Conclusiones del informe DBIR de Verizon de 2026 que deberían servir de base para sus medidas de seguridad

El Informe sobre investigaciones de filtraciones de datos de Verizon de 2026 analizó más de 22 000 filtraciones confirmadas, lo que constituye el mayor conjunto de datos en la historia del informe. Estos resultados constituyen una valiosa herramienta de autoevaluación para los responsables de seguridad que sospechan que la superficie de ataque se está ampliando más rápidamente que sus medidas de control. Así es. A continuación le presentamos los aspectos más destacados y lo que realmente significan para las personas, los datos y la inteligencia artificial de los que depende su organización.

El factor humano sigue siendo la variable determinante

El DBIR reveló que el factor humano estuvo presente en el 62% de las infracciones, lo que supone un ligero aumento con respecto al 60% del año anterior. Esa cifra se mantiene elevada precisamente porque no se debe a un único problema o fallo. Se trata de una combinación de amenazas que incluyen la reutilización de credenciales, la vulnerabilidad al phishing, las deficiencias en materia de cumplimiento normativo y, ahora, el engaño asistido por IA, todo ello reunido en un único indicador.

Fuente: Informe sobre delitos informáticos de Verizon (DBIR) de 2026, p. 12

La ingeniería social fue el tercer patrón de incidente más frecuente en general, representando el 16% de todas las filtraciones. De ellos, el correo electrónico siguió siendo el principal vector de ataque, una constatación que se ha mantenido a lo largo de los años. Sin embargo, los detalles que se esconden tras ese titular están cambiando de forma significativa.

La IA está potenciando el phishing, no sustituyéndolo.

Los autores de las amenazas utilizaron la asistencia de la IA general en una mediana de 15 técnicas distintas en las campañas de ataque documentadas. Algunos lo utilizaron en hasta 40 o 50 casos. De los vectores de acceso inicial asistidos por IA que identificó el DBIR, el phishing representó el 44%, lo que lo convierte en la categoría más importante.

Fuente: Informe sobre delitos informáticos de Verizon (DBIR) de 2026, p. 26

El volumen de texto generado con ayuda de la inteligencia artificial que aparece en los correos electrónicos maliciosos se ha duplicado en comparación con años anteriores, según los datos facilitados a Verizon por Anthropic. El DBIR señala con cautela que este aumento de la asistencia mediante IA aún no se ha traducido en un incremento cuantificable de la tasa de éxito de los intentos de phishing contra organizaciones que figuran en su base de datos de incidentes. Pero eso no es un motivo de tranquilidad, sino un indicador rezagado. La mejora es real: la inteligencia artificial reduce las dificultades a las que se enfrentan los actores con menos experiencia a la hora de crear señuelos convincentes, gramaticalmente correctos y contextualmente verosímiles. Los equipos de seguridad se enfrentan a un dilema entre la capacidad de detección y el volumen.

Los datos sobre seguridad del correo electrónico muestran un desglose constante de lo que se está bloqueando: un 80% de casos de phishing puro y duro, un 10% de correos electrónicos que contienen malware, un 5% de intentos de ataque de devolución de llamada o orientados al teléfono (TOAD) y un 3% de ataques del tipo «Business Email Compromise» (BEC) dirigidos a transferencias bancarias o al desvío de pagos. Estos resultados coinciden en gran medida con lo que expusimos en el Informe global de inteligencia sobre amenazas de Mimecast.

El «pretexting» se está convirtiendo en una vía de acceso al ransomware

La mayoría de los equipos de seguridad aún no se toman el «pretexting» con la seriedad que merece: el «pretexting», es decir, la creación de un escenario ficticio para manipular a una víctima con el fin de que realice una acción perjudicial, se ha convertido en un vector de acceso inicial cada vez más frecuente en las campañas de ransomware y extorsión. En el conjunto de los incidentes investigados, el «pretexting» representó el 6% como vector inicial, y se presenta tanto como técnica independiente como en combinación con un correo electrónico de phishing.

