Informe sobre el panorama de amenazas 2025 de ExtraHop: ideas clave

El panorama de amenazas que enfrentan las organizaciones ha llegado a un punto de inflexión crítico. Lo que antes eran incidentes de seguridad aislados se han transformado en riesgos sistémicos capaces de paralizar industrias enteras. El Informe Global del Panorama de Amenazas 2025 de ExtraHop revela una realidad preocupante: las organizaciones experimentan menos ataques de ransomware en general, pero los que ocurren son mucho más dañinos y costosos que nunca.

Este análisis examina los hallazgos del informe desde la perspectiva de la seguridad de datos y el cumplimiento, identificando los desafíos específicos que los CISOs, responsables de cumplimiento y gestores de riesgos deben enfrentar. Exploraremos cómo la expansión de la superficie de ataque, los plazos extendidos de detección y las brechas en la respuesta operativa generan exposición regulatoria, y cómo las plataformas unificadas de gobernanza de datos pueden ayudar a las organizaciones a enfrentar estos retos de manera directa.

Conclusiones clave

1. Los ataques de ransomware son menos frecuentes, pero mucho más dañinos. Las organizaciones experimentan ahora un 25% menos de incidentes, pero los pagos promedio de rescate han aumentado a 3,6 millones de dólares, un millón más que en 2024. El sector sanitario paga el promedio más alto con 7,5 millones de dólares, mientras que el 70% de las organizaciones afectadas termina pagando el rescate.
2. Los tiempos de detección extendidos generan exposición regulatoria. Los actores de ransomware mantienen el acceso durante un promedio de dos semanas antes de ser detectados, y se requieren dos semanas adicionales para contener el incidente. Esta ventana de cuatro semanas hace que cumplir con los requisitos de notificación de 72 horas del GDPR y 60 días de HIPAA sea extremadamente difícil.
3. La nube pública y las integraciones de terceros son las principales superficies de ataque. Los entornos en la nube representan la mayor preocupación de ciberseguridad con un 53,8%, seguidos por los servicios de terceros con un 43,7%. Brechas importantes como Snowflake (165 clientes afectados) y Salt Typhoon demuestran cómo las intrusiones pueden extenderse a toda la base de clientes.
4. El phishing sigue siendo el principal punto de entrada para los atacantes. La ingeniería social y el phishing representan el 33,7% de los vectores de acceso inicial, seguidos por vulnerabilidades de software con un 19,4%. Las credenciales comprometidas permiten a los atacantes moverse lateralmente, escalar privilegios y operar sin ser detectados durante períodos prolongados.
5. Las herramientas de seguridad fragmentadas debilitan la eficacia del SOC. La visibilidad limitada del entorno (40,98%), la falta de personal suficiente (38,53%) y las herramientas dispares e integradas de forma deficiente (34,04%) dificultan la respuesta ante amenazas. La monitorización unificada en todos los canales de intercambio de datos elimina puntos ciegos y permite una correlación de incidentes más rápida.

Expansión de la superficie de ataque y riesgo de terceros

Las organizaciones enfrentan un ecosistema digital cada vez más complejo, donde cada punto de conexión representa una posible exposición. El informe de ExtraHop identifica tres superficies de ataque que los líderes de seguridad consideran los riesgos de ciberseguridad más significativos.

• Los entornos de nube pública encabezan la lista con un 53,8%, con una preocupación especialmente alta en Estados Unidos (61,6%) y el sector tecnológico (59,2%). La brecha de Snowflake en 2024 demostró cómo las intrusiones en plataformas en la nube pueden afectar a toda la base de clientes. Al menos 165 clientes de Snowflake, incluidas grandes organizaciones como Pure Storage y AT&T, sufrieron exposición de datos que finalmente impactó a sus propios clientes.
• Los servicios e integraciones de terceros ocupan el segundo lugar con un 43,7%. El sector de telecomunicaciones considera este riesgo al mismo nivel que la infraestructura de nube pública. Esta percepción surge de incidentes reales como los ataques Salt Typhoon, donde los actores de amenazas comprometieron a grandes proveedores como Verizon, AT&T, T-Mobile y Lumen Technologies al infiltrarse en proveedores y contratistas externos.
• Las aplicaciones de IA generativa representan la tercera mayor preocupación con un 41,9%, superando a los sistemas heredados (23,5%) y los dispositivos endpoint (30,6%). Francia muestra el mayor nivel de preocupación por los riesgos relacionados con IA con un 59%, mientras que los EAU presentan el nivel más bajo con un 36,8%.

