Los líderes de seguridad de Google destacaron en el informe Cybersecurity Forecast 2026 que el cibercrimen seguirá siendo la amenaza disruptiva más importante para los entornos ICS (sistemas de control industrial) y OT (tecnología operativa). El informe predice que los ataques de IA pasarán de ser una práctica poco común a ser una práctica estándar, lo que cambiará el panorama de las ciberamenazas. Se espera que el ransomware, el robo de datos y la extorsión multifacética sigan siendo las formas de delito cibernético más perjudiciales desde el punto de vista financiero a nivel mundial, impulsados tanto por la frecuencia de los incidentes como por los efectos económicos en cascada sobre proveedores, clientes y comunidades más allá de los objetivos originales.
«Esperamos ver operaciones de ransomware diseñadas específicamente para afectar el software empresarial crítico (como los sistemas ERP), interrumpiendo gravemente la cadena de suministro de datos esenciales para las operaciones de OT», afirma el informe Cybersecurity Forecast 2026 de Google. Un simple malware de Windows para penetrar las redes OT.»
El informe también reconoce que los ataques dirigidos contra Estados nacionales, aunque menos frecuentes, seguirán siendo muy complejos y directamente vinculados a conflictos geopolíticos específicos.
Los defensores deberán priorizar la segmentación de la red para aislar estrictamente la OT de la red de TI, evitando que el ransomware pase al lado empresarial. Todo el acceso remoto debe estar protegido con autenticación multifactor (MFA) y principios de privilegio mínimo para bloquear el acceso a través de credenciales comprometidas. Para garantizar la recuperación, implemente copias de seguridad fuera de línea e inmutables de configuraciones industriales y datos empresariales críticos, como registros de ERP, y monitoreo de red en rutas críticas de TI/OT.
Las Perspectivas de Seguridad Cibernética 2026 informan que en 2026 y más allá, se espera que las operaciones cibernéticas de Rusia experimenten un cambio estratégico, pasando de un enfoque exclusivo en el apoyo táctico a corto plazo al conflicto en Ucrania a priorizar objetivos estratégicos globales a largo plazo. «Si bien el continuo ciberespionaje dirigido al gobierno ucraniano y a los sectores de defensa seguirá siendo una prioridad (posiblemente buscando inteligencia crítica para operaciones cinéticas o desarrollos políticos como posibles conversaciones de paz), el enfoque del aparato se ampliará».
Agrega que el ritmo constante del ciberespionaje en Europa y América del Norte en 2025, junto con el uso renovado de TTP (tácticas, técnicas y procedimientos) nuevos y creativos, sugiere una transición hacia el desarrollo a largo plazo de capacidades cibernéticas avanzadas, la recopilación de inteligencia en apoyo de los intereses políticos y económicos globales de Rusia y la obtención de puntos de apoyo estratégicos en entornos internacionales de infraestructura crítica. A pesar de la disminución de los ciberataques disruptivos y destructivos desde 2022, las organizaciones deben seguir estando alerta contra esta amenaza en 2026.
El informe evalúa que los grupos hacktivistas prorrusos seguirán representando una amenaza significativa e impredecible, especialmente para los entornos OT, como lo demuestra el compromiso de abril de 2025 sobre una presa noruega.
En cuanto a China, el Pronóstico de seguridad cibernética para 2026 estima que en 2026, se espera que el volumen de operaciones cibernéticas del nexo con China siga superando al de otras naciones. «Esta amenaza persistente y de alta velocidad continuará respaldando los intereses estratégicos de larga data de China para mantener la estabilidad interna y fortalecer su influencia política y económica a nivel mundial. Se espera que el aparato de amenazas cibernéticas de China no sólo mantenga su alto volumen actual, sino que también dé prioridad a la capacidad de llevar a cabo operaciones encubiertas y desplegar nuevas capacidades en el próximo año», añadió.
El informe predice que los TTP de ciberespionaje China-Nexus seguirán centrándose en maximizar la escala operativa y el éxito, y que algunos actores de amenazas también trabajarán para minimizar las oportunidades de detección. Los actores de amenazas de Chinanexus seguirán atacando agresivamente los dispositivos terminales que normalmente carecen de soluciones de respuesta y detección de terminales y explotarán las vulnerabilidades de día cero. También apuntarán a proveedores externos, ya que comprometer a un par confiable puede permitir el acceso a muchas organizaciones posteriores, y el abuso de relaciones legítimas entre pares hace que el acceso malicioso resultante sea difícil de identificar.
El informe Cybersecurity Forecast 2026 señaló que un área de particular interés para estas operaciones será el sector de los semiconductores, donde la competencia, las restricciones a las exportaciones de Estados Unidos y el aumento de la demanda asociada con la adopción de la IA podrían conducir al espionaje, destacando la importancia de un enfoque de múltiples capas para la protección de la red.
