Verizon 2025 DBIR: Explosión del Riesgo de Terceros y Qué Significa para tu Estrategia de Seguridad de Datos

El recién publicado Informe de Investigaciones de Brechas de Datos de Verizon 2025 (DBIR) revela una realidad impactante: la participación de terceros en las brechas de datos se ha duplicado del 15% al 30% en solo un año. Este aumento dramático señala un cambio fundamental en el panorama de amenazas que los líderes de seguridad deben abordar de inmediato. A medida que las organizaciones dependen cada vez más de proveedores externos, plataformas en la nube y socios, su perímetro de seguridad se ha disuelto efectivamente, creando riesgos sin precedentes para los datos confidenciales.

El DBIR de este año analizó más de 12,000 brechas de datos confirmadas, el número más alto jamás examinado en un solo informe, proporcionando información autorizada sobre cómo los actores de amenazas están atacando a las organizaciones. Más allá de la explosión del riesgo de terceros, el informe documenta aumentos significativos en ransomware, explotación de vulnerabilidades y amenazas emergentes de plataformas de IA generativa.

En este análisis, desglosaremos los cinco hallazgos más críticos del DBIR 2025 y proporcionaremos recomendaciones prácticas para fortalecer tu estrategia de seguridad contra estas amenazas en evolución.

¿Qué es el Informe de Investigaciones de Brechas de Datos de Verizon?

El Informe de Investigaciones de Brechas de Datos de Verizon se erige como el análisis más completo y autorizado de incidentes de seguridad del mundo real en la industria de la ciberseguridad. Publicado anualmente desde 2008, el DBIR combina datos de la propia investigación de amenazas de Verizon con contribuciones de casi 100 socios globales, incluidas agencias de aplicación de la ley, especialistas forenses, empresas de ciberseguridad y organizaciones de inteligencia.

Lo que distingue al DBIR de otros informes de seguridad es su rigurosa metodología. La edición de 2025 analizó 22,052 incidentes de seguridad, de los cuales 12,195 fueron brechas de datos confirmadas que ocurrieron entre el 1 de noviembre de 2023 y el 31 de octubre de 2024. Esto representa el mayor número de brechas jamás analizado en un solo informe DBIR.

El equipo del DBIR aplica el marco VERIS (Vocabulario para el Registro de Eventos y Compartición de Incidentes) para normalizar este enorme conjunto de datos, permitiendo un análisis consistente a través de industrias, tamaños de empresas y regiones. Este enfoque estandarizado proporciona a los profesionales de seguridad información confiable sobre las tácticas, técnicas y procedimientos que los actores de amenazas utilizan para comprometer organizaciones.

Explosión del Riesgo de Terceros: Por Qué Tus Socios Son Ahora Tu Mayor Amenaza

El desarrollo más preocupante en el DBIR de este año es el alarmante aumento de ataques que se originan a través de terceros. Esta tendencia se alinea con los hallazgos del reciente informe “Las 11 Principales Brechas de Datos de 2024”, que señaló que las vulnerabilidades de terceros fueron la puerta de entrada para el 64% de las principales brechas, demostrando que tu seguridad es tan fuerte como tu proveedor más débil.

La Participación de Terceros se Duplica al 30% de Todas las Brechas

El hallazgo más alarmante en el DBIR 2025 es el dramático aumento en la participación de terceros en las brechas, que se duplicó de aproximadamente el 15% el año pasado al 30% este año. Esto no es meramente una fluctuación estadística, representa un cambio fundamental en cómo los actores de amenazas están atacando a las organizaciones.

El informe destaca varios incidentes de alto perfil que ejemplifican esta tendencia. Las brechas de proveedores de servicios como las que afectaron a Change Healthcare, CDK Global y Blue Yonder no solo expusieron datos privados, sino que crearon un tiempo de inactividad operativo sustancial en industrias enteras. Estos incidentes combinaron efectivamente el riesgo de ciberseguridad con el riesgo operativo, creando fallas en cascada que afectaron a miles de organizaciones aguas abajo.

