientras que Oriente Medio y África solo experimentaron un 12 % incidentes en 2025.

El sector de servicios profesionales, empresariales y de consumo se clasificó como la tercera industria más atacada por segundo año consecutivo, representando el 9 % de todos los incidentes. Este sector diverso, que comprende servicios profesionales como consultorías, empresas de gestión y bufetes de abogados; servicios empresariales, como empresas de TI, tecnología y relaciones públicas; y servicios al consumidor, como sector inmobiliario, entretenimiento y recreación, sigue siendo un objetivo de alto valor debido a su dependencia de datos confidenciales y dependencias operativas.

Los atacantes usaron diversas tácticas para lograr sus objetivos, siendo el malware (50 %) la acción más común observada. El acceso al servidor (25 %) y el secuestro de hilos de correo electrónico (25 %) también fueron destacados, lo que refleja el interés de los atacantes en establecer el control y permitir más actividades maliciosas.

La explotación de aplicaciones (33 %), los servicios remotos externos (33 %) y la vulneración por descarga silenciosa (33 %) fueron los tres vectores de acceso iniciales que afectaron a esta industria.

El principal impacto de estos incidentes fue el robo de datos (33 %), lo que pone de relieve la intención de los atacantes de exfiltrar y monetizar datos confidenciales. La recolección de credenciales (17 %), la fuga de datos (17 %), la extorsión (17 %) y la destrucción de datos (17 %) también destacaron los riesgos financieros y de reputación que representan para las organizaciones de este sector.

A nivel regional, Europa experimentó el mayor volumen de incidentes, al representar el 50 % de los casos, seguido de América del Norte (21 %) y Asia-Pacífico (14 %). La actividad en Oriente Medio y África (7 %) y Latinoamérica (7 %) fue menor, lo que refleja las disparidades regionales en cuanto a los objetivos y el enfoque de los atacantes.

El sector energético, que incluye empresas de servicios públicos eléctricos, empresas de petróleo y gas e industrias relacionadas, se clasificó como la cuarta industria más atacada, representando el 8 % de todos los incidentes. La infraestructura energética siguió siendo un objetivo persistente debido a su papel crítico en el mantenimiento de las operaciones globales y al impacto descomunal que pueden causar incluso las interrupciones limitadas.

Los atacantes emplearon una amplia gama de tácticas, con el acceso al servidor (29 %) y el malware (29 %) entre las acciones más observadas en los objetivos. Las técnicas adicionales incluyeron la vulneración del correo electrónico empresarial, la desfiguración y el uso de herramientas legítimas (14 % cada una), mostrando un amplio espectro de estrategias destinadas a obtener acceso y control, robar datos y monetizar las filtraciones.

El principal método de acceso inicial utilizado fue la explotación de aplicaciones públicas (50 %). También hubo una distribución equitativa en vectores de acceso adicionales, como relaciones de confianza, compromiso de la cadena de suministro (suministro de software) y phishing (focalizado) (17 % cada uno). Esta distribución destaca la adaptabilidad de los atacantes y su enfoque en explotar el error humano y las vulnerabilidades en los sistemas expuestos. En cuanto al impacto en la industria energética, existe una división equitativa entre la recolección de credenciales y las fugas de datos.

La región de Asia-Pacífico experimentó el mayor volumen de incidentes, representando el 27 % de los casos, y Europa le siguió en segundo lugar con un 22 %. Otras regiones, como Latinoamérica (17 %), América del Norte (17 %) y Oriente Medio y África (17 %), vieron una distribución uniforme de los ataques, lo que enfatiza la naturaleza global de las amenazas a la infraestructura energética.

El sector del transporte fue la quinta industria más atacada en 2025, representando el 8 % de todos los incidentes. Este hallazgo refleja el papel crítico del sector en la logística, el comercio y la infraestructura globales, lo que lo convierte en un objetivo tanto para los atacantes motivados financieramente como para aquellos que buscan interrumpir las operaciones.

El malware (60 %) fue la acción más importante en el objetivo para la industria, seguido de un empate en el segundo lugar por el spam y la vulneración del correo electrónico empresarial (20 % cada uno).

Los dos vectores de ataque observados para esta industria fueron la explotación de aplicaciones públicas y cuentas válidas (50 % cada una).

El sector del transporte se enfrentó a impactos significativos, siendo las fugas de datos (100 %) el único impacto observado, lo que refleja el interés de los atacantes en monetizar información confidencial.

A nivel regional, Europa experimentó el mayor volumen de incidentes, representando el 42 % de los ataques, seguida de Asia-Pacífico (25 %), Norteamérica (25 %) y Latinoamérica (8 %). La concentración de incidentes en Europa refleja la creciente importancia de la región en el transporte y la logística globales, así como su superficie de ataque en expansión.

El sector minorista representó el 6 % de los incidentes en 2025, un aumento muy ligero con respecto al año anterior. La fuerte dependencia de los minoristas en la infraestructura digital para almacenar datos de consumidores y procesar transacciones continuó haciendo del sector un objetivo atractivo para obtener ganancias financieras o interrupciones operativas.

