Récord de ciberataques graves: 4.911 en seis meses y alerta por la IA

Los ciberataques graves han alcanzado un récord mundial en 2026. Durante los seis primeros meses del año se registraron 4.911 incidentes de especial gravedad, un 71 % más que en el mismo periodo de 2025 y un 105 % por encima del semestre anterior. Es la cifra más elevada desde que la Asociación Italiana para la Seguridad Informática (Clusit) comenzó a elaborar sus informes. Y hay una preocupación añadida: la inteligencia artificial podría acelerar todavía más la actividad de los ciberdelincuentes.

El informe Clusit 2026, presentado este miércoles 28 de octubre en Verona (Italia), advierte de los primeros indicios del denominado «agentic hacking», una modalidad de ataque en la que agentes de inteligencia artificial pueden ejecutar tareas de forma autónoma, coordinarse y adaptar sus estrategias para vulnerar sistemas informáticos. Los investigadores consideran que esta tecnología podría multiplicar la capacidad de los delincuentes, aunque aclaran que todavía no explica el espectacular aumento de incidentes registrado este año.

Las cifras reflejan un cambio profundo en las amenazas digitales. El crimen informático con fines económicos concentra el 95,4 % de los incidentes mundiales, mientras retroceden los ataques reivindicativos vinculados a causas políticas o ideológicas. Las empresas, sus proveedores tecnológicos y las cadenas de suministro se han convertido en objetivos especialmente atractivos.

El caso de Italia resulta revelador. Aunque el país registra menos incidentes que durante el primer semestre de 2025, los ataques de gravedad elevada han ganado peso y la industria manufacturera se ha convertido en el sector más afectado. La situación pone de manifiesto que una reducción en el número de ataques no siempre significa una mejora de la seguridad.

Los datos también exigen cierta prudencia. Clusit contabiliza incidentes conocidos públicamente y con consecuencias significativas, no todos los ataques que se producen en internet. Su análisis permite identificar tendencias, pero no representa un censo completo de la delincuencia informática mundial.

Los ciberataques se duplican y alcanzan cifras históricas

La magnitud del aumento queda clara al comparar los últimos semestres. Entre enero y junio de 2025 se documentaron 2.873 incidentes graves. En la segunda mitad del año fueron 2.392. Sin embargo, durante los primeros seis meses de 2026 la cifra se disparó hasta los 4.911 casos.

Esto significa que, en apenas medio año, se ha alcanzado el 93 % de los 5.265 incidentes registrados durante todo 2025.

La media mensual también ha crecido considerablemente. En 2021, Clusit contabilizaba unos 171 incidentes al mes. En 2025 fueron 439 y, durante el primer semestre de 2026, la cifra llegó a 819 incidentes mensuales. Junio marcó un máximo histórico con 984 casos.

Hay otro dato que merece atención. Incluso febrero, el mes con menos incidentes del semestre, registró 684, por encima de los 511 contabilizados en abril de 2025, que había sido el peor mes de aquel año.

No obstante, una parte importante de este crecimiento está relacionada con incidentes cuya técnica de ataque no se ha hecho pública. Los casos de este tipo pasaron de 943 en el primer semestre de 2025 a 3.321 en el mismo periodo de 2026, aproximadamente dos tercios del total.

Por el contrario, los incidentes cuya técnica sí se conoce disminuyeron de 1.930 a 1.590.

La diferencia importa. Los nuevos requisitos de notificación y una mayor capacidad para detectar incidentes permiten conocer más casos, pero las organizaciones no siempre divulgan cómo fueron atacadas. Por motivos de seguridad, comerciales o reputacionales, determinados detalles permanecen reservados.

Así pues, el récord es real dentro de la serie de Clusit, aunque no permite concluir que todos los tipos de ataque hayan aumentado en la misma proporción.

El crimen informático domina mientras retrocede el hacktivismo

El cambio más destacado no está únicamente en la cantidad de ataques, sino en sus motivaciones.

Según Clusit, durante el primer semestre de 2026 se identificaron 4.683 incidentes vinculados al cibercrimen, el 95,4 % del total mundial. Se trata de actividades dirigidas principalmente a obtener beneficios económicos mediante extorsiones, robo de información, fraudes o interrupciones de servicios.

Mientras tanto, el hacktivismo, que utiliza técnicas informáticas para defender causas políticas, sociales o ideológicas, experimentó una caída considerable. Los incidentes atribuidos a estas actividades pasaron de 227 en el primer semestre de 2025 a solo 62 en el mismo periodo de 2026, un descenso del 73 %.