Lo que hace que esta tendencia sea particularmente preocupante es que muchas organizaciones carecen de visibilidad en su ecosistema de terceros. El DBIR señala que las empresas a menudo luchan incluso para identificar todas sus dependencias de terceros, y mucho menos para evaluar y mitigar los riesgos asociados.

Secretos de GitHub y Credenciales Filtradas: Un Problema de 94 Días

Un factor clave detrás de la explosión del riesgo de terceros es el desafío de gestionar credenciales de acceso y secretos a través de los límites organizacionales. El DBIR revela que el tiempo medio para remediar secretos filtrados descubiertos en repositorios de GitHub es un asombroso 94 días.

Estos secretos expuestos incluyen una amplia variedad de mecanismos de autenticación:

• El 39% son secretos de infraestructura de aplicaciones web (con el 66% de esos siendo JSON Web Tokens)
• Los secretos de desarrollo y CI/CD representan otra categoría significativa
• Los tokens de infraestructura en la nube y las credenciales de conexión a bases de datos completan los tipos más comunes

Esta ventana de exposición extendida da a los actores de amenazas tiempo suficiente para descubrir y explotar estas credenciales. Una vez que los atacantes obtienen acceso a estos secretos, a menudo pueden eludir completamente los controles de seguridad tradicionales, haciéndose pasar por usuarios o servicios legítimos.

El análisis del DBIR sobre las brechas de Snowflake de abril de 2024 proporciona un ejemplo revelador. En este caso, los actores de amenazas identificaron que ciertos clientes de Snowflake no estaban aplicando la autenticación multifactor (MFA). Desarrollaron herramientas específicas para descubrir cuentas vulnerables, las explotaron a gran escala y exfiltraron datos confidenciales de aproximadamente 165 organizaciones.

El Aumento Continuo del Ransomware: Nuevas Tácticas y Cambios en los Pagos

A pesar de las defensas y la concienciación aumentadas, el ransomware sigue siendo una amenaza dominante en todos los sectores. El DBIR 2025 revela cambios importantes en las tácticas y la economía del ransomware que los líderes de seguridad deben entender. Estos hallazgos reflejan el informe “Las 11 Principales Brechas de Datos de 2024”, que identificó que el ransomware continuó desempeñando un papel significativo en tres de las 11 principales brechas, siendo el pago de rescate de Change Healthcare de $22 millones el más significativo.

El 44% de las Brechas Ahora Incluyen Ransomware

El ransomware continúa su trayectoria de crecimiento implacable, apareciendo ahora en el 44% de todas las brechas analizadas en el DBIR 2025, un aumento dramático desde el 32% del año anterior. Este aumento del 37% demuestra que el ransomware sigue siendo el método de ataque preferido para los actores de amenazas motivados financieramente.

El DBIR señala que esta cifra incluye tanto ransomware tradicional de cifrado como variantes de “extorsión pura, sin cifrado” donde los atacantes simplemente amenazan con liberar datos robados. Esto refleja la evolución continua de las tácticas de ransomware, ya que los atacantes reconocen que la amenaza de exposición de datos puede ser tan poderosa como el cifrado.

Particularmente preocupante es el impacto desproporcionado en las pequeñas empresas. Mientras que el ransomware afecta al 39% de las brechas en organizaciones más grandes, aparece en un asombroso 88% de las brechas dirigidas a pequeñas y medianas empresas. Esta discrepancia sugiere que las organizaciones más pequeñas pueden carecer de los recursos de seguridad y las capacidades de recuperación para defenderse eficazmente contra estos ataques.

Disminución del Rescate: $115,000 y 64% de No Pago

A pesar de la prevalencia del ransomware, hay indicios de que las estrategias de resistencia podrían estar funcionando. El DBIR 2025 informa que el pago medio de ransomware disminuyó a $115,000, bajando de $150,000 el año anterior. Aún más alentador, el 64% de las organizaciones víctimas se negaron a pagar el rescate, un aumento del 50% hace dos años.

