El panorama de la ciberseguridad ha dado un giro radical. Si 2025 fue el año de la experimentación, 2026 está marcado por una aceleración de los ataques sin precedentes, una mayor sofisticación operativa y, paradójicamente, por fallos de seguridad que siguen siendo evitables.

Así se desprende del informe Global Incident Response Report 2026, publicado esta semana por la empresa norteamericana Palo Alto Networks, y elaborado a partir de más de 750 investigaciones reales de respuesta a incidentes realizadas por Unit 42, uno de los equipos de referencia mundial en inteligencia de amenazas y ciberataques.

Uno de los datos más relevantes de este documento es la drástica reducción del tiempo entre la intrusión y la exfiltración de datos. Gracias a la automatización impulsada por inteligencia artificial (IA), los actores maliciosos han logrado cuadruplicar la velocidad de sus ataques. En los más rápidos, los ciberdelincuentes lograron robar información en apenas 72 minutos, frente a las casi cinco horas el año anterior.

La IA se ha consolidado, por tanto, en un multiplicador de fuerza para los cibercriminales, haciéndolos más sofisticados y eficientes: esta tecnología acelera la explotación de vulnerabilidades, mejora la calidad del phishing, automatiza el desarrollo de malware y profesionaliza la extorsión digital. Este cambio obliga a las organizaciones a replantear sus capacidades de detección y respuesta, ya que la ventana de actuación es cada vez más estrecha.

La identidad digital, el nuevo perímetro de seguridad

El análisis realizado por Unit 42 confirma que la identidad se ha convertido en la vía más fiable para comprometer a las organizaciones. En casi el 90% de los incidentes analizados, las credenciales robadas, tokens o configuraciones incorrectas de identidad, jugaron un papel clave.

En entornos dominados por SaaS, cloud y trabajo remoto, el perímetro tradicional ha perdido relevancia: ahora el acceso lo define quién eres, no desde dónde te conectas. El abuso de credenciales robadas, la evasión de la autenticación multifactor y el uso indebido de tokens OAuth permiten a los atacantes moverse lateralmente sin levantar sospechas.

A esto se suma un problema estructural: el exceso de privilegios. El informe revela que el 99% de las identidades cloud analizadas tenían permisos innecesarios, lo que amplía de forma crítica la superficie de ataque.

Riesgos de la supply chain 

El riesgo en la cadena de suministro de software ya no se limita a librerías vulnerables, los atacantes explotan integraciones SaaS, herramientas de terceros y accesos delegados para comprometer a múltiples organizaciones a la vez. Una sola brecha en un proveedor puede desencadenar un efecto dominó de interrupciones operativas y crisis reputacionales.

Las integraciones OAuth sobredimensionadas, los conectores olvidados y las dependencias indirectas en proyectos de software se han convertido en puntos ciegos habituales. La falta de inventarios actualizados y de visibilidad sobre permisos heredados dificulta la evaluación del impacto real cuando un proveedor es comprometido.

Extorsión sin ransomware

Aunque el ransomware sigue presente, el estudio muestra una clara tendencia hacia la extorsión sin cifrado. El robo de datos, las amenazas de filtración y el acoso directo a empleados o clientes se utilizan cada vez más como palanca de presión, incluso cuando los sistemas siguen operativos.

En paralelo, los actores estatales están adaptando sus tácticas a entornos modernos, utilizando identidades sintéticas, procesos de selección falsos y compromisos profundos de infraestructuras virtualizadas. Estas campañas priorizan la persistencia y el sigilo, lo que dificulta enormemente su detección temprana.