El tercer trimestre de 2025: anatomía de un asedio digital global

El tercer trimestre de 2025 no será recordado por un nuevo malware bautizado con nombre exótico ni por un exploit técnico aislado. Será recordado como la temporada en que las amenazas dejaron de actuar como piezas sueltas y se fusionaron en un ecosistema interconectado, acelerado por la inteligencia artificial y lubricado por la confianza ciega en credenciales, proveedores y pantallas. Lo que vimos no fue una sucesión de incidentes, sino un guion compartido donde deepfakes, ransomware, cadenas de suministro y espionaje estatal se tejieron en la misma trama.

Los adversarios ya no operan como bandas improvisadas, sino como corporaciones digitales. Planifican campañas globales con la eficiencia de empresas multinacionales y la agresividad de ejércitos encubiertos. Este trimestre confirmó que la resiliencia dejó de ser una palabra bonita en presentaciones: es la línea que separa la continuidad operativa del colapso público.

El engaño industrializado: cuando la IA borra la intuición humana

Los correos electrónicos mal escritos eran antaño el chiste de la ciberseguridad. Hoy, desaparecieron. En el tercer trimestre de 2025, los mensajes fraudulentos llegaron con redacción impecable, logotipos pulidos y un tono que parecía salido de la bandeja del CEO. El secreto no era un equipo de redactores, sino modelos generativos que analizan el estilo de la víctima y lo replican al milímetro.

Lo que cambió no fue solo la forma, sino la psicología. Antes, un empleado podía sospechar de un correo con errores de ortografía. Ahora, se enfrenta a un mensaje que parece escrito por su propio jefe, con referencias a proyectos en curso y un tono que le resulta familiar. El escepticismo, la defensa humana más básica, quedó neutralizado.

El trimestre también fue testigo de fraudes con videollamadas deepfake. En la firma de ingeniería Arup, un empleado transfirió 200 millones de dólares de Hong Kong (unos 25,6 millones de dólares estadounidenses, cerca de 20 millones de libras esterlinas) convencido de que hablaba con un ejecutivo de alto rango. La imagen y la voz eran tan convincentes que el proceso de verificación humana colapsó. La confianza visual y auditiva —el “te vi y escuché, por lo tanto eres tú”— perdió validez.

El engaño no se limitó a correos y llamadas. Los atacantes usaron IA como copiloto de desarrollo de malware. Familias como Funklocker y SparkCat evidencian que ya no se necesita ser un programador experto: basta con saber qué pedir a un modelo para que genere código polimórfico que cambia constantemente, burlando defensas basadas en firmas. Lo inquietante no es la aparición de un “supermalware”, sino la democratización del proceso: cualquiera con motivación y tiempo puede fabricar software malicioso sofisticado.

La respuesta a este industrializado teatro del engaño no puede seguir descansando en la intuición humana. Empresas de todos los tamaños han debido entrenar a sus equipos en reconocer señales más sutiles, incorporar verificaciones redundantes y crear canales paralelos de confirmación. La resiliencia aquí ya no es detectar la ortografía fallida, sino asumir que hasta la cara en la pantalla puede ser una impostura y que solo los procesos distribuidos de validación mantienen a raya la mentira digital.

Ransomware 3.0: la era del sabotaje operativo

La primera ola del ransomware fue simple: cifrar archivos. La segunda añadió la amenaza de filtración de datos. El tercer trimestre consolidó la tercera ola: la disrupción operativa intencional.

El caso de Jaguar Land Rover se transformaría en el paradigma de esta nueva etapa. Un incidente de este tipo paralizó plantas en Reino Unido, envió a decenas de miles de empleados a casa y generó pérdidas estimadas en decenas de millones de libras por semana. Más allá de la empresa, la cadena de suministro automotriz quedó en suspenso. Un episodio así muestra cómo un incidente digital se convierte en un problema macroeconómico.

El mensaje para los atacantes es contundente: la presión más efectiva no está en los datos, sino en el reloj. Cuanto más tiempo una planta, un hospital o una red de transporte permanezcan fuera de servicio, más dispuesta estará la víctima a pagar. El ransomware dejó de ser un chantaje digital y se transformó en una estrategia de guerra económica.

Detrás de este cambio está la madurez del ecosistema de Ransomware-as-a-Service (RaaS). Desarrolladores ofrecen kits listos para usar, mientras afiliados ejecutan las campañas. Intermediarios especializados venden accesos iniciales a redes corporativas como si fueran bienes raíces digitales. El crimen ya no es un acto solitario: es una cadena de valor donde cada actor ocupa un eslabón.

Este ransomware de tercera generación también obligó a las defensas a reinventarse. La continuidad del negocio dejó de ser un apéndice de TI para convertirse en prioridad ejecutiva. Las empresas que soportaron embates similares lo lograron porque habían ensayado apagones controlados, segmentado redes críticas y diseñado planes de recuperación que no dependían de negociar con delincuentes. La resiliencia operativa, probada y no solo escrita en un manual, se volvió la antítesis natural de este sabotaje digital.

La cadena de suministro: confianza convertida en vulnerabilidad

Las empresas invierten millones en reforzar sus muros digitales, pero abren puertas traseras todos los días al conectar aplicaciones SaaS y otorgar permisos a terceros. El trimestre dejó claro que el eslabón más débil no está en el castillo, sino en las llaves que entregamos.

Un incidente como el de Salesforce y Drift se transformó en el paradigma de los ataques de cadena de suministro. Con tokens OAuth robados, los atacantes entraron en múltiples entornos corporativos sin necesidad de romper contraseñas ni evadir firewalls. Incluso gigantes de la ciberseguridad quedaron expuestos. Lo grave no fue el acceso inicial, sino la estrategia: buscar claves de nube, tokens de API y secretos almacenados en sistemas de soporte para pivotar a otros entornos.