Esta creciente negativa a pagar parece estar afectando a la economía del ransomware. El informe señala que el 95% de los rescates fueron inferiores a $3 millones en 2024, una disminución significativa de la cifra de $9.9 millones reportada en 2023. El equipo del DBIR sugiere que estas disminuciones están directamente conectadas: a medida que menos organizaciones pagan, los atacantes se ven obligados a reducir sus demandas.

Sin embargo, el informe advierte contra interpretar esto como una señal de que el ransomware se está volviendo menos rentable en general. Las cantidades de pago disminuidas pueden simplemente reflejar la adaptación de los grupos de ransomware a las realidades del mercado, permitiéndoles mantener o incluso aumentar sus ingresos totales al centrarse en el volumen en lugar del tamaño de pago individual.

Explotación de Vulnerabilidades: La Crisis de los Dispositivos de Borde

A medida que pasamos de examinar las tendencias de ransomware a patrones específicos de explotación de vulnerabilidades, el DBIR 2025 destaca un cambio dramático en los objetivos de explotación, con los dispositivos de borde convirtiéndose en el enfoque principal para los atacantes que buscan acceso inicial a las redes. Esta tendencia refleja la superficie de ataque en expansión que las organizaciones deben defender a medida que el trabajo remoto y la adopción de la nube continúan acelerándose.

Dispositivos de Borde y VPNs: Un Aumento del 800% en Explotaciones

El DBIR 2025 documenta un aumento alarmante en los ataques dirigidos a dispositivos de borde de red, con la explotación de vulnerabilidades de dispositivos de borde y VPN creciendo casi ocho veces, del 3% al 22% de todos los vectores de explotación. Este cambio dramático refleja el reconocimiento de los actores de amenazas de que estos dispositivos proporcionan caminos directos hacia redes que de otro modo estarían bien protegidas.

Esta tendencia involucra varias vulnerabilidades de alto perfil en múltiples proveedores y plataformas. El informe muestra 17 vulnerabilidades críticas de dispositivos de borde que se agregaron al catálogo de Vulnerabilidades Conocidas Explotadas (KEV) de CISA durante el período del informe, afectando a siete proveedores diferentes.

Lo que hace que estas vulnerabilidades sean particularmente peligrosas es la velocidad con la que se explotan. El informe encuentra que el tiempo medio entre la publicación de CVE y la explotación masiva para vulnerabilidades de dispositivos de borde fue de cero días. En otras palabras, los ataques a menudo comenzaron simultáneamente con (o incluso antes de) la divulgación pública, dando a los defensores ningún tiempo para implementar parches.

Cómo las Organizaciones Están Respondiendo a las Amenazas de Dispositivos de Borde

Las organizaciones parecen reconocer la criticidad de las vulnerabilidades de dispositivos de borde, ya que el DBIR señala que el 54% de estas vulnerabilidades fueron completamente remediadas durante el período del informe. Esto se compara favorablemente con la tasa de remediación del 38% para todas las vulnerabilidades en el catálogo KEV de CISA y solo el 9% para todas las vulnerabilidades identificadas en escaneos.

Sin embargo, el tiempo medio para la remediación completa fue aún de 32 días, creando una ventana de exposición sustancial dada la línea de tiempo de explotación de día cero. El informe también encontró que el 30% de estas vulnerabilidades críticas de dispositivos de borde permanecieron completamente sin abordar, probablemente contribuyendo a brechas exitosas.

El equipo del DBIR comparó esta situación con el mito de Sísifo, empujando constantemente una roca cuesta arriba solo para que vuelva a rodar hacia abajo. El flujo continuo de nuevas vulnerabilidades críticas crea un ciclo interminable de parcheo, con oportunidades limitadas para que los equipos de seguridad se adelanten a la amenaza.

El Elemento Humano y el Robo de Credenciales Siguen Siendo Centrales en las Brechas

Si bien las vulnerabilidades tecnológicas reciben una atención significativa, el DBIR 2025 nos recuerda que los factores humanos continúan desempeñando un papel crucial en las brechas de datos. Comprender estos vectores de ataque centrados en el ser humano es esencial para desarrollar defensas efectivas que aborden tanto los aspectos técnicos como de comportamiento de la seguridad.

