Panorama de amenazas: la ciberseguridad de la semana, medida y en directo
Por Kike Gandia · Amenazas · 8 min de lectura
La mayoría de informes de amenazas llegan tarde y redondeados: «el ransomware sigue al alza», «el phishing se sofistica». Útil para un titular, inútil para decidir qué hacer el lunes. Por eso hemos abierto el Panorama de amenazas: una página que se rehace sola cada semana con lo que ha pasado de verdad, contado uno a uno y comparado con una semana normal.
No lo escribe nadie a mano. Lo genera 0data, nuestra plataforma de inteligencia, a partir de lo que ingiere a diario, y lo publica cada lunes a primera hora. Estos fueron los números de la primera edición, la de la semana 42:
- 1.026.313
- registros procesados en una semana
- 1.901
- víctimas de ransomware nuevas en 30 días (23 de ellas en España)
- 9
- vulnerabilidades pasaron a «explotadas»
- 298
- webs de phishing confirmadas
Primera edición (11-18 de octubre de 2026). Los bloques en directo de este artículo enseñan siempre la semana en curso.
Cinta de titulares de la semana: vulnerabilidades explotadas, grupos de ransomware nuevos y víctimas recientes con la identidad protegida.
El pulso: contra lo normal, no contra la semana pasada
Lo primero que ves son cuatro cifras —víctimas de ransomware, vulnerabilidades explotadas, webs de phishing y alertas de los CERT— con su curva de nueve semanas. El bloque de aquí abajo no es una captura: lee la edición vigente, así que cuando vuelvas a este artículo dentro de un mes verás otro número.
El pulso de la semana: víctimas de ransomware, vulnerabilidades explotadas, webs de phishing y alertas de los CERT, cada una con su variación frente a una semana normal.
La comparación es la parte que más cuidamos. «Normal» es la mediana de las ocho semanas anteriores, no la semana pasada. Parece un matiz y no lo es: varias fuentes se recargan de golpe. En ransomware medimos semanas de 250, 286, 1.795 y 869 víctimas seguidas; contra la semana anterior, la siguiente a una recarga parecería un desplome del 60 %.
Semana atípica. Cuando una semana triplica o divide por tres lo normal, la página la marca como atípica en vez de titular con ella. Casi siempre es una fuente que se ha recargado, no un cambio en el mundo.
El globo: dónde caen las víctimas
La pieza más vistosa es un globo de puntos que gira solo. Cada punto es un trozo de tierra; los países se encienden según sus víctimas de ransomware de los últimos 30 días y los más atacados laten. Arrástralo para girarlo o pincha un país de la lista para traerlo al frente.
Globo interactivo con las víctimas de ransomware de los últimos 30 días por país. Estados Unidos encabeza la lista; España aparece entre los diez primeros.
Está hecho a mano, sin librerías de mapas: unos 3.800 puntos de tierra proyectados en un lienzo, que se para cuando sale de la pantalla y se queda quieto si tu sistema pide reducir el movimiento.
Víctimas, sí; nombres, no
Los grupos de ransomware publican a sus víctimas en sus webs de filtraciones para presionar el pago. Nosotros las contamos —cada una una sola vez, el día que aparece por primera vez, porque los grupos vuelven a listar a las antiguas— pero no les ponemos cara. Se ve la forma del nombre, el sector, el país y el grupo; nunca la identidad.
Consola con las últimas víctimas publicadas por los grupos de ransomware, con el nombre enmascarado, su sector, su país y el grupo.
Lo que publicamos
- Cuántas víctimas, por sector y por país
- Qué grupos están activos y cuáles estrenan víctimas
- La forma del nombre, tapada con asteriscos
- Las vulnerabilidades explotadas, con su fabricante
Lo que no
- La identidad de ninguna víctima
- Enlaces vivos a webs de phishing
- Qué empresas vigilamos en el perímetro
- Las fuentes de las que sale cada dato
La edición no se publica si algo se escapa: Flavia la valida antes de subirla y se niega si encuentra un enlace vivo o un nombre sin tapar.
Lo que ya se está explotando
Una vulnerabilidad con explotación confirmada ya no es un riesgo teórico: alguien la está usando. Son las primeras que hay que parchear, por delante de cualquier puntuación CVSS. El panorama lista las que entraron esta semana en el catálogo de explotadas, con su fabricante y su producto, y pinta día a día cuántas vulnerabilidades críticas y altas publicaron los fabricantes.
Phishing: a quién suplantan y dónde se esconden
No basta con contar webs falsas. Medimos a quién imitan —esta semana, sobre todo el inicio de sesión de Google— y dónde se esconden: servidores sin dominio, o plataformas legítimas de nube y blogs que les prestan su reputación y su candado. Las muestras salen con la dirección tapada: se ve la técnica y no se puede pinchar.
El perímetro, solo en agregado
Vigilamos de forma pasiva el perímetro de un grupo de grandes empresas: lo que cualquiera puede ver desde internet, sin tocar sus sistemas. En la página solo sale en agregado —subdominios, servidores expuestos, cuántos tienen alguna vulnerabilidad conocida y qué puertos están más abiertos—, nunca un nombre.
Radar del perímetro vigilado: subdominios descubiertos, servidores expuestos y los puertos más abiertos, solo en agregado.
Cómo se hace, de principio a fin
- Cada día — Ingesta
0data recoge ransomware, catálogos de vulnerabilidades, avisos de fabricantes y CERT, phishing y exposición. Más de un millón de registros a la semana. - Domingo — Recuento
La semana se cierra a medianoche UTC. Cada víctima cuenta una vez y una fuente parada no se pinta como cero: su sección desaparece esa semana. - Domingo — Comparación
Cada cifra se mide contra la mediana de sus ocho semanas anteriores y se marca si es atípica. - Lunes 05:00 — Validación y publicación
Flavia compone la edición, comprueba que no hay nada identificable ni enlaces vivos y la publica en la web.
Para qué te sirve
- Dirección Cinco minutos de contexto
- Qué ha pasado esta semana y si es lo normal, sin informes de cuarenta páginas.
- Seguridad Qué parchear primero
- La lista de vulnerabilidades que ya se explotan es la prioridad del lunes.
- Sector Si te toca de cerca
- Sectores y países atacados, con España aparte, para saber si tu entorno está en el punto de mira.
- Concienciación Ejemplos reales
- Las marcas que suplantan y dónde se esconden, para formar a tu equipo con casos de esta semana.
El panorama es lo que vemos del mundo. Lo que vería un atacante de tu empresa —tu perímetro, tus proveedores, tu sector— es otra conversación: la de ciberinteligencia. Y si quieres el panorama cada lunes en tu correo, apúntate a la newsletter. Mientras tanto, la edición de esta semana está aquí: Panorama de amenazas.
Servicio relacionado
ciberinteligencia (CTI) para tu empresa
Temas de este artículo
#Panorama-de-amenazas #Ransomware #Vulnerabilidades-explotadas #KEV #Phishing #Ciberinteligencia #0data #Datos
Seguir leyendo
- +8,7 % en víctimas publicadas en sitios de filtración: la cifra de la semana
- Cuando un directivo compra sus propias acciones
- Cómo viaja una noticia: anatomía de catorce días de prensa
- Análisis del Hackeo a Bybit (III) : Implicaciones y Futuro de la Seguridad Cripto Tras el Hackeo de Bybit
- Una sola dirección sirvió el 64,9 % del phishing de la semana