También disminuyeron los ataques de denegación de servicio distribuida, conocidos como DDoS, que buscan saturar páginas web o servidores para dejarlos temporalmente inaccesibles. Los casos registrados a escala mundial bajaron de 251 a 68.

Los investigadores plantean varias explicaciones posibles, entre ellas las operaciones policiales contra infraestructuras criminales y la pérdida de repercusión mediática de determinados ataques reivindicativos. No obstante, todavía es pronto para saber si estamos ante un cambio duradero.

El reparto de víctimas también ha evolucionado.

A escala mundial, las organizaciones gubernamentales, militares y policiales vuelven a ocupar el primer puesto, con 751 incidentes, equivalentes al 15,3 % del total. El comercio mayorista y minorista asciende hasta la tercera posición, con 467 casos, mientras que las empresas de tecnologías de la información acumulan 422.

El interés por estas últimas tiene una explicación económica: comprometer a un proveedor tecnológico puede permitir a los delincuentes afectar a numerosos clientes mediante un único ataque.

Italia registra menos incidentes, pero aumenta su gravedad

Italia presenta una evolución distinta de la tendencia mundial. Durante los seis primeros meses de 2026 se contabilizaron 245 incidentes graves, frente a los 280 del mismo periodo de 2025.

La cifra supone una reducción interanual del 12,5 %, aunque también representa un incremento cercano al 8 % respecto a los 227 incidentes del segundo semestre de 2025.

El país concentra aproximadamente el 5 % de los incidentes detectados mundialmente, frente al 9,5 % del semestre anterior.

La aparente mejoría esconde, sin embargo, un problema importante: el 57 % de los incidentes italianos presenta una gravedad elevada, casi 20 puntos porcentuales más que en el conjunto de 2025. Otro 8 % alcanza un nivel crítico.

Parte de esta evolución responde al descenso de los ataques reivindicativos, que suelen provocar interrupciones temporales con consecuencias relativamente limitadas, y al mayor peso de la delincuencia informática dirigida contra empresas.

En Italia, el hacktivismo ha pasado de representar el 38,7 % de los incidentes en 2025 al 17 % durante el primer semestre de 2026. El cibercrimen, por su parte, concentra aproximadamente el 82 %.

Clusit considera que la mejora de las defensas de determinadas administraciones públicas, junto con la aplicación de la legislación italiana de ciberseguridad y la directiva europea NIS2, podría haber contribuido a reducir algunos ataques.

También influiría una recuperación más rápida de los servicios afectados. Son hipótesis razonables, aunque el informe advierte de que deberán contrastarse con los datos del conjunto del año.

La industria manufacturera se convierte en el principal objetivo

Uno de los resultados más significativos del informe afecta al tejido productivo italiano.

La industria manufacturera acumula 45 de los 245 incidentes registrados en Italia, lo que representa el 18,4 % del total. En 2025 su peso era del 12,4 %, mientras que a escala mundial este sector concentra el 5,4 % de los casos.

La diferencia resulta especialmente relevante para un país con una extensa red de pequeñas y medianas empresas industriales.

Los delincuentes encuentran en estas organizaciones un objetivo atractivo porque una interrupción informática puede afectar directamente a la producción, provocar retrasos en las entregas y generar pérdidas económicas. Cuanto mayor sea el coste de detener la actividad, mayor puede ser también la presión para pagar una extorsión.

El malware, término que engloba los programas informáticos maliciosos, vuelve a ocupar el primer puesto entre las técnicas utilizadas en Italia. Está presente en el 43 % de los incidentes, frente al 22,7 % registrado en 2025.

Dentro de la industria manufacturera italiana, su presencia alcanza el 89 % de los casos. En este ámbito destaca el riesgo del ransomware, utilizado para bloquear sistemas o cifrar información y exigir un rescate.

El informe también recoge señales positivas en otros sectores. La proporción de incidentes relacionados con la energía y los servicios públicos disminuye del 2,4 % de 2025 al 1,2 % del primer semestre de 2026. La sanidad, por su parte, ocupa el último lugar de la clasificación italiana.

Aun así, los especialistas recomiendan interpretar estas mejoras con cautela. Los datos de un semestre no bastan para determinar que un sector haya dejado de estar expuesto.

Qué es el «agentic hacking» y por qué preocupa a los expertos

El otro gran asunto del informe apunta al futuro inmediato de la ciberseguridad.

Hasta hace relativamente poco, los ataques informáticos complejos requerían una intervención humana considerable. Los delincuentes debían identificar objetivos, localizar vulnerabilidades, preparar herramientas y ejecutar distintas fases de una intrusión.

