El CNI confirma que España está entre los países más ciberatacados del mundo: qué significa para tu empresa
Eric Serrano Bustos
El secretario general del Centro Nacional de Inteligencia, Luis García Terán, ha confirmado en público que España se encuentra entre los países que reciben más ciberataques del mundo, y que esas agresiones llegan, según sus propias palabras, “con toda clase de artefactos”. La advertencia, hecha durante la jornada Seguridad y defensa global organizada por Europa Press el 5 de mayo de 2026, no es solo un titular institucional: confirma una realidad que ya viven a diario las empresas y administraciones españolas, y obliga a replantear cómo se gestiona la ciberseguridad empresarial cuando el adversario es cada vez más diverso, rápido y accesible.
¿Qué ha dicho el CNI?
Las declaraciones del número dos del servicio de inteligencia, recogidas por El Español, EFE y Europa Press, dejan tres mensajes principales para empresas, administraciones e infraestructuras críticas:
España es objetivo permanente y de primer nivel. El CNI sitúa al país entre los más ciberatacados del mundo, con campañas que combinan ransomware, espionaje y desinformación.
Las capacidades de ataque se han democratizado. Lo que hace pocos años requería un equipo técnico avanzado, hoy puede ejecutarse con herramientas accesibles, servicios de cibercrimen como servicio (RaaS) e inteligencia artificial generativa.
El frente ya no es solo técnico, también es social. García Terán insistió en que los ciberataques no buscan únicamente robar información: buscan polarizar la sociedad y erosionar la confianza en las instituciones democráticas.
El CNI también recordó que dedica una parte importante de su esfuerzo a identificar intentos de ataque contra el Ministerio de Defensa, contra sus propias redes y contra empresas españolas, dentro y fuera del país. La traducción operativa para cualquier organización es directa: el riesgo no es teórico ni es exclusivo de los grandes operadores estratégicos.
Por qué España concentra tanto interés ofensivo
El mensaje del CNI conecta con datos que el sector lleva tiempo documentando. España combina una serie de factores que la convierten en un objetivo prioritario para múltiples tipos de actores:
Posición estratégica en la Unión Europea y la OTAN. España es nodo logístico, energético y de telecomunicaciones de toda la fachada atlántica europea. Eso atrae el interés de Estados rivales y de operadores afiliados a ellos.
Tejido empresarial dominado por pymes. El 50 % de las pymes españolas sufre algún ciberataque cada año. Es una superficie enorme con una postura de seguridad muy desigual.
Infraestructuras críticas con alta dependencia digital. Energía, transporte, sanidad, agua, finanzas y administración pública se han digitalizado de forma acelerada y, en muchos casos, sin proporcionar la inversión equivalente en ciberseguridad.
Retraso regulatorio. La transposición de la directiva NIS2, que debía estar completada en octubre de 2024, sigue sin haberse cerrado a fecha de hoy. Este vacío deja a muchas empresas obligadas en una zona gris sobre sus deberes y responsabilidades.
Ecosistema lingüístico atractivo para los atacantes. La lengua española conecta con cientos de millones de usuarios en América Latina, lo que multiplica el retorno de campañas de phishing, fraude y desinformación generadas con IA.
La conclusión que se desprende del análisis del CNI no es nueva, pero sí más contundente: España no es un objetivo colateral, es un objetivo deliberado. Y lo será cada vez más.
Cómo se democratiza el cibercrimen
La democratización a la que se refiere el CNI no es una metáfora. Es un cambio estructural que se está produciendo desde 2023 y se ha acelerado en 2025 y 2026 por tres motivos concretos:
Ransomware como servicio (RaaS). Plataformas como las gestionadas por Qilin, The Gentlemen o las nuevas marcas blancas tipo DragonForce permiten que cualquier afiliado, sin saber programar, lance campañas profesionales de extorsión a cambio de un porcentaje de los rescates.