El 60% de las Brechas Aún Involucran el Elemento Humano

A pesar del aumento de la automatización en los ataques, el elemento humano sigue siendo un factor crítico en las brechas de datos. El DBIR 2025 informa que el 60% de las brechas involucraron interacción humana en algún punto de la cadena de ataque, ya sea a través de ingeniería social, errores o uso indebido de credenciales.

El informe desglosa estas brechas centradas en el ser humano en sus partes componentes:

• Las acciones de ingeniería social aparecieron en el 24% de las brechas
• Las credenciales fueron mal utilizadas en el 42% de los casos
• Los errores causaron el 15% de las brechas
• El malware que requiere interacción humana estuvo involucrado en el 44% de los incidentes

Lo que hace que estos ataques centrados en el ser humano sean particularmente desafiantes es su naturaleza interconectada. Por ejemplo, el phishing exitoso a menudo conduce al robo de credenciales, lo que luego permite un acceso más amplio a la red. Esto crea múltiples oportunidades para la detección, pero también requiere defensas en capas.

Malware Infostealer y BYOD: La Crisis de Inicio de Sesión Corporativo

El robo de credenciales continúa evolucionando, con el malware infostealer desempeñando un papel cada vez más significativo. El análisis del DBIR de los registros de malware infostealer reveló que el 30% de los sistemas comprometidos eran dispositivos con licencia empresarial. Sin embargo, un hallazgo más preocupante fue que el 46% de los sistemas con inicios de sesión corporativos comprometidos eran dispositivos no gestionados.

Esto indica el creciente riesgo que representan las políticas de traer tu propio dispositivo (BYOD) y el uso de dispositivos personales para fines laborales. Incluso cuando las organizaciones implementan controles de seguridad sólidos en dispositivos gestionados por la empresa, los empleados acceden con frecuencia a recursos laborales desde dispositivos personales que carecen de protecciones equivalentes.

El equipo del DBIR encontró una correlación directa entre el compromiso de credenciales infostealer y los ataques de ransomware subsiguientes. Al analizar los dominios asociados con las víctimas de ransomware, descubrieron que el 54% de esas víctimas tenían sus dominios apareciendo en registros de infostealer antes del ataque de ransomware, y el 40% tenían direcciones de correo electrónico corporativas expuestas.

Amenaza Emergente de GenAI: Una Nueva Frontera de Fugas de Datos

A medida que avanzamos más allá de las preocupaciones de seguridad tradicionales, el DBIR 2025 identifica un vector de riesgo significativo que muchas organizaciones apenas están comenzando a reconocer: el uso de plataformas de IA generativa y su potencial para exponer datos privados sensibles. Esta amenaza emergente requiere atención inmediata de los líderes de seguridad a medida que los empleados adoptan rápidamente herramientas de IA para obtener ganancias de productividad.

El 15% de los Empleados Acceden Regularmente a GenAI en Dispositivos Corporativos

El DBIR 2025 destaca un nuevo y rápidamente creciente vector de riesgo: plataformas de IA generativa. El informe encontró que el 15% de los empleados acceden rutinariamente a sistemas de IA generativa en sus dispositivos corporativos (al menos una vez cada 15 días), creando un canal significativo para la posible exposición de datos privados.

Lo que hace que esto sea particularmente preocupante son los patrones de autenticación asociados con este uso. El DBIR encontró que el 72% de los empleados que acceden a plataformas de IA estaban utilizando direcciones de correo electrónico no corporativas como sus identificadores de cuenta. Otro 17% estaba utilizando correos electrónicos corporativos pero sin sistemas de autenticación integrados como SAML, lo que sugiere que estas herramientas se estaban utilizando fuera de la política corporativa oficial.

