2025, el año en el que se rompió la confianza digital: “Los atacantes ya no hackean, inician sesión”

Se va 2025 y, como en todos los ámbitos del mundo tecnológico, la ciberseguridad no escapó a la tendencia que la inteligencia artificial profundizó: todo se puede hacer más rápido, de manera más masiva y a una velocidad sin precedentes. En este sentido, la puerta de entrada para los atacantes está cada vez más baja. Pero, a diferencia de 2024, esta vez aparecieron algunas notas distintivas, con la particularidad de que la confianza en el mundo digital, para muchos, se rompió.

El año, que expuso fallas estructurales desde las múltiples caídas de Cloudflare hasta hackeos grandes como Salesforce y Red Hat (a partir del ataque a Salesloft), estuvo marcado por una serie de tendencias que recogieron diversos reportes hacia fin de 2025. “Los cibercriminales ya no hackean, inician sesión”, dijeron muchas empresas y especialistas que dieron cuenta del robo de credenciales.

El robo y abuso del binomio usuario-contraseña desplazó al hackeo tradicional como técnica dominante, lo que permitió acceder a sistemas críticos utilizando identidades legítimas. Esto no significa que no hayan hackeos “a la vieja usanza”, sino que hay una tendencia que se profundiza: la inteligencia artificial no trajo tácticas nuevas o “súper ataques”, sino que permitió mejorar la eficacia del phishing, la suplantación de identidad y las campañas de ingeniería social, reduciendo costos y barreras de entrada para actores criminales.

A esto hay que sumar caídas de infraestructuras críticas como AWS, Cloudflare y Azure de Microsoft, que afectaron el normal funcionamiento de la red.

CrowdStrike, Fortinet e IBM destacaron distintos problemas este 2025, pero con un hilo conductor: la ciberseguridad dejó de ser un tema sólo de expertos para afectar a todos. Acá, un detalle de cada reporte y el “Wrapped” a lo Spotify de la empresa de ciberseguridad Bloka.

El Global Threat Report 2025 de CrowdStrike muestra con claridad cómo cambió la lógica de los ciberataques. La principal transformación ya no pasa por vulnerar sistemas con malware sofisticado, sino por el uso de credenciales legítimas para acceder a redes corporativas y servicios en la nube. En 2024, el 79% de las detecciones analizadas por la compañía correspondieron a ataques sin malware, basados en el abuso de identidades y herramientas legítimas.

Ese cambio impactó de lleno en los tiempos de respuesta. CrowdStrike registró un breakout time promedio de 48 minutos, es decir, el lapso que tarda un atacante en moverse lateralmente dentro de una red una vez obtenido el acceso inicial. En casos extremos, ese proceso se completó en apenas 51 segundos, un ritmo que deja fuera de juego a los esquemas tradicionales de detección y respuesta basados en intervención humana.

La identidad aparece como el vector central de esta nueva etapa. Según el reporte, el 52% de las vulnerabilidades explotadas estuvieron relacionadas con el acceso inicial, mientras que el abuso de cuentas válidas explicó más de un tercio de los incidentes en entornos de nube. A esto se suma el crecimiento del mercado ilegal de accesos: los avisos de access brokers, intermediarios que venden puertas de entrada a redes comprometidas, aumentaron un 50% interanual.

La inteligencia artificial funciona como un acelerador de este modelo, aunque no introduce tácticas radicalmente nuevas. CrowdStrike advierte que la IA mejora la escala, el realismo y la velocidad de campañas de phishing, vishing y suplantación de identidad, reduciendo aún más la barrera de entrada al cibercrimen. El resultado es un ecosistema de amenazas más fragmentado, con más actores activos y una ventana de reacción cada vez más corta.

El Global Threat Landscape Report 2025 de Fortinet confirma que el cibercrimen opera hoy como una industria plenamente desarrollada, apoyada en automatización, volumen y mercados clandestinos cada vez más maduros. Durante 2024, los sistemas de FortiGuard Labs registraron un crecimiento interanual del 16,7% en actividades de escaneo automatizado, con un promedio cercano a los mil millones de intentos mensuales para detectar servicios expuestos como RDP, paneles de administración, dispositivos IoT y sistemas industriales.

En ese contexto, las credenciales robadas se consolidaron como la principal moneda del delito digital. El reporte estima que más de 100.000 millones de registros comprometidos circulan actualmente en foros clandestinos, con un incremento del 42% respecto del año anterior. A esto se suma la explosión del uso de malware infostealer, que permitió la sustracción de unos 1.700 millones de credenciales en un solo año, multiplicando la disponibilidad de accesos listos para usar.

