Los ciberataques a servicios esenciales ya llegan a la cadena de frío. Congeladores de supermercado que han superado los 100 ºC, bancos de sangre alterados y centros de control aeroportuario saturados de falsas alarmas de bomba dibujan un mapa que hasta hace poco parecía de ciencia ficción. Detrás de casi todos esos incidentes hay un mismo acelerador: la inteligencia artificial.
El dato que mejor mide la escalada lo aporta Check Point Software. Eusebio Nieva, su director técnico para España y Portugal, sitúa en unas 2.200 ataques semanales la presión que sufre en Europa el sector de bienes de consumo y servicios, el paraguas que incluye a los minoristas. Es un 43% más que un año antes. En el conjunto del planeta la media alcanza los 2.350 ataques por semana y el alza se queda en el 40%.
La factura sube al mismo ritmo. Según el informe Cost of a Data Breach 2026 de IBM, el coste medio de una brecha informática roza ya los cinco millones de dólares, un 12% más interanual. Ese mismo documento cifra en un 56% el incremento de los ataques ejecutados con IA durante los últimos doce meses. Una brecha costaba en 2020 prácticamente la mitad.
Del lineal del supermercado al panel de control
Los objetivos han cambiado de naturaleza. El cibercrimen clásico buscaba la base de datos con tarjetas y salía por donde había entrado. El actual se instala en la fontanería de las infraestructuras críticas: un termómetro industrial, una interfaz de proveedor, el cuadro de mandos de una planta. Nada de eso parece estratégico hasta que deja de funcionar.
La velocidad explica el resto. Rosalía Río, directora comercial de Tranxfer, apunta un dato que resume el cambio de equilibrio: si antes transcurrían de media 52 días entre el primer acceso y la ejecución del programa malicioso, ahora son cinco. Apenas queda margen para detectar, avisar y cortar. La IA no solo escribe el código; también redacta el correo que convence a la persona adecuada.
La defensa ya no se pierde en el firewall, se pierde en la contraseña que nadie cambió y en la actualización que se aplazó un trimestre más.
Óscar Navarro, de S2Grupo, lo ejemplifica con una frialdad incómoda: elevar la consigna de temperatura de una cámara frigorífica está al alcance de cualquier actor con acceso a un panel expuesto en internet, sin saber nada de refrigeración. La cadena de frío de nueve países europeos no se comprometió con un exploit de Estado. Se comprometió con contraseñas sin cambiar y accesos de proveedores sin supervisar.
El eslabón que nadie actualiza
El factor humano sigue siendo la puerta principal. Sergi Gil, socio de Ciberseguridad de KPMG en España, calcula que en el 90% de los casos el virus entra mediante las personas. La IA ha vuelto ese porcentaje más peligroso, porque el mensaje malicioso ya llega escrito en el idioma correcto y con el tono del jefe. Los tres disparadores de siempre —miedo, urgencia y autoridad— funcionan igual de bien que hace una década.
Luis Corrons, security evangelist en Gen, la compañía detrás de Norton y Avast, rebaja el dramatismo tecnológico y sube el operativo. Las pymes pueden mejorar mucho su protección sin un desembolso desproporcionado, pero la mayoría de los ataques que se detectan llega por no aplicar actualizaciones, no activar la autenticación multifactor o configurar mal los sistemas. Medidas conocidas desde hace años. Medidas que se siguen saltando.
El perímetro, además, se ha disuelto. Flavia Santoro, directora del Barcelona Cybersecurity Congress, insiste en el punto que muchos responsables de compras olvidan: estamos todos conectados, y una empresa debería conocer y exigir el nivel de protección de sus proveedores. El teletrabajo y la nube no son inseguros por naturaleza, pero multiplican los sistemas y las relaciones de confianza que hay que vigilar cada día.
Una línea Maginot hecha de firewalls
La comparación con la línea Maginot no es un adorno retórico. Aquella fortificación francesa no cayó por la fuerza de las armas: quedó sin propósito cuando el enemigo avanzó por donde no había muro. Churchill advirtió que su peligro real era la falsa sensación de seguridad que proyectaba sobre quien confiaba en ella. El paralelismo con buena parte de los planes corporativos de ciberseguridad es demasiado literal para ignorarlo.
Hay una contradicción que conviene nombrar en voz alta. La IA abarata el ataque y encarece la defensa, pero el grueso del daño se produce en puntos que no exigen ninguna sofisticación. Ahí está el riesgo que el sector prefiere no mirar: la inversión en ciberseguridad no tiene un retorno medible, solo pérdidas evitadas, y eso la convierte en la primera partida que se aplaza cuando el margen aprieta.
Sergi Gil lo resume sin rodeos. Actualizar puede obligar a parar el proceso productivo, y muchas empresas prefieren el riesgo diferido. Es una decisión racional a corto plazo y letal a medio. El atacante necesita acertar una vez; el defensor, todas.
El contexto geopolítico añade una capa que el marco regulatorio europeo todavía no ha digerido del todo. En una guerra híbrida, un Estado no busca el botín, busca el acceso persistente a sistemas estratégicos, la interrupción de un servicio o la influencia sobre la opinión pública. El robo de criptomonedas a Binance atribuido a Corea del Norte es la versión visible de algo mucho más silencioso y mucho más paciente.
Mi lectura es que el problema no se resolverá con más herramientas, sino con mantenimiento. Según el informe de IBM, el coste medio de una brecha casi duplica el de 2020, y eso ocurre mientras las medidas básicas siguen pendientes en miles de empresas españolas. La asimetría es brutal en recursos y en tiempo.
Queda un hito para comprobarlo. El próximo Cost of a Data Breach, previsiblemente en el verano de 2027, dirá si el coste medio sigue escalando o si las medidas básicas han empezado a morder de verdad. Mientras tanto, la pregunta no es si volverá a fallar un termómetro industrial. La pregunta es si para entonces alguien habrá cambiado la contraseña del panel.