Google estimó que la escalada de tensiones regionales, ejemplificada por el conflicto de Gaza y el intercambio de ataques entre Irán, Israel y Estados Unidos en 2025, seguirá alimentando un mayor ciberespionaje, ataques disruptivos y operaciones de información (IO) dirigidas contra Israel y sus aliados. «Esperamos que las capacidades cibernéticas de Irán sigan siendo resilientes, multifacéticas y semi-negables, desdibujando deliberadamente las líneas entre espionaje, disrupción, hacktivismo y actividad financieramente motivada. Este enfoque integrado permite que los mismos actores y acceso se utilicen para diferentes misiones, complicando la defensa y la atribución a los adversarios».
Además, se prevé que el riesgo de que se desplieguen limpiaparabrisas siga siendo alto, debido a las tácticas agresivas observadas desde octubre de 2023.
El informe Cybersecurity Forecast 2026 advierte que las IO coordinadas por Irán seguirán siendo fundamentales para generar apoyo en torno a los conflictos de Oriente Medio, sembrar discordia en los países objetivo e influir en las elecciones. «Esta actividad dependerá en gran medida de sitios web no auténticos centrados en noticias para ofrecer contenido político adaptado a los intereses de Teherán. Acelerará el uso de contenido generado por IA y la expansión de narrativas a través de grupos de personas no auténticas en las redes sociales, con un mayor enfoque en plataformas como Telegram».
Además, la capacidad de girar rápidamente la infraestructura de influencia preposicionada, como lo demuestran los cambios en los mensajes tras el ataque terrorista de Pahalgam en abril de 2025, confirma su flexibilidad para manejar los factores estresantes globales emergentes. El informe espera que los principales objetivos sigan siendo fijos, incluida la vigilancia continua de los críticos del régimen, la recopilación de inteligencia contra organizaciones e individuos vinculados a la política iraní o regional, y la tecnología que podría apoyar al ejército.
En cuanto al aparato de ciberamenazas de Corea del Norte, el informe Cybersecurity Forecast 2026 identificó que se espera que mantenga sus objetivos principales de generación de ingresos y ciberespionaje tradicional contra adversarios percibidos, principalmente Estados Unidos y Corea del Sur, en 2026.
«Los actores de amenazas cibernéticas de Corea del Norte intensificarán sus operaciones altamente exitosas y lucrativas contra organizaciones y usuarios de criptomonedas», agrega el informe. «Las tácticas observadas en 2025, que incluyeron el mayor robo registrado de criptomonedas valoradas en aproximadamente 1.500 millones de dólares, dan una clara indicación de su enfoque en ataques con motivaciones financieras y de alto beneficio. Esperamos que los actores norcoreanos aumenten su innovación técnica. Esto incluye tácticas como persuadir a los objetivos para que ejecuten código malicioso y realizar un reconocimiento interno extenso de los entornos de nube para localizar y robar activos de alto valor».
El informe de Google estima que se espera que la actividad de los trabajadores de TI de Corea del Norte continúe expandiéndose globalmente (especialmente en Europa) a medida que se adapta e intenta eludir la creciente presión policial y la creciente conciencia en los EE. UU. «Esta diversificación global es una respuesta directa al exitoso desmantelamiento de las ‘granjas de portátiles’ estadounidenses que permitían el acceso remoto y ocultaban la verdadera ubicación de los trabajadores».
Además, el riesgo asociado con las actividades de los trabajadores de TI en Corea del Norte seguirá extendiéndose más allá del simple ingreso salarial. Uno de los objetivos será obtener ganancias financieras directas al abusar del acceso a la red del empleador, específicamente apuntando y robando criptomonedas de organizaciones centradas en criptomonedas. Además, los trabajadores seguirán utilizando su acceso al trabajo para espionaje estratégico, como se vio en el robo de datos confidenciales de un contratista de defensa que desarrolla tecnología de inteligencia artificial.
En conclusión, el informe Cybersecurity Forecast 2026 señala que 2026 marcará el comienzo de una nueva era de inteligencia artificial y seguridad, tanto para los adversarios como para los defensores.
«Si bien los actores de amenazas utilizarán la IA para aumentar la velocidad, el alcance y la eficacia de los ataques, los defensores también aprovecharán a los agentes de IA para fortalecer las operaciones de seguridad y mejorar las capacidades de los analistas», dice el informe. «Sin embargo, esta transformación introduce nuevos desafíos, como los riesgos del ‘agente en la sombra’ y la necesidad de evolucionar la gestión de identidades y accesos».
Además, las operaciones con motivación financiera, especialmente el ransomware y la extorsión para robar datos, seguirán siendo una fuerza dominante y disruptiva. «Geopolíticamente, la actividad de los estados nacionales de Rusia, China, Irán y Corea del Norte seguirá planteando amenazas significativas y en evolución, impulsadas por diferentes intereses estratégicos y utilizando diferentes tácticas cibernéticas».
Para abordar este entorno complejo y en rápida evolución, el informe de Google insta a las organizaciones a priorizar estrategias de defensa proactivas de múltiples capas, invertir en gestión de IA y adaptar continuamente sus posturas de seguridad para protegerse contra amenazas emergentes y garantizar la resiliencia operativa.