Implicaciones de cumplimiento por la expansión de la superficie de ataque

Cada conexión externa introduce posibles riesgos de soberanía de datos y trazabilidad de auditoría. Cuando las organizaciones dependen de múltiples plataformas SaaS, puertas de enlace de correo electrónico y servicios de uso compartido de archivos no gestionados, crean entornos de control fragmentados que dificultan enormemente demostrar el cumplimiento.

Considera los requisitos bajo NIST CSF 2.0, ISO 27001 o el Artículo 28 del GDPR sobre la responsabilidad de los procesadores. Estos marcos esperan que las organizaciones mantengan una visibilidad integral de cómo se mueve la información a través de su infraestructura y en las relaciones con terceros. Los sistemas fragmentados hacen casi imposible producir la evidencia que los auditores requieren.

La Red de Contenido Privado de Kiteworks resuelve este desafío al consolidar los canales de intercambio de datos bajo un único punto de control. Las organizaciones obtienen visibilidad y aplicación de políticas consistentes en transferencias de archivos, correo electrónico y flujos de formularios web, capacidades esenciales para demostrar cumplimiento y reducir la exposición en la cadena de suministro.

Al consolidar los canales de intercambio de datos bajo un único punto de control, las organizaciones obtienen visibilidad y coherencia en las políticas para transferencias de archivos, correo electrónico y flujos de formularios, lo que resulta esencial para demostrar cumplimiento y minimizar la exposición en la cadena de suministro.

CISA ha publicado recomendaciones para organizaciones que buscan reducir riesgos de terceros. Sus sugerencias incluyen monitorizar todos los dispositivos que aceptan conexiones externas, rastrear inicios de sesión de usuarios y cuentas de servicio para detectar anomalías, mantener inventarios actualizados de dispositivos y firmware, establecer líneas base de comportamiento con reglas de alerta y confirmar la implementación de TLS 1.3 en todos los protocolos compatibles.

Economía del ransomware: menos ataques, mayor impacto

El panorama del ransomware ha experimentado una transformación fundamental. Las organizaciones ahora enfrentan menos incidentes, pero mucho más intensos, reflejando un cambio estratégico de los ciberdelincuentes: de campañas oportunistas masivas a operaciones cuidadosamente dirigidas para maximizar el impacto financiero.

Según el Informe Global del Panorama de Amenazas, los encuestados reportaron un promedio de 5 a 6 incidentes de ransomware en los últimos 12 meses, lo que representa una disminución del 25% respecto a los casi 8 incidentes registrados en 2024. Sin embargo, este descenso general oculta una tendencia preocupante: el porcentaje de organizaciones que experimentan 20 o más incidentes de ransomware al año se ha triplicado, pasando del 0% al 3% interanual.

Esta concentración de ataques es especialmente evidente en sectores de infraestructura crítica. Las organizaciones sanitarias reportan que el 20% experimentó 20 o más incidentes, mientras que las entidades gubernamentales vieron un 10% en esta categoría.

Impacto financiero

Para las organizaciones que pagaron rescates, los costos aumentaron sustancialmente. El pago promedio alcanzó los 3,6 millones de dólares, un millón más que el promedio de 2,5 millones en 2024. Sin embargo, esta cifra varía significativamente según la región y el sector.

• Los EAU enfrentaron la mayor carga a nivel mundial, con organizaciones que experimentaron un promedio de 7 incidentes de ransomware y pagaron rescates un 26% por encima del promedio global, alcanzando los 5,4 millones de dólares.
• Australia, en contraste, experimentó el menor número de incidentes con solo 4 al año y mantuvo el pago promedio más bajo en 2,5 millones de dólares.

El análisis por industria revela que las organizaciones sanitarias pagaron los rescates más altos con 7,5 millones de dólares, seguidas de cerca por el sector gubernamental con poco menos de 7,5 millones, y servicios financieros con 3,8 millones.