La inteligencia artificial está comenzando a modificar ese proceso.

El denominado «agentic hacking» o hackeo mediante agentes de IA consiste en utilizar sistemas capaces de realizar varias tareas encadenadas con un determinado grado de autonomía. Un agente puede analizar información, utilizar herramientas, evaluar resultados y modificar su estrategia según lo que encuentra.

La preocupación surge cuando estas capacidades se aplican a operaciones maliciosas.

En un escenario de ataque automatizado, varios agentes podrían repartirse tareas: identificar sistemas expuestos, detectar fallos de seguridad, probar diferentes métodos de intrusión y ajustar sus acciones según las respuestas obtenidas.

La combinación de vulnerabilidades relativamente sencillas también podría facilitar ataques que, ejecutados manualmente, exigirían más tiempo y conocimientos especializados.

Clusit advierte de que este modelo puede reducir las barreras técnicas para cometer delitos informáticos y aumentar tanto la velocidad como el volumen de las operaciones.

No significa que los ciberdelincuentes dispongan ya, de forma generalizada, de sistemas completamente autónomos capaces de vulnerar cualquier infraestructura. Conviene distinguir entre las capacidades que empiezan a observarse, los riesgos técnicamente plausibles y los escenarios que todavía se consideran futuros.

Los investigadores insisten precisamente en ese matiz: la IA todavía no es el factor determinante del aumento de incidentes de 2026. El problema es lo que podría ocurrir si una parte significativa de los ataques llegara a automatizarse de principio a fin.

Cómo deberán protegerse las empresas frente a los ataques con IA

El avance de estas amenazas obliga a revisar la forma de organizar la seguridad informática, especialmente en empresas que dependen de sistemas digitales para mantener su actividad.

La protección ya no consiste únicamente en impedir accesos no autorizados. También requiere detectar rápidamente una intrusión, limitar su propagación y recuperar los servicios afectados.

En la práctica, siguen siendo esenciales medidas conocidas: actualizar los sistemas, corregir vulnerabilidades, utilizar autenticación multifactor y mantener copias de seguridad aisladas que permitan recuperar la información después de un ataque.

Para las empresas industriales resulta especialmente importante separar las redes administrativas de los sistemas que controlan la producción. Esta segmentación puede impedir que una intrusión en un equipo de oficina termine afectando a una línea de fabricación.

También debe prestarse atención a los proveedores. Una organización puede mantener defensas adecuadas y, aun así, sufrir las consecuencias de un incidente que afecte a una empresa externa de la que depende.

El informe recomienda avanzar hacia defensas específicas frente a amenazas basadas en IA, capaces de analizar grandes cantidades de actividad, detectar comportamientos sospechosos y responder con mayor rapidez.

La propia inteligencia artificial puede ayudar en esa tarea, siempre que se utilice bajo supervisión y con mecanismos que permitan controlar sus decisiones.

Pero la tecnología, por sí sola, no resuelve el problema. Las organizaciones necesitan procedimientos claros para gestionar incidentes, personal preparado y responsabilidades definidas. Una herramienta automática tampoco sirve de mucho si nadie sabe quién debe tomar decisiones cuando deja de funcionar un servicio esencial.

La continuidad de las empresas, el verdadero desafío

El récord de incidentes de 2026 muestra que la delincuencia informática está evolucionando hacia operaciones cada vez más numerosas, profesionalizadas y orientadas al beneficio económico.

La posible expansión del «agentic hacking» añade un factor de incertidumbre. Si los atacantes consiguen automatizar una mayor parte de sus operaciones, las empresas podrían enfrentarse a campañas más rápidas, persistentes y difíciles de gestionar con recursos exclusivamente humanos.

Sin embargo, el riesgo más inmediato sigue siendo bastante conocido: sistemas vulnerables, credenciales comprometidas, programas maliciosos y organizaciones que no están preparadas para recuperar su actividad después de un incidente.

Anna Vaccarelli, presidenta de Clusit, defiende que la ciberseguridad debe entenderse como una condición fundamental para garantizar la continuidad operativa y la resistencia de las organizaciones, y no simplemente como un gasto destinado a cumplir obligaciones legales.

Los datos de este semestre respaldan esa preocupación. En un entorno donde los ataques pueden afectar a fábricas, proveedores tecnológicos, comercios o administraciones públicas, la cuestión ya no se limita a proteger información confidencial.

También está en juego la capacidad de seguir funcionando cuando falla la tecnología. Y esa capacidad será cada vez más importante si la inteligencia artificial termina acelerando los ataques tanto como anticipan los especialistas.