Ideas clave
- El informe State of the Cyber Nation del NCSC, publicado el 3 de noviembre de 2026, prevé que se utilice malware impulsado por IA en un ataque de ransomware contra la infraestructura crítica del Reino Unido antes de 2028.
- El NCSC afirma que la IA no crea ataques nuevos, sino que deja al descubierto más rápido vulnerabilidades antiguas sin corregir, y dirige la advertencia también a las organizaciones pequeñas y medianas.
- No hay un nuevo plazo, pero revisar qué está conectado a internet, con qué rapidez se aplican las actualizaciones y si cumples Cyber Essentials son primeros pasos sensatos.
Qué dice el informe del NCSC
El 3 de noviembre de 2026, el National Cyber Security Centre, que forma parte del GCHQ, publicó su informe State of the Cyber Nation (NCSC). Considera muy probable que, en los próximos dos años, grupos hostiles que usan IA lleven a cabo ataques de ransomware, de ingeniería social y contra fallos de software a mayor escala y con más eficiencia. También prevé que se utilice malware impulsado por IA en un ataque de ransomware contra la infraestructura nacional crítica del Reino Unido antes de 2028.
El director ejecutivo del NCSC, el Dr. Richard Horne, presentó el informe con un discurso. Su argumento, tal como lo expone el NCSC, es que la IA no está inventando nuevos tipos de ataque. Lo que hace es permitir a los atacantes encontrar y explotar, mucho más rápido que antes, vulnerabilidades que las organizaciones llevan años tolerando. «Durante décadas, todos nos hemos salido con la nuestra haciendo tecnología a bajo coste», estaba previsto que dijera.
El NCSC también menciona medidas del Gobierno: el proyecto de ley de ciberseguridad y resiliencia (Cyber Security and Resilience Bill), un próximo Plan Nacional de Acción en Ciberseguridad y la financiación que el ministro de Hacienda anunció la semana anterior, que incluye 60 millones de libras para la primera fase de un Cyber Shield nacional y 70 millones de libras para un nuevo centro que identifique vulnerabilidades en la infraestructura crítica y en la economía.
A qué empresas afecta
La advertencia principal se refiere a la infraestructura crítica, pero el NCSC dirige el informe tanto a organizaciones pequeñas y medianas como a las grandes y al sector público. Si tu empresa usa software antiguo, sistemas que se han quedado atrás en las actualizaciones o herramientas expuestas a internet sin necesidad, esas son precisamente las vulnerabilidades que, según el informe, la IA hará más fáciles de encontrar.
El informe en sí no crea una nueva obligación legal ni un plazo. La fuente no indica a qué empresas se aplicará la Cyber Security and Resilience Bill, así que no saques conclusiones en ningún sentido a partir de este anuncio.
Qué revisar con tus desarrolladores
No hay nada que hacer antes de una fecha concreta, pero los consejos del NCSC son lo bastante específicos como para actuar ya:
- Haz una lista de los sistemas, paneles de administración y servidores que tu empresa tiene conectados a internet, y pregúntate si cada uno necesita estarlo.
- Pregunta quién aplica las actualizaciones de seguridad a tu sitio web, tu tienda online y tu software, y con qué rapidez lo hace.
- Identifica el software que ya no recibe actualizaciones y planifica sustituirlo o aislarlo.
- Si tienes la certificación Cyber Essentials, tómala como punto de partida; el NCSC dice que las organizaciones deben ir más allá según su tamaño, complejidad y riesgo. Si no la tienes, empieza por ahí.
- Presupuesta la seguridad y el mantenimiento como un coste fijo, no como un extra opcional.
Vale la pena leer, junto con el informe, la guía del NCSC de mayo de 2026 sobre cómo prepararse para una oleada de parches de seguridad.
Si necesitas a alguien que mantenga tu software actualizado y monitorizado después del lanzamiento, Cognivise ofrece soporte y mantenimiento continuos.
Fuente
Escrito por Cognivise a partir de la fuente citada arriba, con ayuda de IA, y verificado con esa fuente antes de publicarse.
Traducido del original en inglés.