Estas cifras palidecen en comparación con algunos de los pagos más destacados del año. Una empresa Fortune 50 sin identificar pagó 75 millones de dólares, CDK Global pagó 50 millones y Change Healthcare pagó 22 millones.

A pesar del aumento de los costos, el 70% de las organizaciones afectadas terminó pagando el rescate. Sin embargo, el número de organizaciones que nunca paga se ha triplicado, pasando del 9% al 30% interanual.

Tiempo de permanencia y desafíos de detección

Las organizaciones estiman que los actores de ransomware mantuvieron acceso a sus sistemas durante un promedio de dos semanas antes de ser detectados. Los sectores gubernamental y educativo reportan tiempos de permanencia significativamente más largos, de aproximadamente 7 y 5 semanas, respectivamente.

Los hallazgos del informe muestran que casi un tercio de los encuestados (30,6%) solo reconoció que estaba siendo objetivo de ransomware durante o después de que la exfiltración de datos ya había comenzado. Solo el 17,59% detectó amenazas durante la fase de reconocimiento, mientras que el 29,27% identificó ataques durante el acceso inicial. La detección durante el movimiento lateral y la escalada de privilegios ocurrió en el 22% de los casos.

Cumplimiento y exposición regulatoria

Los tiempos de permanencia extendidos generan graves problemas de cumplimiento en notificaciones. Una vez detectado el incidente, las organizaciones requieren en promedio dos semanas adicionales para responder y contener las alertas de seguridad, desde la detección inicial hasta la resolución. Estados Unidos experimenta un promedio de 2,8 semanas, mientras que industrias críticas como gobierno y transporte enfrentan plazos de respuesta superiores a 3 semanas.

Esta ventana de cuatro semanas entre compromiso y contención genera serios desafíos regulatorios. El GDPR exige notificar la brecha en un plazo de 72 horas desde que se tiene conocimiento del incidente. HIPAA exige notificación en 60 días para brechas que afectan a 500 o más personas. CMMC incluye requisitos de reporte de incidentes que las organizaciones deben cumplir para mantener el cumplimiento.

Sin registros forenses auditables e integrales, las organizaciones tienen dificultades para determinar la trazabilidad de los datos e identificar a las personas afectadas, requisitos fundamentales para cumplir con las obligaciones regulatorias. La incapacidad de establecer rápidamente qué datos fueron accedidos, cuándo ocurrió la brecha y a quiénes afecta pone a las organizaciones en riesgo de sanciones regulatorias, además del daño operativo y financiero del ataque.

Kiteworks reduce la ventana de cuatro semanas entre compromiso y contención combinando prevención, detección de anomalías y forénsica inmutable, disminuyendo tanto la exposición regulatoria como el impacto financiero.

Eficiencia del SOC y fragmentación de herramientas

Los centros de operaciones de seguridad enfrentan una red compleja de desafíos que, en conjunto, debilitan su eficacia. Al preguntar sobre los obstáculos que más dificultan la respuesta oportuna ante amenazas, el informe de ExtraHop encontró una distribución notablemente uniforme entre varias áreas críticas.

• La visibilidad limitada del entorno encabezó la lista con un 40,98%, seguida de cerca por la falta de personal y brechas de habilidades con un 38,53%.
• El volumen abrumador de alertas afecta al 34,15% de las organizaciones, mientras que las herramientas dispares e integradas de forma deficiente impactan al 34,04%.
• Los flujos de trabajo ineficientes o manuales del SOC desafían al 33,70% de los encuestados, y la falta de presupuesto o apoyo ejecutivo afecta al 29,09%.
• Los silos organizacionales completan la lista con un 26,04%.

El desafío de visibilidad resulta especialmente agudo en sectores específicos. Las empresas tecnológicas reportan limitaciones de visibilidad en un 44,96%, telecomunicaciones en un 43,90%, educación en un 51,02%, finanzas en un 42,22% y viajes y ocio en un 52,63%.

Implicaciones para la gobernanza

La monitorización fragmentada crea debilidades significativas en la integridad de la evidencia durante una auditoría. Cuando la telemetría de seguridad proviene de múltiples plataformas desconectadas, las organizaciones enfrentan dificultades para mantener políticas de retención de datos coherentes y para producir líneas de tiempo completas de incidentes durante investigaciones regulatorias.

