Los ciberdelincuentes no siempre necesitan desarrollar nuevas herramientas para conseguir sus objetivos. Las vulnerabilidades sin corregir, los sistemas expuestos a Internet y la automatización permiten repetir ataques conocidos una y otra vez. Un problema que afecta tanto a los teléfonos móviles como a los sistemas de grandes empresas. Y que, en determinadas circunstancias, puede poner en riesgo sectores enteros y servicios esenciales.
Los ciberataques se repiten: Los delincuentes siguen utilizando las mismas técnicas
Suena el teléfono. Es un mensaje de WhatsApp. Miras la pantalla y aparece el nombre de tu hija. Lo abres. Te cuenta que necesita hacer una transferencia urgente, pero que ha superado el límite diario de su banco. Te pide que le adelantes 980 euros y promete devolvértelos pronto. La conversación aparece en el mismo chat de siempre, con su fotografía y su número de teléfono. Así que haces la transferencia. Unas horas después, cuando hablas con ella, descubres que nunca te ha pedido dinero. Ni siquiera sabe de qué mensaje le estás hablando.
Lo que acaba de ocurrir no es nada nuevo. Ya en 2021, la Policía Nacional y la Guardia Civil investigaban en España una oleada de secuestros de cuentas de WhatsApp que los ciberdelincuentes utilizaban para hacerse pasar por familiares y amigos y solicitar dinero a sus contactos. Una de aquellas investigaciones terminó, en 2024, con la desarticulación de una organización criminal que acumulaba más de 300 denuncias por distintas modalidades de fraude. Y, en cuyas cuentas bancarias se habían detectado movimientos superiores a los 10 millones de euros. En 2026 la estafa sigue circulando, aunque los métodos para llevarla a cabo han cambiado. El Instituto Nacional de Ciberseguridad (INCIBE) ha alertado recientemente de varios casos en los que los atacantes han conseguido utilizar cuentas de WhatsApp de usuarios de iPhone con versiones desactualizadas de iOS sin que sus propietarios fueran conscientes de ello.
Ataques que se siguen repitiendo
“El caso pone de manifiesto una de las particularidades de la ciberdelincuencia”, apunta Hervé Lambert, Global Consumer Operation Manager de Panda Security. Quien señala que, “aunque las tecnologías evolucionan y aparecen nuevas amenazas, muchos ataques siguen aprovechando técnicas conocidas, vulnerabilidades que no se han corregido o sistemas que llevan años funcionando sin las medidas de seguridad adecuadas”. Y no es un problema exclusivo de los teléfonos móviles. Recientemente, varios supermercados europeos han sufrido ataques contra sus sistemas de refrigeración. Estos han permitido modificar a distancia la temperatura de sus cámaras frigoríficas, en incidentes similares a otros registrados semanas antes.
“¿Por qué, entonces, los ciberdelincuentes siguen teniendo éxito con ataques que ya conocemos? ¿Qué hace posible que una misma técnica pueda utilizarse una y otra vez, incluso a gran escala?” Se pregunta el experto.
Los peligros de una vulnerabilidad conocida
Que un fabricante descubra una vulnerabilidad y publique una actualización para corregirla no significa que el problema desaparezca. Para que esa corrección sea efectiva, los usuarios y las empresas tienen que instalarla. Y eso no siempre ocurre.
En los teléfonos móviles, por ejemplo, es habitual que algunos usuarios retrasen las actualizaciones. Bien porque desconocen su importancia, porque no disponen de espacio suficiente o porque utilizan dispositivos que ya no reciben soporte del fabricante. En las empresas, el proceso puede resultar todavía más complicado. Actualizar determinados sistemas exige realizar pruebas de compatibilidad, coordinarse con proveedores o incluso interrumpir temporalmente la actividad.
“Una vulnerabilidad puede estar perfectamente documentada y contar con una solución disponible. Pero seguir siendo explotable durante meses o años si los dispositivos afectados no se actualizan. Para un ciberdelincuente, lo importante no es cuándo se descubrió el fallo, sino cuántos sistemas siguen siendo vulnerables”. Explica Lambert.
De hecho, los atacantes no siempre necesitan descubrir nuevas vulnerabilidades. “Existen herramientas capaces de identificar versiones de software, servicios expuestos a Internet o configuraciones inseguras que pueden facilitar un acceso no autorizado”. Recuerda el experto de Panda Security. Esta información les permite localizar posibles objetivos y concentrar sus esfuerzos en aquellos sistemas que presentan debilidades conocidas.
El problema tampoco se limita a los programas desactualizados. Las contraseñas débiles, los accesos remotos mal protegidos, los permisos excesivos o los dispositivos conectados directamente a Internet pueden abrir la puerta a ataques incluso cuando el software está al día.
Los ciberdelincuentes también reciclan sus herramientas
Otra de las razones por las que determinados ataques se repiten es que los delincuentes pueden reutilizar buena parte de la infraestructura y las herramientas que necesitan para llevarlos a cabo.
“En el mercado clandestino de la ciberdelincuencia circulan programas maliciosos, bases de datos de credenciales robadas, herramientas para identificar sistemas vulnerables y servicios que permiten ejecutar determinadas fases de un ataque sin necesidad de desarrollarlas desde cero”. Desvela Lambert.
Este modelo facilita que técnicas conocidas se adapten a nuevos objetivos. Un atacante puede modificar un mensaje fraudulento, cambiar el servicio que suplanta o utilizar una herramienta ya existente contra otro tipo de dispositivo. También puede combinar diferentes métodos para aumentar sus posibilidades de éxito.