Lo que hace que sea más difícil defenderse del «pretexting» que del phishing convencional es su carácter sincrónico. El atacante participa en la conversación, ya sea por voz, en un hilo de chat o en un intercambio de correos electrónicos, y va adaptando su versión de los hechos en tiempo real. Las medidas de defensa deben ampliarse para incluir señales relacionadas con el comportamiento de los usuarios, patrones de comunicación anómalos y ese tipo de detección contextual de amenazas que va más allá del análisis de enlaces y archivos adjuntos.

Shadow AI se ha convertido en un riesgo habitual relacionado con los datos confidenciales

Este dato debería dar lugar a una conversación urgente entre los departamentos de seguridad, de TI y de la empresa. El 45% de los empleados son ahora usuarios habituales de la IA en dispositivos de la empresa, frente al 15% del año anterior. De ellos, 67% acceden a plataformas de IA a través de cuentas no corporativas, lo que supone que los datos corporativos quedan fuera de cualquier ámbito de control informático o de seguridad.

Esta tendencia se refleja en la telemetría de DLP: Shadow AI es ahora la tercera acción interna no maliciosa más frecuente detectada en los conjuntos de datos de DLP, lo que supone un aumento de cuatro veces con respecto al año anterior. El tipo de datos que se envía con mayor frecuencia a los modelos de IA externos es el código fuente, y con diferencia. Además de datos estructurados e imágenes, en el 3,2 % de los incidentes de pérdida de datos (DLP) también se están subiendo a sistemas no autorizados documentos de investigación y documentación técnica.

Fuente: Informe sobre delitos informáticos de Verizon (DBIR) de 2026, p. 13

No se trata de un riesgo especulativo. Se trata de un riesgo cuantificable y creciente que, en la actualidad, la mayoría de las organizaciones no tienen en cuenta.

Cómo será una buena defensa en 2026

El mensaje del DBIR no es que el panorama de amenazas haya cambiado hasta resultar irreconocible, sino que los problemas ya conocidos están aumentando a un ritmo más rápido, y que las personas que se encuentran en el centro de la cadena de ataque están siendo objeto de ataques a través de más canales y con técnicas más convincentes.

La respuesta práctica se articula en varios niveles. Se refiere a la detección de amenazas por correo electrónico que se adapta al ritmo de la creación de señuelos asistida por IA. Significa ampliar la concienciación sobre el phishing y la ingeniería social más allá de la bandeja de entrada. Se refiere a señales de comportamiento que permiten detectar el compromiso de una cuenta o accesos anómalos antes de que las credenciales sean los únicos indicadores. Y esto implica poder saber qué datos se transfieren a las plataformas de IA, independientemente de si dicha transferencia está autorizada o no.

La plataforma integrada de Mimecast ofrece soluciones concretas a muchos de estos problemas recurrentes. La solución «Email & Collaboration Threat Protection» utiliza la plataforma de inteligencia artificial Mihra, que procesa más de 18 000 millones de eventos de seguridad al día, para detectar mensajes de phishing, BEC y mensajes que contienen malware a medida que evolucionan las tácticas que los sustentan. La protección contra la apropiación de cuentas detecta los indicadores de comportamiento de las cuentas comprometidas que los controles basados únicamente en credenciales no detectan. La gestión del comportamiento en materia de seguridad aborda el factor humano que el DBIR identifica sistemáticamente como la variable dominante, propiciando cambios cuantificables en el comportamiento de los empleados en lugar de limitarse a marcar casillas. Además, la gestión de riesgos internos y la protección de datos de Incydr, junto con la gobernanza y el control de los agentes de IA, proporcionan la visibilidad de los datos que los hallazgos del DBIR sobre la «IA en la sombra» hacen cada vez más urgente.

El DBIR de 2026 nos recuerda que los fundamentos no han fallado, sino que simplemente se están poniendo a prueba a gran escala, con la ayuda de la inteligencia artificial, en una superficie de ataque más amplia. Las organizaciones mejor preparadas para responder son aquellas que abordan a las personas, los datos y la inteligencia artificial como una única superficie de riesgo interconectada, en lugar de como tres problemas independientes.

Descubra cómo Mimecast protege a las personas, los datos y la inteligencia artificial: solicite una demostración o lea el informe DBIR de Verizon de 2026 completo en verizon.com.

Fuentes:

• Informe de Verizon sobre investigaciones de fugas de datos de 2026 (mayo de 2026): verizon.com/business/resources/reports/dbir/