Los registros dispares aumentan el riesgo de retención inconsistente de datos y brechas en los reportes. Los auditores que examinan la postura de seguridad de una organización esperan ver evidencia completa y correlacionada en todos los canales de comunicación y transferencia de datos. Cuando el uso compartido de archivos ocurre en un sistema, el correo electrónico en otro y los formularios web en un tercero, crear una trazabilidad de auditoría defendible se vuelve exponencialmente más difícil.

A través de la integración con sistemas SIEM líderes y telemetría unificada, las organizaciones eliminan puntos ciegos y mantienen una trazabilidad de auditoría defendible en cada canal de datos. La plataforma de Kiteworks proporciona registros centralizados y monitorización que los equipos de seguridad pueden alimentar a sus herramientas de gestión de eventos e información de seguridad existentes, logrando visibilidad integral sin necesidad de reemplazar inversiones actuales.

Identidad, acceso y seguridad del correo electrónico

El phishing y la ingeniería social surgieron como los principales puntos de entrada inicial para los atacantes en el 33,7% de todos los incidentes, según el análisis del panorama de amenazas. Las vulnerabilidades de software representan el segundo punto de entrada más común con un 19,4%, seguidas por el compromiso de terceros y la cadena de suministro con un 13,4%.

Las credenciales comprometidas representaron el 12,2% de los vectores de acceso inicial y se están convirtiendo en una puerta de entrada principal para los atacantes. Una vez obtenidos, los datos de inicio de sesión robados permiten a los actores maliciosos acceder sin autorización, moverse lateralmente dentro de las redes, escalar privilegios para acceder a sistemas más sensibles y lanzar otros ataques como malware o ransomware, operando a menudo sin ser detectados durante períodos prolongados.

Relevancia para la protección de datos

Las brechas de identidad suelen preceder a la exfiltración de datos y al compromiso de la cadena de suministro. Los marcos regulatorios ahora enfatizan la verificación de identidad y la aplicación del principio de mínimo privilegio como controles de seguridad fundamentales.

Los atacantes explotan implementaciones débiles de autenticación multifactor, sistemas de inicio de sesión único mal configurados y relaciones de confianza lateral. El grupo de amenazas Scattered Spider ejemplifica este enfoque, manteniendo un ritmo operativo agresivo con detecciones reportadas por casi una cuarta parte de los encuestados. El grupo rutinariamente evade MFA y compromete mesas de ayuda para obtener acceso inicial a la red, luego vende este acceso a grupos de ransomware como ALPHV/BlackCat y RansomHub.

Al aislar las comunicaciones sensibles dentro de una capa privada de correo electrónico, las organizaciones eliminan los puntos de entrada más comunes para ransomware y robo de datos. Kiteworks proporciona controles de identidad y acceso reforzados, incluyendo integración con proveedores de identidad empresariales, aplicación de requisitos de MFA y modelos de permisos granulares que implementan el acceso de mínimo privilegio en todos los canales de intercambio de datos.

Transferencia de archivos, seguridad de la cadena de suministro e integridad del intercambio de datos

Los servicios de transferencia de archivos de terceros siguen siendo objetivos de alto valor para intrusiones. Los atacantes aprovechan sistemas de transferencia de archivos gestionados obsoletos o APIs no seguras para exfiltrar datos, generando una exposición significativa de cumplimiento.

La integridad de la cadena de suministro es ahora central en CMMC 2.0 nivel 2, NIS2 y DORA. Los reguladores esperan cifrado en tránsito, segmentación de socios y monitorización continua en todos los puntos de intercambio de datos.

La plataforma de Kiteworks aborda la transferencia de archivos y la seguridad de la cadena de suministro a través de varios mecanismos. Todos los datos permanecen cifrados en tránsito y en reposo mediante módulos criptográficos validados por FIPS 140-2. Las organizaciones pueden implementar políticas de seguridad específicas para cada socio, creando entornos segmentados que evitan el movimiento lateral entre diferentes relaciones externas. La monitorización continua y las alertas automatizadas detectan patrones anómalos de transferencia de archivos que pueden indicar un compromiso o intento de robo de datos.