Los atacantes usaron una variedad de tácticas, siendo el acceso al servidor y el uso de herramientas legítimas (38 % cada una) las acciones más observadas. Le siguieron el secuestro de hilos de correo electrónico y el malware (13 % cada uno). Estos métodos ponen de relieve el interés de los atacantes por acceder y explotar sistemas sensibles con el fin de obtener mayores beneficios económicos u operativos.

El principal vector de acceso inicial fue la explotación de aplicaciones públicas (43 %), lo que subraya la importancia de proteger los servicios expuestos a Internet y corregir rápidamente las vulnerabilidades para evitar el acceso no autorizado. Otros vectores de acceso inicial notables incluyen cuentas válidas (en la nube), cuentas válidas (locales), cuentas válidas (predeterminadas) y servicios remotos externos (14 % cada uno). La recolección de credenciales (100 %) también dominó el impacto en este sector, lo que muestra el aumento de atacantes que monetizan los datos robados.

A nivel regional, Europa (50 %) experimentó la mayor proporción de incidentes relacionados con la venta minorista, seguida de Norteamérica (40 %) y Asia-Pacífico (10 %). Esta distribución subraya la concentración de amenazas en regiones con un gran volumen de actividad de venta minorista e infraestructura digital.

El sector mayorista representó el 6 % de los incidentes en 2025, lo que representa un aumento de seis veces con respecto al año anterior. Los mayoristas, responsables de distribuir productos de los fabricantes a los minoristas o directamente a los consumidores, son eslabones críticos en la cadena de suministro global, lo que hace que las interrupciones en este sector sean impactantes.

El acceso al servidor (29 %) fue la acción más común en el objetivo, seguido de cerca por el abuso de herramientas legítimas y malware (28 % cada uno). Los atacantes emplearon dos vectores iniciales principales en incidentes mayoristas: cuentas válidas (local) (50 %) y phishing (focalizado mediante servicio) (50 %), destacando un enfoque en métodos de ataque diversos y potencialmente personalizados.

La recolección de credenciales fue el único impacto observado que afectó directamente a esta industria. A nivel regional, solo se observaron incidentes en Norteamérica (100 %), lo que subraya un escenario geográficamente concentrado dentro de este sector.

El sector de la atención médica representó el 4 % de todos los incidentes, pasando del séptimo lugar el año pasado al octavo este año. A pesar de su clasificación más baja, el sector sigue siendo un objetivo de alto valor debido a su dependencia de los datos confidenciales de los pacientes, la necesidad de operaciones ininterrumpidas y la prevalencia de sistemas existentes.

Los atacantes se centraron predominantemente en el malware (50 %), así como en el acceso al servidor y las herramientas legítimas (25 % cada uno) como sus principales acciones en el objetivo, lo que refleja un enfoque tanto en la interrupción operativa como en la extorsión financiera. Estas acciones destacan la vulnerabilidad del sector a los ataques que comprometen los sistemas y toman como rehenes los datos o servicios.

El único vector de acceso inicial observado fue la explotación de aplicaciones públicas (100 %), lo que enfatiza los riesgos que plantean los sistemas expuestos y la necesidad urgente de prácticas sólidas de gestión de vulnerabilidades.

A nivel regional, Norteamérica (57 %) experimentó el mayor volumen de incidentes relacionados con la atención médica, seguida de Asia-Pacífico, Europa y Latinoamérica (14 % cada uno), lo que indica una concentración significativa de amenazas en regiones con infraestructura de atención médica avanzada.

El sector gobierno representó el 3 % de todos los incidentes en 2025. A pesar de la menor tasa de incidentes del sector, las entidades de gobierno siguen siendo objetivos de alto valor debido a la gran cantidad de datos confidenciales que gestionan, incluida la inteligencia a nivel estatal, los activos clasificados y la información de identificación personal (PII).

Los atacantes utilizaron predominantemente el acceso al servidor y las herramientas (50 %) y la adquisición de credenciales (50 %) como sus principales acciones en el objetivo, lo que refleja un enfoque en la explotación de vulnerabilidades y la obtención de datos de autenticación para ampliar su posición en los entornos objetivo. Estas técnicas ponen de relieve la exposición continua del sector a métodos que permiten el acceso no autorizado y facilitan la posterior interrupción operativa o el robo de datos. Los dos vectores de acceso inicial observados se dividieron equitativamente entre cuentas válidas (local) y phishing (archivos adjuntos de phishing focalizado) (50 % cada uno), lo que demuestra la capacidad de los atacantes para explotar la deficiente gestión de credenciales y el error humano para infiltrarse en los sistemas.

A nivel regional, Norteamérica (80 %) experimentó el mayor volumen de incidentes relacionados con el gobierno, seguida de Medio Oriente y África (20 %), lo que refleja la importancia estratégica de las entidades gubernamentales en estas regiones y su relevancia como objetivos para los delincuentes cibernéticos y los actores estatales.