Principales destacados
- La explotación de vulnerabilidades de software representó el 44,5% de las intrusiones en la nube a finales de 2025.
- Las credenciales débiles, antes el principal problema, bajaron al 27,2% de los incidentes.
- Los ataques ahora ocurren mucho más rápido, con explotación en hasta 48 horas tras divulgarse una falla.
Google Cloud publicó el informe Cloud Threat Horizons H1 2026, revelando un cambio importante en la forma en que los ciberdelincuentes logran entrar en entornos de computación en la nube.
Por primera vez, las vulnerabilidades en software de terceros superaron a las credenciales débiles como el principal punto de acceso inicial para los ataques.
Según el informe, las fallas explotadas representaron el 44,5% de las intrusiones investigadas durante el segundo semestre de 2025, un aumento enorme si se compara con apenas el 2,9% registrado en el primer semestre del mismo año.
El análisis fue elaborado por la oficina del CISO de Google Cloud en conjunto con el Google Threat Intelligence Group.
Mientras tanto, las credenciales débiles o inexistentes, que durante años fueron el método más común para comprometer sistemas, disminuyeron significativamente. Pasaron de 47,1% de los incidentes a principios de 2025 a 27,2% al final del año, mientras que los errores de configuración también bajaron de 29,4% a cerca de 21%.
Los ataques ocurren cada vez más rápido
Otro punto clave del informe es la velocidad con la que los atacantes están explotando nuevas vulnerabilidades. En el pasado, podía pasar semanas entre la divulgación de una falla y su uso en ataques reales. Hoy ese intervalo se ha reducido a apenas unos días.
En algunos casos, herramientas maliciosas como cryptominers fueron detectadas en menos de 48 horas después de hacerse pública una vulnerabilidad. Esto demuestra que los grupos criminales monitorean constantemente nuevas fallas para aprovecharlas lo antes posible.
Entre las vulnerabilidades más explotadas aparecen fallas de ejecución remota de código, como React2Shell (CVE-2025-55182) y una vulnerabilidad en XWiki (CVE-2025-24893), utilizadas en campañas de botnets y minería ilegal de criptomonedas.
Los atacantes ahora apuntan a los sistemas de respaldo
El informe también advierte sobre una estrategia cada vez más común entre grupos de ransomware: atacar directamente los sistemas de backup de las víctimas.
El grupo UNC2165, vinculado a la organización criminal Evil Corp, fue observado accediendo a copias de seguridad almacenadas en la nube para eliminar datos y modificar permisos de usuarios. El objetivo es impedir la recuperación de la información y aumentar la presión para que las empresas paguen el rescate.
Tácticas similares también fueron atribuidas a UNC4393, relacionado con el ransomware Black Basta, y a UNC2465, asociado con campañas de DarkSide y LockBit.
La inteligencia artificial empieza a ser usada en los ataques
Otra tendencia emergente señalada por Google es el uso de inteligencia artificial para acelerar los ciberataques. En uno de los casos investigados, los atacantes utilizaron modelos de lenguaje para automatizar la recopilación de credenciales y escalar privilegios dentro de un entorno corporativo.
En ese incidente, los criminales lograron pasar de un entorno local de desarrollo a acceso administrativo completo a la nube en menos de 72 horas.
En otro caso, el grupo norcoreano UNC4899 aprovechó un entorno de desarrollo asistido por IA para insertar un backdoor que terminó provocando el robo de varios millones de dólares en criptomonedas.
Qué deben hacer ahora las organizaciones
Ante este escenario, Google recomienda que las empresas adopten defensas mucho más rápidas y automatizadas. Entre las principales medidas está aplicar parches virtuales en menos de 24 horas y completar la corrección definitiva en un máximo de 72 horas.
También se sugiere implementar autenticación multifactor resistente al phishing, restringir los permisos OAuth en integraciones de terceros y monitorear movimientos anómalos de grandes volúmenes de datos.
La conclusión del informe es clara: la velocidad de los ataques en la nube ya supera la capacidad de respuesta manual, por lo que la automatización y la vigilancia continua se vuelven esenciales para la seguridad.
