El CNI confirma que Espanya és un dels països més ciberatacats del món: què significa per a la teva empresa
Eric Serrano Bustos
El secretari general del Centre Nacional d'Intel·ligència, Luis García Terán, ha confirmat en públic que Espanya es troba entre els països que reben més ciberatacs del món, i que aquestes agressions arriben, segons les seves pròpies paraules, “amb tota classe d'artefactes”. L'advertència, feta durant la jornada Seguretat i defensa global organitzada per Europa Press el 5 de maig de 2026, no és només un titular institucional: confirma una realitat que ja viuen diàriament les empreses i administracions espanyoles, i obliga a replantejar com es gestiona la ciberseguretat empresarial quan l'adversari és cada vegada més divers, ràpid i accessible.
Què ha dit el CNI?
Les declaracions del número dos del servei d'intel·ligència, recollides per El Español, EFE i Europa Press, deixen tres missatges principals per a empreses, administracions i infraestructures crítiques:
Espanya és objectiu permanent i de primer nivell. El CNI situa el país entre els més ciberatacats del món, amb campanyes que combinen ransomware, espionatge i desinformació.
Les capacitats d'atac s'han democratitzat. Allò que fa pocs anys requeria un equip tècnic avançat, avui pot executar-se amb eines accessibles, serveis de cibercrim com a servei (RaaS) i intel·ligència artificial generativa.
El front ja no és només tècnic, també és social. García Terán va insistir que els ciberatacs no busquen únicament robar informació: busquen polaritzar la societat i erosionar la confiança en les institucions democràtiques.
El CNI també va recordar que dedica una part important del seu esforç a identificar intents d'atac contra el Ministeri de Defensa, contra les seves pròpies xarxes i contra empreses espanyoles, dins i fora del país. La traducció operativa per a qualsevol organització és directa: el risc no és teòric ni és exclusiu dels grans operadors estratègics.
Per què Espanya concentra tant interès ofensiu
El missatge del CNI connecta amb dades que el sector porta temps documentant. Espanya combina una sèrie de factors que la converteixen en un objectiu prioritari per a múltiples tipus d'actors:
Posició estratègica a la Unió Europea i l'OTAN. Espanya és node logístic, energètic i de telecomunicacions de tota la façana atlàntica europea. Això atrau l'interès d'estats rivals i d'operadors afiliats a ells.
Teixit empresarial dominat per pimes. El 50 % de les pimes espanyoles pateixen algun ciberatac cada any. És una superfície enorme amb una postura de seguretat molt desigual.
Infraestructures crítiques amb alta dependència digital. Energia, transport, sanitat, aigua, finances i administració pública s'han digitalitzat de manera accelerada i, en molts casos, sense proporcionar la inversió equivalent en ciberseguretat.
Retard regulatori. La transposició de la directiva NIS2, que havia d'estar completada l'octubre de 2024, segueix sense haver-se tancat a dia d'avui. Aquest buit deixa moltes empreses obligades en una zona grisa sobre els seus deures i responsabilitats.
Ecosistema lingüístic atractiu per als atacants. La llengua espanyola connecta amb centenars de milions d'usuaris a l'Amèrica Llatina, cosa que multiplica el retorn de campanyes de phishing, frau i desinformació generades amb IA.
La conclusió que es desprèn de l'anàlisi del CNI no és nova, però sí més contundent: Espanya no és un objectiu col·lateral, és un objectiu deliberat. I ho serà cada vegada més.
Com es democratitza el cibercrim
La democratització a què es refereix el CNI no és una metàfora. És un canvi estructural que s'està produint des de 2023 i s'ha accelerat el 2025 i el 2026 per tres motius concrets:
Ransomware com a servei (RaaS). Plataformes com les gestionades per Qilin, The Gentlemen o les noves marques blanques tipus DragonForce permeten que qualsevol afiliat, sense saber programar, llanci campanyes professionals d'extorsió a canvi d'un percentatge dels rescats.