Las organizaciones que utilizan la Red de Contenido Privado de Kiteworks obtienen capacidades de monitorización continua y garantía de residencia de datos, cumpliendo los estrictos requisitos de los marcos modernos de seguridad en la cadena de suministro y manteniendo la flexibilidad operativa necesaria para las relaciones comerciales.

Preparación ante brechas y responsabilidad regulatoria

El Informe Global del Panorama de Amenazas encontró que el tiempo promedio hasta la contención supera las dos semanas. Muchas organizaciones carecen de registros forenses automatizados o historiales verificables de acceso a datos, lo que genera serios desafíos de defensa legal.

Impacto operativo

Los encuestados reportaron un promedio de 37 horas de inactividad por incidente de ciberseguridad. Más de la mitad (55%) experimentó 11 o más horas de inactividad en promedio, y casi un tercio reportó que la inactividad se extendió por dos días o más.

Al analizar los impactos por industria, el sector de transporte reportó el mayor promedio de inactividad con 74 horas. Esto coincide con incidentes de alto perfil como el ataque de ransomware Rhysida en agosto de 2024 al Puerto de Seattle, que dejó los sistemas fuera de línea durante más de tres semanas en el Aeropuerto Internacional Seattle-Tacoma.

Requisitos de defensa legal

Los registros de auditoría inalterables son fundamentales para demostrar la debida diligencia durante investigaciones regulatorias y posibles litigios. La automatización de la evidencia respalda la elaboración de informes cruzados entre marcos como GDPR, HIPAA, PCI DSS y CMMC.

La auditoría inmutable y el seguimiento de la trazabilidad de Kiteworks convierten las investigaciones posteriores a incidentes en documentación verificable y lista para reguladores. Cada acceso a archivos, transmisión de correo electrónico y envío de formularios genera registros inviolables que establecen exactamente qué ocurrió, cuándo y quién estuvo involucrado, los cimientos fundamentales de la evidencia de cumplimiento.

Las organizaciones pueden generar informes de cumplimiento automáticamente, demostrando adhesión a requisitos específicos de marcos sin necesidad de recopilar evidencia manualmente. Esta capacidad resulta especialmente valiosa durante la respuesta a brechas, cuando las organizaciones enfrentan plazos comprimidos para la notificación regulatoria y recursos internos limitados debido a la gestión del incidente.

Formularios web y endpoints externos

CISA advierte que los formularios y otras interfaces entrantes sirven como puntos clave de entrada para el movimiento lateral. Una validación débil de formularios o la recopilación excesiva de información personal identificable puede desencadenar brechas notificables bajo regulaciones de privacidad.

Los principios de protección de datos desde el diseño exigen una recopilación y retención mínima. Las organizaciones deben implementar controles que recojan solo la información necesaria, retengan los datos solo el tiempo requerido para el propósito declarado y proporcionen mecanismos seguros de eliminación cuando expiren los periodos de retención.

La recopilación segura de datos mediante formularios web complementa la protección de correo electrónico y transferencia de archivos para una cobertura perimetral completa, cubriendo todos los canales principales por los que el contenido confidencial entra y sale de los límites organizacionales.

Plan de acción inmediato para CISOs y equipos de cumplimiento

El informe de ExtraHop recomienda que las organizaciones tomen medidas inmediatas para abordar las vulnerabilidades identificadas. Los líderes de seguridad y cumplimiento deben priorizar tres iniciativas clave.

