El panorama de la ciberinteligencia en España

España lleva varios años entre los países europeos con más incidentes de ciberseguridad notificados, y ese dato por sí solo ya dice algo: no es un problema marginal ni exclusivo de bancos y grandes tecnológicas. Entender el panorama actual de la ciberinteligencia en España significa mirar tres cosas a la vez: qué amenazas están activas, qué obliga a hacer la ley, y cómo están reaccionando —o no— las empresas.

Qué amenazas dominan hoy

El ransomware sigue siendo la amenaza que más titulares genera y más daño económico causa. Grupos operando bajo el modelo de Ransomware-as-a-Service —donde el malware se "alquila" a afiliados que ejecutan los ataques a cambio de un porcentaje del rescate— han convertido la extorsión digital en una industria con roles especializados, soporte técnico para las víctimas y hasta programas de "afiliados" con condiciones negociables. LockBit ha sido, históricamente, uno de los grupos más activos contra objetivos españoles; en nuestro análisis de LockBit 3.0 explicamos cómo opera y qué sectores prioriza.

Las filtraciones de datos son la otra cara de la misma moneda: a menudo no son un ataque en sí mismas, sino el subproducto de un ransomware (robo de datos antes de cifrar, para presionar con la publicación) o de una vulnerabilidad mal gestionada en un proveedor. Repasamos varios casos relevantes en España en Las 10 fugas de datos más impactantes.

El phishing, mientras tanto, sigue siendo la puerta de entrada más común a casi todo lo demás. Ya no son los correos con faltas de ortografía de hace una década: las campañas actuales usan dominios casi idénticos al real, y en los casos más sofisticados, deepfakes de voz para suplantar a directivos. Lo tratamos con detalle en Phishing en 2025.

Un patrón que se repite en los tres casos: los atacantes no distinguen mucho entre gran empresa y pyme. Distinguen entre objetivo fácil y objetivo difícil, y una empresa pequeña sin MFA ni monitorización suele ser lo primero.

El marco regulatorio que está cambiando las reglas

La regulación europea y española ha dejado de ser un requisito solo para grandes corporaciones. El RGPD obliga a cualquier empresa que maneje datos personales a notificar una fuga en un máximo de 72 horas, con sanciones que pueden llegar al 4% de la facturación anual global. La directiva NIS2, más reciente, amplía las obligaciones de ciberseguridad a sectores esenciales y a sus proveedores —lo que en la práctica arrastra a muchas pymes que antes quedaban fuera del radar regulatorio simplemente por trabajar con una empresa de energía, sanidad o transporte—. Desarrollamos ambas normativas, junto con la Ley de Servicios Digitales (DSA), en Normativas de ciberseguridad en España.

El efecto práctico de este marco regulatorio es que la ciberinteligencia ha pasado de ser "algo deseable" a ser, indirectamente, casi un requisito de cumplimiento: es difícil demostrar que se notificó una fuga a tiempo si nunca se estaba vigilando si esa fuga existía.

Cómo están respondiendo las empresas españolas

Aquí es donde el panorama es más desigual. Las grandes empresas de sectores regulados —banca, energía, seguros— llevan años invirtiendo en equipos de inteligencia de amenazas, muchas veces integrados con proveedores especializados en monitorización de dark web y análisis de superficie de ataque. Las pymes, en cambio, se mueven casi siempre en uno de dos extremos: o ignoran completamente esta capa de vigilancia porque la dan por inalcanzable ("eso es cosa de bancos"), o descubren que la necesitan justo después de un incidente, cuando ya es tarde para la parte preventiva.

Ese es precisamente el hueco que ha ido cerrándose en los últimos años: han aparecido herramientas de comprobación gratuita —introducir un dominio o un email y ver al instante si aparece en filtraciones conocidas— y feeds públicos de amenazas que no requieren ni presupuesto ni un analista dedicado para empezar a usarse. No sustituyen una monitorización continua gestionada por profesionales, pero bajan drásticamente la barrera de entrada: ya no hace falta ser un banco para saber, hoy mismo, si tu dominio corporativo está circulando en algún sitio que no debería.

El panorama, en vivo

Todo lo anterior deja de ser una descripción abstracta si lo cruzas con datos en tiempo real. Estas tres vías, todas gratuitas y sin registro, muestran ahora mismo una parte de ese panorama:

• El feed de ciberamenazas en España recoge filtraciones, ransomware, phishing y otras señales públicas a medida que se detectan, filtrables por tipo y severidad.
• El mapa de geointeligencia geolocaliza esa misma actividad, útil para ver de un vistazo dónde se concentra según el tipo de amenaza.
• El comprobador de exposición en la portada permite introducir el dominio o email de tu empresa y ver al instante si aparece en filtraciones conocidas.

Si nunca has usado herramientas de este tipo, en ¿Qué es la ciberinteligencia (CTI)? explicamos paso a paso, sin dar nada por sabido, qué es cada una y cómo interpretarlas.

Hacia dónde va esto

Es razonable esperar que la brecha entre "empresas con visibilidad externa" y "empresas a ciegas" siga siendo el factor que más determine el impacto real de un incidente, más incluso que el tamaño de la empresa. La regulación seguirá empujando en esa dirección —NIS2 no es la última directiva de este tipo que vamos a ver— y las herramientas de acceso gratuito seguirán bajando la barrera técnica para que una pyme sin equipo de seguridad propio pueda, al menos, saber dónde está parada.

Si tras revisar estas señales quieres que alguien vigile de forma continua los activos de tu empresa —dominios, marca, correos corporativos, proveedores— en lugar de comprobarlo manualmente cada semana, puedes contactar con nuestro equipo y lo revisamos juntos sin compromiso.