El informe de tendencias de ciberseguridad de noviembre de 2025, publicado por la Agència de Ciberseguretat de Catalunya, confirma un escenario cada vez más complejo, automatizado y orientado al beneficio económico, donde los atacantes adaptan rápidamente sus tácticas ante la reducción de la rentabilidad de algunas amenazas tradicionales.
Desde una perspectiva de Centro de Operaciones de Seguridad (SOC), el documento aporta señales claras sobre hacia dónde evolucionan los riesgos y qué vectores deben priorizarse en la detección y respuesta.
Ransomware: menos pagos, más ataques y mayor presión operativa
Uno de los puntos más relevantes del informe es la evolución del modelo de negocio del ransomware en 2025.
Aunque el porcentaje de víctimas que acceden a pagar el rescate sigue descendiendo, tanto en ataques de cifrado como en campañas de doble extorsión, los grupos criminales no están reduciendo su actividad. Al contrario.
Durante 2025 se observa:
- Una caída significativa en la tasa de pago de rescates, lo que reduce la rentabilidad directa del ransomware.
- Un descenso del importe medio pagado, señal de que las organizaciones están mejor preparadas o más concienciadas.
- Un incremento global del número de ataques, con un crecimiento cercano al 40% respecto a 2024, alcanzando máximos históricos.
Este cambio de estrategia implica que los atacantes compensan la menor rentabilidad con mayor volumen de ataques, buscando víctimas con menor madurez en ciberseguridad o con sistemas expuestos.
El acceso remoto, principal vector de entrada en 2025
El informe destaca que el acceso remoto comprometido se consolida como el principal punto de entrada en incidentes graves, especialmente en ransomware.
Entre los factores más explotados se encuentran:
- Credenciales robadas o filtradas.
- Servicios de acceso remoto mal configurados.
- Falta de autenticación multifactor (MFA).
- Dispositivos perimetrales sin parchear.
Para los SOC, esta tendencia refuerza la necesidad de:
- Monitorizar de forma continua accesos remotos y VPN.
- Correlacionar inicios de sesión anómalos con comportamiento posterior.
- Aplicar modelos Zero Trust y controles de identidad avanzados.
La Inteligencia Artificial como acelerador de la amenaza
En 2025, la IA deja de ser una herramienta auxiliar y pasa a convertirse en un elemento central de la actividad maliciosa.
El informe señala que la IA está siendo utilizada para:
- Automatizar fases completas del ataque.
- Adaptar malware y técnicas de evasión en tiempo real.
- Optimizar la explotación de vulnerabilidades.
- Escalar campañas con menor esfuerzo humano.
Este salto cualitativo supone que muchas amenazas ya no siguen patrones estáticos, lo que dificulta su detección mediante firmas tradicionales.
Desde el punto de vista defensivo, se hace imprescindible:
- Apostar por detección basada en comportamiento.
- Mejorar la visibilidad sobre APIs, identidades y flujos de datos.
- Reducir el tiempo de detección y respuesta (MTTD / MTTR).
Ciberfraude y campañas oportunistas en eventos de alto consumo
Otro aspecto destacado del informe de noviembre de 2025 es el aumento del ciberfraude, especialmente vinculado a eventos comerciales y campañas de alto consumo, como Black Friday o campañas navideñas.
La combinación de:
- Ingeniería social avanzada,
- Automatización mediante IA,
- Y análisis del comportamiento del usuario,
permite a los atacantes crear fraudes más creíbles, personalizados y difíciles de detectar, afectando tanto a usuarios finales como a empresas.
Este tipo de amenazas refuerza la importancia de:
- La concienciación continua.
- El refuerzo de controles antifraude.
- La monitorización de dominios, marcas y campañas fraudulentas.
Implicaciones clave para el próximo 2026
El informe deja un mensaje claro: la superficie de ataque no deja de crecer y las amenazas evolucionan más rápido que nunca.
Para los SOC, las prioridades estratégicas pasan por:
- Refuerzo del control de accesos e identidades.
- Protección avanzada de accesos remotos.
- Detección temprana de comportamiento anómalo.
- Automatización de respuestas ante incidentes repetitivos.
- Integración de inteligencia de amenazas actualizada.
Para las organizaciones, y especialmente para los SOC, anticiparse, detectar antes y responder más rápido ya no es una ventaja competitiva, sino una necesidad operativa para reducir el impacto de incidentes cada vez más frecuentes y automatizados.
