Endesa, Hacienda, Inditex, Ahorramás. ¿Y tu empresa?

Enero. Endesa confirma que un ciberdelincuente accedió a datos de contacto, DNI, números IBAN y detalles de contratos de millones de clientes. El atacante asegura haberse hecho con más de un terabyte de información de más de 20 millones de personas.

Febrero. El Ministerio de Hacienda investiga un posible ciberataque a sus bases de datos. Según el atacante, se vieron comprometidos datos personales, bancarios y fiscales de más de 47 millones de ciudadanos.

Marzo. El Puerto de Vigo se ve obligado a desconectar sus servidores de internet para contener un ransomware que amenazaba con cifrar toda su infraestructura.

Abril. Basic Fit confirma un acceso no autorizado a su base de datos de clientes en más de 12 países, con datos bancarios, nombres y fechas de nacimiento afectados. Inditex comunica un acceso a bases de datos alojadas en un proveedor externo.

Mayo. La banda de ransomware Qilin ataca los supermercados Ahorramás y accede a documentación interna, datos operativos, contratos firmados, registros financieros y datos bancarios.

Cinco meses. Cinco empresas con nombres que reconoces.

El patrón que se repite

Podría parecer que estas empresas tienen poco en común. Una eléctrica, un ministerio, un puerto, una cadena de gimnasios, un gigante textil, una cadena de supermercados.

Pero si analizas cómo ocurrieron estos ataques, el patrón se repite:

En el caso de Inditex, la brecha se originó por un problema en un proveedor tecnológico externo. En el caso de Endesa, el atacante accedió a información de contratos almacenada en sistemas internos. En el caso del Puerto de Vigo, el ransomware se propagó por la red interna antes de ser contenido.

Credenciales comprometidas. Proveedores externos con acceso a sistemas críticos. Software sin actualizar. Configuraciones que nadie había revisado.

No son fallos sofisticados. Son los mismos puntos ciegos que tiene cualquier empresa.

El argumento que ya no funciona

Hay una frase que escuchamos a menudo cuando hablamos de ciberseguridad con directivos de empresas medianas: “A nosotros no nos van a atacar. Somos demasiado pequeños.”

Los datos de 2025 desmontaron ese argumento de forma definitiva. El 50% de las pymes españolas sufrió algún ciberataque ese año. Las empresas españolas recibieron de media 1.911 ataques cibernéticos a la semana. Y el coste de detener la actividad empresarial por un ataque puede llegar a 7.500 euros por minuto.

Los atacantes no eligen a sus víctimas por tamaño. Las eligen por oportunidad. Y la oportunidad es siempre la misma: una vulnerabilidad sin parchear, una credencial comprometida, un acceso de proveedor sin controlar.

Si Endesa, con todo su equipo de seguridad, fue comprometida, la pregunta no es si tu empresa puede serlo. La pregunta es si lo sabrías antes de que el daño fuera irreversible.

Lo que diferencia a las empresas que sobreviven

Cuando analizas los casos de 2026, hay una diferencia clara entre las organizaciones que contienen el incidente y las que no.

Basic Fit lo detectó su propio sistema de rastreo y monitoreo. El Puerto de Vigo pudo contener el ransomware porque identificó la amenaza antes de que se propagara a todos los sistemas.

La diferencia no es el tamaño del presupuesto de seguridad. Es la visibilidad.

Saber qué tienes expuesto. Saber quién tiene acceso a tus sistemas. Saber cuándo algo se está comportando de forma anómala. Y tener un plan para actuar antes de que el atacante llegue a los datos críticos.

Una auditoría anual no da esa visibilidad. Es una fotografía de un momento concreto. El riesgo es una película que no para nunca.

La pregunta que debería hacerse cualquier directivo esta semana

No “¿estamos protegidos?” Esa pregunta no tiene respuesta útil.

La pregunta correcta es: “¿Sabremos cuándo alguien está dentro de nuestra red antes de que cause daño irreversible?”

Si la respuesta es “no lo sé”, es el momento de empezar a construir esa visibilidad.

¿Quieres saber cuál es tu nivel de exposición real ahora mismo? Haz el diagnóstico gratuito de AIGIS en aigis.es/quiz — 9 preguntas, resultado inmediato, sin registro.

Fuentes: Channel Partner, INCIBE, Ibercaja Empresas, Secure&IT — 2026.