Las cinco tendencias que marcarán la ciberseguridad en 2025

Aunque el número de empresas que cuenta con medidas específicas para prevenir ciberataques ha crecido en 2024, el factor humano continuará siendo una de las principales amenazas para infraestructuras críticas, entes públicos y empresas privadas.

La posibilidad de que el panorama geopolítico actual suponga un incremento en el riesgo de sufrir ataques en infraestructuras críticas, o la irrupción de la IA como factor de generación de nuevas oportunidades y amenazas, serán tendencias que marcarán el transcurso de 2025 en lo que a ciberseguridad se refiere. Además, el nuevo año estará marcado, desde sus inicios, por el error humano como factor de riesgo y por la consolidación del e-mail como vector de entrada de los ataques.

De acuerdo con las previsiones de Nettaro, especialista español en ciberseguridad y observabilidad, 2025 será un año de cambio en el paradigma digital. Si 2024 fue momento de concienciación sobre la necesidad de implantar medidas para reducir o mitigar el riesgo de sufrir ciberataques, en 2025, la aparición de nuevas amenazas y la consolidación de algunas que ya estaban presentes en años anteriores obligará a redoblar los esfuerzos en prevención proactiva y a aumentar de forma decisiva los presupuestos dedicados a la ciberseguridad. Por ello, Nettaro identifica las cinco tendencias que marcarán el nuevo año en materia de ciberseguridad.

1. Nuevas medidas de prevención frente a posibles ataques de actores-estado a infraestructuras críticas

En un contexto geopolítico marcado por la continuación de los conflictos bélicos en Oriente Medio y Europa del Este, la posibilidad de que se produzcan ataques a infraestructuras críticas cobra una importancia que gobiernos y empresas no deberían descartar. Bien para desestabilizar a un gobierno, para minar su credibilidad internacional o simplemente para exhibir una muestra de su poder, en 2025 es previsible que se incrementen los episodios de ransomware de doble extorsión, por los que se produce la sustracción de datos relevantes que se cifran posteriormente para exigir una importante cantidad de dinero para evitar su divulgación. Además, la posibilidad de que se produzcan ataques de denegación de servicio dirigidos a infraestructuras como centrales energéticas, hospitales o entidades bancarias multiplica aún más el riesgo y la necesidad de incrementar medidas de prevención.

2. La IA como nuevo actor en la ciberseguridad

Las amenazas relacionadas con el uso de la IA aumentarán de aquí a 2025 gracias a su capacidad de automatización y personalización. En el caso del malware, se multiplicarán las amenazas por procesos que hagan uso del machine learning para adaptarse y evolucionar, modificando su estructura en función del entorno para evadir las defensas de seguridad. De la misma forma, cobrarán gran importancia los ataques de phishing personalizados, que harán uso de la capacidad de análisis y posicionamiento de datos, creando correos fraudulentos personalizados al máximo, dirigidos expresamente a contactos vulnerables en una determinada empresa o entidad.

A pesar de estos riesgos, la IA también será una importante aliada en la prevención de ciberataques, especialmente en lo que a detección temprana de amenazas se refiere, ya que permite llevar a cabo análisis de grandes volúmenes de datos que permiten identificar patrones y anomalías que anticipen un ataque inminente. La automatización también se trasladará a la respuesta frente a incidentes, ya que permitirá aislar sistemas infectados o aplicar parches correctivos sin necesidad de intervención humana, lo que reducirá el riesgo de expansión de la amenaza al resto de sistemas de la empresa afectada. Igualmente, gracias a la IA será posible detectar con antelación vulnerabilidades en sistemas y aplicaciones de forma más eficiente, y reducir los riesgos de ataques aplicando aprendizaje automático aplicando información sobre riesgos ya conocidos.

3. El impacto de NIS2 y DORA y la adaptación de las medidas a la normativa

Según el informe presentado por ENISA sobre el estado de la ciberseguridad en la Unión Europea, el número de incidentes de ciberseguridad aumentó un 24 por ciento en 2024 en comparación con el año anterior. La nueva normativa europea sobre ciberseguridad obligará en gran medida a las empresas e instituciones públicas a invertir en nuevas tecnologías.

Aunque la directiva NIS2 (Network and Information Security) debería haber entrado en vigor a finales de 2024, será en 2025 cuando los estados estén obligados a su puesta efectiva en marcha al elaborar una lista de entidades esenciales e importantes a las que afectará directamente su aplicación-. Dirigida especialmente para proteger los datos en los considerados sectores críticos (banca, servicios financieros, sanidad, transporte o gestión de aguas, entre otros), esta directiva exige medidas en un amplio espectro, desde la aplicación de parches de seguridad hasta la aplicación de medidas para asegurar la transmisión de información mediante la red.

El Reglamento DORA (Digital Operational Resilience Act) también centrará la atención en materia de ciberseguridad en 2025. Creada con el objetivo de mejorar la resiliencia operativa y la ciberseguridad en el sector financiero, esta normativa busca establecer requisitos para la gestión de incidentes con el fin de proteger, detectar, contener, recuperar y reparar incidentes relacionados con las tecnologías de la información. Todo ello, reconociendo que los incidentes de ciberseguridad y la falta de resiliencia operativa puede ser una causa de graves conflictos, poniendo en riesgo la solidez de todo el sistema financiero europeo.

4. El factor humano como eslabón más débil de la cadena de ciberseguridad

Ningún sistema de seguridad es lo suficientemente robusto y seguro para evitar una ciberamenaza si un humano abre la puerta de sus aplicaciones críticas a un atacante. Según el Foro Económico Mundial, el 95 por ciento de los incidentes de ciberseguridad se deben a errores humanos. Contraseñas débiles o desprotegidas, uso de software no aprobado o de proveedores no probados, no actualizar los dispositivos o falta de concienciación sobre los riesgos de los ataques de phishing son algunos de los principales errores.

Por ello, en 2025 aumentarán exponencialmente las iniciativas destinadas a educar y sensibilizar a los usuarios sobre los riesgos de los ciberataques. El objetivo es crear una mayor cultura de seguridad en las empresas, sobre los riesgos y amenazas y dónde se producen y, sobre todo, sobre qué medidas se deben tomar para prevenirlos y mitigar al máximo sus posibles consecuencias. En este sentido, proliferarán las soluciones automatizadas de concienciación en materia de seguridad. Éstas deberían permitir diseñar, programar, supervisar y evaluar la actuación en materia de seguridad de los empleados de una determinada empresa sin necesidad de intervención humana. Gracias a la detección automática de riesgos, es posible personalizar la formación para responder a necesidades específicas. Esto multiplica su eficacia y reduce el tiempo y la inversión requeridos por las empresas.

5. el correo electrónico como principal vector de ciberataques

Según el informe HP Wolf Security Threat Insights, el 53 por ciento de las amenazas del año pasado procedían del correo electrónico, mientras que el 25 por ciento provenían de descargas directas a través de navegadores web. Como resultado, los casos de robo de identidad mediante cracking , (ya sea mediante ataques de fuerza bruta o de diccionario), robar (obtención de datos de la cuenta directamente del usuario a través de malware o campañas de phishing ), stuffing (utilizar la información filtrada en las filtraciones de datos para reutilizarlos o comprarlos) como también la compra directa de bases de datos que contienen datos filtrados utilizados en ataques anteriores, siguen siendo habituales.

En cualquier caso, el asesoramiento y apoyo de especialistas como Nettaro no sólo permite responder en caso de ciberataque, sino que también sienta las bases para prevenir, reconocer y reducir los riesgos y para concienciar a los usuarios de los riesgos que corren y de sus consecuencias.

nettaro.com