Este patrón de uso crea serios desafíos de gobernanza de datos. Dado que los casos de uso comunes para la IA generativa incluyen resumen, asistencia de codificación y creación de contenido, es probable que los empleados estén cargando datos corporativos sensibles, propiedad intelectual e información privada a estas plataformas. A diferencia del software tradicional, las herramientas de IA generativa generalmente retienen los datos cargados, incorporando potencialmente elementos en futuros resultados proporcionados a otros usuarios.

Peligros del Acceso No Gestionado a la IA

Los riesgos del acceso no gestionado a la IA se extienden más allá de la simple fuga de datos. El DBIR señala varios casos documentados de plataformas de IA que exponen inadvertidamente datos privados, incluido un incidente de enero de 2025 donde se encontró que el modelo DeepSeek estaba filtrando de manera insegura datos sensibles, incluido el historial de chat que contenía información corporativa.

El informe también destaca cómo la IA ahora se está integrando en funciones centrales del sistema operativo en dispositivos móviles, con asistentes de voz, aplicaciones de mensajería y funciones de cámara aprovechando modelos de IA. Dado que muchas de estas funciones están habilitadas por defecto, crean vectores adicionales para la exposición de datos privados que pueden eludir los controles de seguridad tradicionales.

Para las organizaciones con datos regulados o propiedad intelectual valiosa, estas plataformas de IA representan una brecha significativa de gobernanza. El DBIR señala que las herramientas tradicionales de prevención de pérdida de datos pueden no monitorear o controlar efectivamente este tipo de intercambio de datos, creando puntos ciegos en los programas de seguridad.

Amenazas Generadas por IA: Más Allá de la Fuga de Datos

El DBIR 2025 también documenta el creciente uso de la IA por parte de los actores de amenazas. El análisis de socios de seguridad de correo electrónico muestra que los correos electrónicos maliciosos escritos por IA se han duplicado en los últimos dos años, del aproximadamente 5% al 10%. Esta tendencia comenzó antes de que las herramientas de chat basadas en modelos de lenguaje grande estuvieran ampliamente disponibles y ha acelerado desde entonces.

Tanto OpenAI como Google informaron haber identificado el uso de actores patrocinados por el estado que intentaban aumentar las operaciones de influencia, los intentos de phishing y el desarrollo de código malicioso. Si bien las plataformas han implementado controles para prevenir el abuso, el informe señala que los actores de amenazas continúan encontrando formas de eludir estas restricciones.

El informe sugiere que el impacto de la IA en el panorama de amenazas aún está evolucionando. En lugar de revolucionar los ataques, la IA está ayudando principalmente a los actores de amenazas a mejorar la eficiencia, la personalización y la calidad del lenguaje, haciendo que los intentos de ingeniería social sean más convincentes y difíciles de detectar.

Controles de Seguridad Integral para la IA

El DBIR recomienda un enfoque en capas para gestionar los riesgos de datos relacionados con la IA:

1. Desarrollar políticas claras de uso de IA que especifiquen qué tipos de datos pueden y no pueden compartirse con plataformas de IA externas
2. Implementar controles técnicos para prevenir el intercambio de datos sensibles, como el monitoreo de red y el bloqueo de servicios de IA no aprobados
3. Proporcionar herramientas de IA aprobadas de nivel empresarial con la gobernanza de datos y controles de seguridad adecuados
4. Establecer requisitos de autenticación para el acceso a plataformas de IA, preferiblemente a través de inicio de sesión único y con MFA
5. Crear programas de capacitación que eduquen a los empleados sobre los riesgos de compartir datos sensibles con plataformas de IA
6. Monitorear el uso de IA en la sombra e implementar capacidades de detección para el intercambio de datos no autorizado

El informe enfatiza que las organizaciones deben abordar la gobernanza de la IA como un componente crítico de su estrategia general de seguridad de datos, en lugar de como una iniciativa tecnológica separada.

Estrategias de Seguridad de Datos para 2025 y Más Allá

Habiendo examinado las amenazas clave identificadas en el DBIR 2025, está claro que las organizaciones necesitan repensar fundamentalmente sus estrategias de seguridad. El aumento de las brechas de terceros, la evolución del ransomware y nuevas amenazas como la fuga de datos de IA requieren una postura de seguridad integral y adaptable para el próximo año y más allá.