1. Inventario integral de la superficie de ataque
   • Crear un inventario detallado de todos los servicios en la nube, integraciones de terceros y puntos de intercambio de datos externos
   • Mapear los flujos de datos a través de los límites organizacionales para identificar dónde se mueve la información confidencial entre sistemas internos y partes externas
   • Evaluar la postura de seguridad de cada punto de conexión, incluyendo mecanismos de autenticación, implementación de cifrado y controles de acceso
   • Identificar brechas de visibilidad donde el intercambio de datos ocurre fuera de la monitorización y gobernanza centralizadas
2. Monitorización y detección unificadas
   • Implementar soluciones que proporcionen visibilidad unificada en todos los canales de intercambio de datos, incluyendo transferencia de archivos, correo electrónico, APIs y formularios web
   • Establecer líneas base de comportamiento que permitan detectar actividad anómala indicativa de posible compromiso
   • Desplegar mecanismos de alerta automatizados que notifiquen de inmediato a los equipos de seguridad cuando surjan patrones sospechosos
   • Integrar la telemetría del intercambio de datos con las plataformas SIEM existentes para correlacionar el movimiento de contenido confidencial con otros eventos de seguridad
3. Generación automatizada de evidencia de cumplimiento
   • Implementar plataformas que generen automáticamente registros de auditoría inalterables para todos los eventos de acceso y transmisión de datos
   • Establecer políticas de retención alineadas con los requisitos regulatorios y que respalden las necesidades operativas
   • Crear capacidades de reporte automatizado que demuestren el cumplimiento de controles específicos de los marcos regulatorios
   • Establecer procesos para la recuperación rápida de evidencia durante la respuesta a incidentes, cuando los plazos de notificación comprimen el tiempo disponible

Estas acciones convierten las recomendaciones del informe en resultados operativos medibles, abordando directamente la expansión de la superficie de ataque, los retrasos en la detección y los desafíos de cumplimiento identificados en la investigación.

Lo que los líderes de seguridad deben saber

El Informe Global del Panorama de Amenazas 2025 revela tres verdades fundamentales sobre la ciberseguridad moderna. Primero, la superficie de ataque sigue expandiéndose a medida que las organizaciones adoptan servicios en la nube, integraciones de terceros y tecnologías emergentes como la IA generativa, cada punto de conexión introduce un riesgo adicional. Segundo, los plazos de detección y respuesta siguen siendo peligrosamente largos, dando a los atacantes semanas para establecerse y causar daños antes de que las organizaciones contengan las amenazas. Tercero, estos desafíos operativos de seguridad generan exposición regulatoria directa, ya que las organizaciones luchan por cumplir los requisitos de notificación y demostrar diligencia debida.

El cambio de ataques oportunistas de alto volumen a campañas dirigidas significa que cualquier organización puede convertirse en objetivo prioritario. El aumento de las demandas de rescate, los tiempos de permanencia más largos y las interrupciones operativas demuestran que los ciberdelincuentes han perfeccionado su enfoque para maximizar el impacto y el retorno financiero.

Para los CISOs y responsables de cumplimiento, este entorno exige una reevaluación fundamental de la arquitectura de seguridad. Los sistemas fragmentados que antes ofrecían protección adecuada ahora generan puntos ciegos que los adversarios sofisticados explotan fácilmente. Los requisitos de evidencia impuestos por los marcos regulatorios modernos no pueden satisfacerse mediante procesos manuales o sistemas de registro desconectados.

Las organizaciones necesitan visibilidad y control unificados en todos los canales de intercambio de datos. Requieren generación automatizada de evidencia que respalde tanto la monitorización proactiva de seguridad como la respuesta reactiva ante incidentes. Deben reducir el plazo de detección a contención, que actualmente otorga a los atacantes una ventana de un mes para operar con relativa impunidad.

La Red de Datos Privados de Kiteworks ofrece una respuesta medible a cada área prioritaria identificada en la investigación de ExtraHop. Al consolidar la transferencia de archivos, correo electrónico, formularios seguros y APIs bajo una gobernanza unificada, las organizaciones reducen su superficie de ataque y mejoran la visibilidad. El registro automatizado y los reportes de cumplimiento resuelven los desafíos de generación de evidencia que generan exposición regulatoria. La integración con la infraestructura de seguridad existente permite correlación y análisis sin necesidad de reemplazar la tecnología actual.

El panorama de amenazas seguirá evolucionando, pero los requisitos fundamentales permanecen: saber qué tienes, ver qué está ocurriendo y demostrar que actuaste con diligencia. Las organizaciones que establecen estas capacidades se posicionan para enfrentar tanto las amenazas actuales como los desafíos futuros.

Para una evaluación más detallada de cómo Kiteworks reduce directamente los vectores de ataque identificados en el Informe Global del Panorama de Amenazas 2025, solicita una demostración o contacta al equipo de Kiteworks para un informe ejecutivo personalizado.