La cadena de suministro fue también escenario de ataques en software abierto: paquetes infectados en NPM y PyPI se propagaron en cascada hacia proyectos corporativos, mostrando cómo un error en una librería pública puede filtrarse en bancos, hospitales o gobiernos.

En América Latina, esta vulnerabilidad se tradujo en casos concretos. En Brasil, hospitales públicos vieron interrumpidos sus sistemas de citas y exámenes tras una actualización comprometida de un proveedor. En México, dependencias estatales fueron víctimas de intrusiones originadas en integraciones de software de gestión. En Argentina, entidades financieras reportaron brechas ligadas a fallos en servicios de terceros para autenticación digital. Todas comparten el mismo patrón: la confianza delegada es hoy la amenaza más rentable.

La lección defensiva que surge de este escenario es simple y brutal: confiar ya no basta. Las organizaciones que enfrentaron intrusiones similares y sobrevivieron lo hicieron porque trataron a sus proveedores con la misma sospecha metódica con que vigilan a sus propios usuarios internos. Extender los principios de Zero Trust más allá del perímetro corporativo dejó de ser una opción y pasó a ser un requisito de supervivencia.

Estados, hacktivismo y la guerra sin uniforme

El tablero geopolítico también ardió en Q3.

En Ucrania, los ataques sincronizados de Sandworm contra infraestructuras eléctricas y de transporte se alinearon con bombardeos físicos, buscando multiplicar el caos. Corea del Norte, con FAMOUS CHOLLIMA, exploró tácticas insidiosas: infiltrarse en empresas extranjeras con perfiles laborales falsos generados por IA. Una vez contratados, sus operadores actuaban como espías internos. China intensificó un 150% sus operaciones en la nube, explotando configuraciones débiles para recolectar inteligencia en telecomunicaciones y gobiernos.

En Oriente Medio, colectivos hacktivistas aprovecharon el conflicto Israel-Irán para lanzar campañas masivas bajo etiquetas como #OpIsrael. Telegram se convirtió en su sala de guerra, donde compartieron exploits, objetivos y propaganda. Muchos de esos grupos, supuestamente “civiles”, mostraron recursos técnicos que revelan vínculos con agencias estatales.

En América Latina, la tensión digital creció. Grupos vinculados a filtraciones de estilo Guacamaya expusieron correos de ministerios y policías, apuntando a corrupción y abusos. Hacktivistas locales emplearon ransomware no por dinero, sino como herramienta de protesta para interrumpir servicios públicos y ganar visibilidad. La región se confirmó como un campo de batalla híbrido donde lo político, lo criminal y lo ideológico se entrelazan.

El aprendizaje defensivo no está en reforzar muros, sino en comprender narrativas. Las organizaciones que se adelantaron al impacto de estos ataques no lo hicieron únicamente con firewalls o SIEMs, sino con inteligencia capaz de leer la motivación detrás de cada ofensiva y anticipar cómo podía escalar. El nuevo perímetro no es técnico: es contextual, y las defensas que entienden el contexto responden más rápido que las que solo vigilan eventos aislados.

Vulnerabilidades persistentes: las grietas olvidadas

Los exploits de día cero acaparan titulares, pero la mayoría de las brechas en Q3 nacieron de vulnerabilidades conocidas y sin parchear. La negligencia en lo básico sigue siendo el talón de Aquiles.

Un incidente como el de Jaguar Land Rover mostró cómo credenciales mal protegidas abren grietas gigantes. La exposición de Salesforce, cómo la confianza ciega en una integración se convierte en un caballo de Troya. Los espionajes estatales, cómo configuraciones erróneas en la nube son suficientes para dar acceso. Y el ransomware, cómo se aprovecha de fallos parcheados meses antes.

El trimestre también trajo dos fenómenos que amplifican riesgos: la mercantilización del DDoS, con ataques récord de más de 70 millones de solicitudes por segundo contratados en la dark web por unos pocos dólares, y la explotación masiva de configuraciones de nube, donde identidades con permisos excesivos o claves filtradas en repositorios públicos dieron a los atacantes pase libre.

A esto se suma un frente en ascenso: el fraude en aplicaciones móviles y APIs. En fintechs y bancos digitales, adversarios explotaron debilidades en autenticación móvil y certificados, apuntando a transacciones en tiempo real. También crecieron los fraudes biométricos, con IA capaz de imitar huellas o rostros en sistemas de verificación.

La defensa aquí no se mide en firewalls más grandes, sino en disciplina operativa. Las organizaciones que cerraron filas frente a estas amenazas no eran las que presumían de la última tecnología, sino las que aplicaban parches sin demora, limitaban privilegios en la nube y monitoreaban de manera obsesiva los comportamientos en sus APIs. La resiliencia se construye corrigiendo las grietas más simples antes de que se conviertan en catástrofes.

La brecha invisible

El tercer trimestre de 2025 reveló que las amenazas no son eventos aislados, sino manifestaciones de un mismo ecosistema en convergencia. Deepfakes que mueven dinero, ransomware que paraliza industrias, proveedores que traicionan sin saberlo, estados que espían desde la nube y activistas que usan armas de ciberdelincuentes. Todo ocurre en un tablero común donde la línea entre crimen, activismo y geopolítica ya no existe.

El futuro no se definirá por el próximo zero-day ni por la siguiente familia de ransomware. Se definirá por la velocidad con que seamos capaces de transformar la desconfianza en resiliencia. Porque en 2025, la verdadera brecha no es técnica: es de confianza.