Inteligencia artificial generativa. Según datos publicados por INCIBE, más de 28 millones de ciberataques en 2025 estuvieron impulsados por IA, y el 87 % de las empresas reportaron incidentes potenciados por esta tecnología. La IA permite redactar phishing perfecto en cualquier idioma, generar deepfakes, descubrir vulnerabilidades en horas y ejecutar movimientos laterales en redes en menos de 30 segundos.
Mercados de credenciales y accesos. Los Initial Access Brokers (IAB) han profesionalizado la compraventa de credenciales corporativas, accesos VPN y tokens OAuth válidos. Un atacante con presupuesto bajo puede comprar el acceso a una empresa concreta y operar desde dentro como si fuera un empleado.
El resultado es un panorama en el que un único operador con conocimientos básicos puede comprometer a docenas de organizaciones en cuestión de semanas. Lo que antes era una operación de Estado, hoy puede ser una operación de garaje.
Lecciones clave para empresas y directivos
El aviso del CNI deja varias enseñanzas accionables que cualquier empresa, sea cual sea su tamaño, debería incorporar a su agenda de dirección:
La ciberseguridad ya no es una cuestión de TI, es una cuestión de gobierno corporativo. Si las capacidades de ataque están al alcance de actores no estatales con recursos limitados, la responsabilidad de protegerse no puede delegarse íntegramente al equipo técnico. Debe estar en la agenda del consejo y del comité de dirección.
NIS2 no es papel, es palanca. Aunque la transposición española vaya con retraso, las empresas que operan en sectores afectados deberían estar ya alineándose con la directiva por dos motivos: anticiparse evita costes de cumplimiento de última hora y, sobre todo, mejora la postura real de seguridad.
La diligencia debida sobre proveedores es ineludible. El patrón dominante en 2026 es atacar arriba en la cadena (proveedor → cliente). Auditar la postura de seguridad de los terceros con acceso privilegiado a tus sistemas es una obligación, no un trámite.
Las identidades son el nuevo perímetro. Credenciales comprometidas, tokens OAuth persistentes, sesiones SaaS sin vigilancia. La detección y respuesta debe centrarse cada vez más en comportamiento de identidades que en defensa perimetral clásica.
La preparación se entrena. Tener un plan de respuesta a incidentes que no se ha probado nunca no es tener un plan. Los ejercicios de tabletop, los simulacros y las pruebas de recuperación son la diferencia entre contener un incidente en horas o en semanas.
La pregunta correcta para cualquier directivo español hoy ya no es si su empresa será atacada, sino cuándo y con qué impacto. El CNI lo está diciendo en voz alta. Y lo dice porque ya lo está viendo.
La ciberseguridad como prioridad estratégica
La advertencia del CNI confirma una tendencia que ya no admite matices: España opera en un entorno de hostilidad digital permanente y creciente. Para las empresas, eso significa que la ciberseguridad debe pasar del presupuesto de tecnología al presupuesto de continuidad de negocio. Y debe abordarse con tres principios claros: visibilidad real sobre identidades y proveedores, capacidad de detección temprana y planes de respuesta probados.
La inversión en ciberseguridad no es un coste de cumplimiento, es una palanca de resiliencia y, en muchos sectores, una condición para seguir operando. Las organizaciones que más rápido lo asuman serán las mejor posicionadas para soportar incidentes que, según el propio CNI, no se van a detener.
Apolo Cybersecurity: anticiparse al adversario que ya está aquí
En Apolo Cybersecurity ayudamos a empresas españolas a evaluar su exposición real frente al panorama de amenazas que el CNI describe. Trabajamos en evaluación de postura de seguridad, gestión de identidades y accesos, análisis de cadena de suministro tecnológica, monitorización continua, simulacros de respuesta a incidentes y acompañamiento en el cumplimiento de NIS2.
Si tu organización opera en un sector crítico, gestiona datos sensibles o depende de proveedores tecnológicos con acceso privilegiado a tus sistemas, este es el momento de revisar tu nivel real de preparación. No después del próximo incidente.
%402x.svg){kind=icon}