La dark web aparece como el engranaje central de esta economía. Fortinet detectó un aumento del 39% en la publicación de nuevas vulnerabilidades y una oferta cada vez más estructurada de accesos: credenciales, escritorios remotos, paneles administrativos y web shells se venden de forma segmentada, reduciendo aún más la barrera de entrada para nuevos actores. El acceso inicial dejó de ser una etapa técnica para convertirse en un insumo comercial, aseguran.

El impacto de esta industrialización se refleja en la nube y en sectores productivos clave. En el 70% de los incidentes en entornos cloud, el acceso inicial se produjo mediante logins desde ubicaciones inusuales, aprovechando permisos excesivos o configuraciones deficientes. Manufactura, servicios empresariales, construcción y minoristas encabezaron la lista de sectores más atacados, en un escenario donde el volumen y la automatización amplifican cualquier falla de control.

El Cost of a Data Breach Report 2025 de IBM aporta una dimensión clave al análisis: el impacto económico concreto de las fallas de seguridad. A nivel global, el costo promedio de una filtración de datos fue de 4,44 millones de dólares, una baja interanual del 9% que marcó la primera caída en cinco años. Sin embargo, el dato esconde una fuerte disparidad regional: en Estados Unidos, el costo promedio alcanzó los 10,22 millones de dólares, el nivel más alto registrado hasta ahora.

La inteligencia artificial aparece en el informe como un factor de doble filo. IBM detectó que el 16% de las brechas analizadas involucraron ataques asistidos por IA, principalmente en campañas de phishing y suplantación de identidad. Al mismo tiempo, las organizaciones que implementaron IA y automatización en sus sistemas de seguridad lograron reducir en promedio 1,9 millones de dólares por incidente y acortar en unos 80 días los tiempos de contención.

El problema surge cuando la adopción tecnológica avanza más rápido que los controles. Según el reporte, el 63% de las organizaciones no cuenta con políticas formales de gobernanza de IA, y el 97% de las brechas vinculadas a estos sistemas ocurrieron en entornos sin controles de acceso adecuados. A esto se suma el fenómeno del shadow AI: uno de cada cinco incidentes estuvo relacionado con el uso no autorizado de herramientas de IA dentro de las organizaciones.

Ese uso fuera de control tiene un costo directo. IBM estima que cada brecha asociada a shadow AI, esto es, el uso de IA por parte de empleados que no reconocen plenamente que la usan, agregó en promedio 670.000 dólares adicionales en gastos, entre respuesta a incidentes, multas regulatorias y costos legales. El informe refuerza así una conclusión central: la tecnología, por sí sola, no reduce el riesgo; sin gobierno, puede amplificarlo.

A diferencia de los reportes tradicionales, Bloka eligió cerrar el año con un ejercicio conceptual: un “Wrapped” 2025 en ciberseguridad, inspirado en los resúmenes anuales de plataformas como Spotify. El formato funciona como una forma de ordenar patrones, tendencias y fallas que se repitieron durante todo el año y que, en conjunto, explican por qué 2025 marcó un quiebre en la confianza digital.

El diagnóstico central del informe es contundente: la infraestructura digital global se volvió estructuralmente frágil. La concentración de servicios en pocas plataformas, la dependencia extrema de identidades digitales y la automatización sin gobernanza crearon un entorno donde errores pequeños escalan rápido y los ataques dejan de ser excepcionales. En ese contexto, la pregunta ya no es si habrá incidentes, sino cuán amplios serán sus efectos.

El Wrapped de Bloka destaca como “temas que sonaron en loop”, es decir, de manera permanente, al robo de credenciales, los accesos legítimos abusados, la exposición de servicios críticos y la falta de control sobre entornos en la nube y herramientas de IA. Según el reporte, 2025 consolidó un modelo en el que los atacantes no necesitan vulnerar sistemas complejos: les alcanza con aprovechar accesos mal gestionados dentro de ecosistemas altamente interconectados.

El cierre del informe funciona también como advertencia hacia adelante. Para Bloka, la ruptura de la confianza digital no es solo técnica, sino cultural y organizacional. Recuperarla exige repensar cómo se diseñan, operan y supervisan las infraestructuras digitales, en un escenario donde la seguridad dejó de ser un problema de especialistas para convertirse en una condición básica de funcionamiento de Internet.