Priorizando la Gestión de Riesgos de Terceros

Dado el aumento dramático en brechas de terceros, el DBIR enfatiza la necesidad de una gestión integral de riesgos de terceros. El informe recomienda:

1. Hacer de los resultados de seguridad un componente clave de la selección de proveedores durante la adquisición
2. Implementar monitoreo continuo de las posturas de seguridad de terceros en lugar de evaluaciones puntuales
3. Desarrollar planes de respuesta a incidentes que tengan en cuenta las brechas de terceros
4. Establecer requisitos de seguridad claros en contratos y acuerdos de nivel de servicio
5. Implementar segmentación de red y controles de acceso para conexiones de terceros
6. Requerir autenticación fuerte para todo acceso de terceros, incluidas claves API y cuentas de servicio

El informe señala que las organizaciones no pueden simplemente confiar en que sus proveedores mantengan una seguridad adecuada. En su lugar, deben tomar un papel activo en la evaluación, monitoreo y aplicación de requisitos de seguridad en toda su cadena de suministro.

Construyendo una Estrategia de Seguridad de Datos en Capas

El DBIR 2025 recomienda cambiar de un enfoque de seguridad centrado en el perímetro a un modelo centrado en los datos que proteja la información sensible a lo largo de su ciclo de vida, independientemente de dónde resida. Los elementos clave de esta estrategia incluyen:

1. Implementar autenticación fuerte en todos los sistemas, con MFA aplicado para todos los usuarios
2. Priorizar la gestión de vulnerabilidades para sistemas expuestos a Internet, especialmente dispositivos de borde
3. Crear capacidades integrales de respaldo y recuperación para reducir el apalancamiento del ransomware
4. Desarrollar capacidades de detección que puedan identificar acceso o movimiento de datos inusuales
5. Implementar una segmentación adecuada para limitar el movimiento lateral tras un compromiso inicial
6. Establecer políticas de gobernanza de datos que aborden riesgos emergentes como las plataformas de IA
7. Crear programas de concienciación para empleados enfocados en la protección de credenciales y el reconocimiento de phishing

El informe enfatiza que las organizaciones deben centrarse en la resiliencia de seguridad en lugar de medidas puramente preventivas, reconociendo que algunas brechas inevitablemente ocurrirán, pero apuntando a minimizar su impacto.

Conclusiones Clave para Tu Estrategia de Seguridad de Datos

El DBIR 2025 de Verizon presenta una imagen clara de un panorama de amenazas en evolución que requiere estrategias de seguridad adaptativas. La duplicación de brechas de terceros exige un enfoque renovado en la seguridad de la cadena de suministro, mientras que el dominio continuo del ransomware requiere tanto controles preventivos como capacidades de recuperación robustas.

La explosión de la explotación de dispositivos de borde requiere una gestión de vulnerabilidades priorizada, y el impacto persistente del elemento humano nos recuerda que los controles técnicos deben complementarse con la concienciación y capacitación del usuario. Finalmente, la aparición de la IA como un vector potencial de fuga de datos y una herramienta de ataque requiere nuevos enfoques de gobernanza.

Al comprender estas tendencias clave e implementar las recomendaciones del informe, los líderes de seguridad pueden proteger mejor a sus organizaciones de las amenazas más significativas de 2025 y más allá. El camino a seguir requiere equilibrar soluciones tecnológicas con factores humanos, medidas preventivas con capacidades de detección y respuesta, y requisitos de cumplimiento con resultados de seguridad prácticos.

Las organizaciones que adopten este enfoque integral basado en riesgos estarán mejor posicionadas para navegar el panorama de amenazas cada vez más complejo revelado en el DBIR de este año. Como concluye el informe, la seguridad no se trata de eliminar todos los riesgos, sino de comprender, priorizar y gestionarlos eficazmente.