✦ Qué información roban los ciberdelincuentes y cómo debemos actuar frente a ello

En 2026, el dato se ha consolidado como el activo estratégico más crítico. Con el auge de la Inteligencia Artificial, los delincuentes ya no solo buscan información para venderla, sino para suplantar identidades con total realismo, ejecutar sabotajes o llevar a cabo extorsiones a gran escala. Muchas veces actúan de forma silenciosa y prolongada robando información durante meses o años sin ser detectados. Además, emplean técnicas cada vez más sofisticadas, como ataques sin malware utilizando herramientas legítimas del sistema o el robo de cookies de sesión para suplantar usuarios sin necesidad de contraseñas ni verificación multifactor.

¿Qué datos roban los ciberdelincuentes a los ciudadanos?

Desde una perspectiva estratégica, el cibercrimen ya no actúa de forma indiscriminada, sino que segmenta a sus víctimas según edad, vulnerabilidad digital y contexto territorial. Los ataques responden a campañas diseñadas para maximizar el éxito en cada perfil.

En menores y jóvenes, el objetivo es su identidad digital, el robo de credenciales de redes sociales y plataformas de gaming, sextorsión, ciberacoso, sustracción de fotos privadas y pequeños fraudes asociados a micropagos o entradas digitales. Por su parte, en adultos en edad laboral, el foco es financiero, mediante smishing, phishing, estafas de inversión en criptomonedas y robo de identidad para solicitar créditos rápidos. En mayores de 65 años predomina la ingeniería social por voz: suplantaciones telefónicas, clonación de voz con IA en la estafa del “hijo en apuros”, aplicaciones fraudulentas y malware. Aquí se sustraen datos bancarios, códigos de verificación y también información especialmente sensible, como historiales médicos o situaciones de dependencia.

La segmentación también es geográfica. En grandes ciudades como Madrid o Barcelona se concentran los ataques a credenciales corporativas y fraudes BEC para desviar pagos empresariales. En zonas turísticas se buscan datos de reservas y tarjetas mediante webs clonadas o Wi-Fi falsas. En áreas rurales proliferan las falsas subvenciones agrícolas o fondos europeos, y en regiones como Levante y Andalucía destaca el phishing bancario masivo.

En definitiva, el ciberataque es cada vez más específico y contextual. Por tanto, la comunicación preventiva debe ser igualmente segmentada, clara y adaptada a cada colectivo para reforzar la primera línea de defensa: el ciudadano.

¿Qué datos roban los ciberdelincuentes a las organizaciones?

En el entorno corporativo, la información tiene un valor estratégico crítico porque su pérdida puede comprometer directamente la continuidad del negocio, afectando a la credibilidad, la seguridad, la reputación y la propia prestación de productos y servicios. Un incidente grave puede implicar paralizaciones operativas, deterioro de la calidad del servicio o penalizaciones por incumplimiento de acuerdos con clientes y proveedores, impactando de forma directa en los ingresos.

Los ciberdelincuentes buscan principalmente datos de clientes y empleados, tales como información personal, bancaria o nóminas, cuya exposición conlleva fuertes responsabilidades legales y reputacionales. Pero el riesgo no se limita al robo de datos, sino que también se producen ataques que provocan la pérdida total o parcial de servicios, como denegaciones de servicio, degradación de plataformas digitales o interrupciones en la comunicación con clientes y proveedores, ya sea de forma intermitente o prolongada.

Según la criticidad definida por la Directiva NIS2, en los sectores esenciales, como energía, transporte, salud, banca o infraestructuras digitales, el objetivo son datos operativos de infraestructuras críticas, sistemas industriales, historiales clínicos o planos técnicos, con fines de sabotaje o ransomware. Por otro lado, en sectores importantes, como industria, alimentación o servicios digitales, se busca principalmente propiedad intelectual, patentes, código fuente y secretos industriales para espionaje competitivo.

De forma transversal, uno de los grandes objetivos es la sustracción de credenciales corporativas a través de dispositivos de uso dual. Los smartphones, tablets o portátiles permiten acceder a redes internas, sistemas críticos, correo corporativo y servicios en la nube. También es especialmente sensible la información financiera y estratégica, como estados contables, previsiones, acuerdos comerciales, logística o planes de expansión y fusiones, cuyo impacto puede incluso trasladarse a la cotización bursátil.

En la industria tecnológica, la propiedad intelectual y la I+D+i constituyen otro foco prioritario. En muchos casos, además, el robo de datos no es el objetivo final sino la antesala de la extorsión. Los ciberdelincuentes pueden permanecer meses dentro de la red, monitorizando correos y flujos financieros antes de actuar.