Intel·ligència artificial generativa. Segons dades publicades per INCIBE, més de 28 milions de ciberatacs el 2025 van estar impulsats per IA, i el 87 % de les empreses van reportar incidents potenciats per aquesta tecnologia. La IA permet redactar phishing perfecte en qualsevol idioma, generar deepfakes, descobrir vulnerabilitats en hores i executar moviments laterals a xarxes en menys de 30 segons.
Mercats de credencials i accessos. Els Initial Access Brokers (IAB) han professionalitzat la compravenda de credencials corporatives, accessos VPN i tokens OAuth vàlids. Un atacant amb pressupost baix pot comprar l'accés a una empresa concreta i operar des de dins com si fos un empleat.
El resultat és un panorama en què un únic operador amb coneixements bàsics pot comprometre desenes d'organitzacions en qüestió de setmanes. Allò que abans era una operació d'Estat, avui pot ser una operació de garatge.
Lliçons clau per a empreses i directius
L'advertència del CNI deixa diversos ensenyaments accionables que qualsevol empresa, sigui quina sigui la seva mida, hauria d'incorporar a la seva agenda de direcció:
La ciberseguretat ja no és una qüestió de TI, és una qüestió de govern corporatiu. Si les capacitats d'atac estan a l'abast d'actors no estatals amb recursos limitats, la responsabilitat de protegir-se no es pot delegar íntegrament a l'equip tècnic. Ha d'estar a l'agenda del consell i del comitè de direcció.
NIS2 no és paper, és palanca. Encara que la transposició espanyola vagi amb retard, les empreses que operen en sectors afectats haurien d'estar ja alineant-se amb la directiva per dos motius: anticipar-se evita costos de compliment d'última hora i, sobretot, millora la postura real de seguretat.
La diligència deguda sobre proveïdors és ineludible. El patró dominant el 2026 és atacar amunt a la cadena (proveïdor → client). Auditar la postura de seguretat dels tercers amb accés privilegiat als teus sistemes és una obligació, no un tràmit.
Les identitats són el nou perímetre. Credencials compromeses, tokens OAuth persistents, sessions SaaS sense vigilància. La detecció i resposta s'ha de centrar cada vegada més en el comportament d'identitats que en la defensa perimetral clàssica.
La preparació s'entrena. Tenir un pla de resposta a incidents que no s'ha provat mai no és tenir un pla. Els exercicis de tabletop, els simulacres i les proves de recuperació són la diferència entre contenir un incident en hores o en setmanes.
La pregunta correcta per a qualsevol directiu espanyol avui ja no és si la seva empresa serà atacada, sinó quan i amb quin impacte. El CNI ho està dient en veu alta. I ho diu perquè ja ho està veient.
La ciberseguretat com a prioritat estratègica
L'advertència del CNI confirma una tendència que ja no admet matisos: Espanya opera en un entorn d'hostilitat digital permanent i creixent. Per a les empreses, això significa que la ciberseguretat ha de passar del pressupost de tecnologia al pressupost de continuïtat de negoci. I s'ha d'abordar amb tres principis clars: visibilitat real sobre identitats i proveïdors, capacitat de detecció primerenca i plans de resposta provats.
La inversió en ciberseguretat no és un cost de compliment, és una palanca de resiliència i, en molts sectors, una condició per continuar operant. Les organitzacions que més ràpid ho assumeixin seran les més ben posicionades per suportar incidents que, segons el mateix CNI, no es deturaran.
Apolo Cybersecurity: anticipar-se a l'adversari que ja és aquí
A Apolo Cybersecurity ajudem les empreses espanyoles a avaluar la seva exposició real davant del panorama d'amenaces que descriu el CNI. Treballem en avaluació de postura de seguretat, gestió d'identitats i accessos, anàlisi de cadena de subministrament tecnològica, monitorització contínua, simulacres de resposta a incidents i acompanyament en el compliment de NIS2.
Si la teva organització opera en un sector crític, gestiona dades sensibles o depèn de proveïdors tecnològics amb accés privilegiat als teus sistemes, aquest és el moment de revisar el teu nivell real de preparació. No després del proper incident.
%402x.svg){kind=icon}