Principales vectores de ataque

Tanto en ciudadanos como en empresas, los métodos de ataque comparten patrones comunes y tienen como principal punto débil el factor humano. La falta de concienciación, la mala gestión de la información, el uso de contraseñas débiles o compartidas y los errores cotidianos abren la puerta a incidentes de seguridad, a lo que se suman factores internos como el descontento o conflictos personales que pueden agravar el riesgo. A nivel técnico, los sistemas sin actualizar y las configuraciones inseguras facilitan accesos indebidos sin necesidad de vulnerar contraseñas.

En paralelo, el ransomware ha evolucionado hacia esquemas de doble extorsión, en los que los datos se cifran y además se exfiltran para amenazar con su publicación. Existen también variantes sin archivos que permiten a los atacantes permanecer durante meses en los sistemas sin ser detectados, utilizando herramientas legítimas del propio entorno para mantener su presencia. La ingeniería social, potenciada por la inteligencia artificial, completa el escenario mediante campañas de phishing, smishing, llamadas fraudulentas y deepfakes diseñados para manipular al usuario.

Ante este contexto de creciente sofisticación, resulta imprescindible reforzar la resiliencia colectiva mediante mayor concienciación y formación, la implantación de controles de ciberseguridad y la aplicación de prácticas básicas de higiene digital.

¿Cómo debemos actuar como ciudadanos?

La protección digital, tanto a nivel personal como en la relación con organizaciones, debe basarse en un modelo homogéneo de confianza cero y soberanía del dato. La prioridad es evolucionar hacia una Identidad Digital Segura que elimine la dependencia de contraseñas tradicionales mediante passkeys y biometría, reduciendo el riesgo de phishing. En el ámbito público, deben priorizarse sistemas oficiales como Cl@ve y EU Login bajo el marco eIDAS2, mientras que, cuando no sea posible usar passkeys, se recomienda reforzar el acceso con contraseñas robustas y un segundo factor físico, como llaves de seguridad o apps de autenticación.

Esta identidad debe complementarse con una estrategia sólida de cifrado y copias de seguridad conforme a la regla 3-2-1-1-0, es decir, múltiples copias en distintos soportes, al menos una fuera del sitio y otra inmutable y desconectada, verificando periódicamente su correcta recuperación. También es aconsejable disponer de un kit de recuperación analógico con claves y software guardados en un entorno físico seguro.

En caso de incidente, la respuesta debe ser inmediata. Es necesario aislar el dispositivo, cambiar credenciales desde otro equipo, avisar al banco, contactar con INCIBE y denunciar ante las autoridades, utilizando códigos de respaldo físicos si fuera necesario.

¿Cómo deben actuar las organizaciones?

En las organizaciones, la protección de datos debe abordarse como un proceso estructural y continuo. Esto implica reforzar la formación y concienciación no solo de empleados, sino también de la dirección, colaboradores y proveedores, dado que el factor humano sigue siendo uno de los eslabones más críticos. Es necesario establecer una gobernanza clara de la seguridad, con responsables definidos, funciones asignadas y evaluaciones periódicas de los activos esenciales para medir su criticidad y anticipar riesgos.

Tras la entrada en vigor de la Directiva NIS2 (Network and Information Systems Directive 2) en la Unión Europea, la gobernanza ya no es opcional, y está definida la responsabilidad legal de los consejos de administración, identificación personal y posible suspensión de ejecutivos, a lo que se debe añadir las posibles sanciones económicas, especialmente en los casos de negligencia o incumplimiento de los plazos de notificaciones en casos de incidencias “legalmente significativas”.

La adecuación progresiva a la Directiva NIS2 debe integrarse en la planificación estratégica, adoptando medidas proporcionadas y cumpliendo estrictamente los plazos de notificación de incidentes: alerta temprana en menos de 24 horas, informe detallado en 72 horas y análisis completo en un máximo de 30 días. A nivel técnico, la organización debe reforzar la ciber-higiene, segmentar redes, implantar cifrado para datos en tránsito y en reposo, aplicar autenticación multifactor y disponer de capacidades de monitorización, detección y respuesta. También es clave gestionar adecuadamente la seguridad en la cadena de suministro.

La mejora de la ciber-resiliencia debe entenderse no solo como una exigencia normativa, sino como una inversión estratégica. Para ello, es fundamental diferenciar los costes operativos recurrentes de las inversiones destinadas a fortalecer la resiliencia a medio y largo plazo. La colaboración entre equipos y organizaciones, apoyada en tecnologías certificadas y actualizadas, constituye la vía más eficaz para afrontar un entorno de amenazas cada vez más sofisticado.

Lo último

Noticias