“No todos los ataques que vemos son técnicamente nuevos”, apunta el experto. “Muchas veces estamos ante variaciones de procedimientos que llevan años utilizándose. Los ciberdelincuentes aprovechan herramientas que ya conocen, las perfeccionan y buscan nuevas oportunidades para utilizarlas”, señala.
La automatización ha ampliado considerablemente estas posibilidades. Mediante programas que realizan comprobaciones de forma masiva, los atacantes pueden identificar numerosos sistemas potencialmente vulnerables sin tener que analizarlos individualmente. Una vez localizada una debilidad, pueden intentar explotarla en múltiples objetivos que compartan las mismas características.
Esto ayuda a explicar por qué un mismo tipo de ataque puede aparecer en distintos países y afectar a organizaciones que aparentemente no tienen ninguna relación entre sí. No es necesario que los delincuentes conozcan previamente a todas sus víctimas. En determinados ataques, basta con que sus sistemas presenten una vulnerabilidad o configuración que pueda identificarse de manera automatizada.
Cuando un mismo fallo afecta a cientos de empresas
Los ataques contra los sistemas de refrigeración de supermercados europeos ilustran otro aspecto importante de este problema. Muchas empresas utilizan equipos, aplicaciones y soluciones tecnológicas similares, especialmente cuando pertenecen al mismo sector o trabajan con los mismos proveedores.
Esta estandarización facilita el mantenimiento y la gestión de las instalaciones, pero también puede generar riesgos compartidos. Si numerosos establecimientos utilizan una misma tecnología y mantienen configuraciones inseguras similares, un atacante puede encontrar oportunidades para reproducir un procedimiento de intrusión en diferentes instalaciones.
En el caso de los sistemas industriales, además, las consecuencias pueden ir mucho más allá del robo de información. Una intrusión puede permitir modificar parámetros de funcionamiento, alterar procesos físicos o interrumpir servicios esenciales para la actividad de una empresa.
“La digitalización ha conectado a Internet dispositivos que antes funcionaban de manera aislada. Esto permite supervisarlos y gestionarlos a distancia, pero también exige proteger sus accesos. Un sistema de refrigeración, una cámara de seguridad o un equipo de climatización pueden convertirse en puntos de entrada si no cuentan con las medidas adecuadas. Explica Lambert.
Por eso, la seguridad de estos entornos requiere prestar atención tanto al software como a la configuración de los equipos, las conexiones remotas y los permisos de acceso. También es importante conocer qué dispositivos están conectados a la red y cuáles dependen de proveedores externos para su mantenimiento.
¿Podría una misma vulnerabilidad desencadenar un ataque a escala nacional?
“Porque, este tipo de ataques podrían dimensionarse”, advierte Lambert. “Lo que nos lleva a preguntarnos qué ocurriría si, en lugar de atacar los sistemas de refrigeración de unos cuantos supermercados, los ciberdelincuentes decidieran dirigir una operación coordinada contra toda una cadena de distribución. O si aprovecharan una vulnerabilidad presente en los equipos de diferentes empresas de transporte, hospitales o compañías energéticas”, Se pregunta.
Desde el punto de vista técnico, un ataque de estas características es posible. Aunque su alcance dependería de factores como el número de sistemas afectados, su conectividad, las medidas de protección existentes y la capacidad de los atacantes para comprometerlos.
“Cuando una misma vulnerabilidad afecta a numerosos dispositivos o empresas, el riesgo deja de ser exclusivamente individual. Si los atacantes consiguen identificar suficientes sistemas expuestos, pueden intentar reproducir el ataque de manera coordinada y provocar interrupciones en distintas organizaciones al mismo tiempo”. Explica el directivo de Panda Security.
El peligro aumenta cuando las organizaciones comparten proveedores tecnológicos o dependen de una misma infraestructura digital. En estos casos, el compromiso de un proveedor puede afectar a varios clientes y provocar un efecto en cadena. No sería necesario atacar individualmente a cada empresa si se consigue comprometer un servicio del que todas dependen.
Esta preocupación también aparece recogida en el informe sobre el panorama de ciberamenazas de ENISA de 2026. La Agencia de la Unión Europea para la Ciberseguridad advierte de que las dependencias tecnológicas y los ataques a proveedores y terceros pueden dar lugar a incidentes de gran escala o impacto. El organismo también señala que los grupos de atacantes continúan reutilizando herramientas, técnicas e infraestructuras para llevar a cabo operaciones con objetivos diferentes.
El impacto de los ciberataques en los servicios esenciales
“El escenario más preocupante no es necesariamente que un ciberdelincuente consiga acceder a una instalación. Sino que una misma debilidad esté presente en cientos de ellas y pueda explotarse de forma simultánea. Cuando hablamos de sectores esenciales, como la energía, el transporte o la sanidad, las consecuencias pueden trascender las pérdidas económicas. Además de afectar a la prestación de servicios de los que depende la población”, añade Lambert.
No obstante, la existencia de vulnerabilidades compartidas no implica que un atacante pueda paralizar automáticamente un sector entero. Para que un incidente alcance esa dimensión deben concurrir diferentes circunstancias. Y, la segmentación de redes, la protección de los accesos y la capacidad de respuesta de cada organización pueden limitar considerablemente sus consecuencias.
¿Qué podemos hacer para evitar que estos ataques se repitan?
Lo que nos lleva a la siguiente pregunta: “qué podemos hacer para evitar que esto suceda”, apunta el experto.
La primera medida consiste en conocer qué dispositivos y aplicaciones utilizamos y comprobar si siguen recibiendo actualizaciones de seguridad. No basta con instalar las últimas versiones de las aplicaciones más conocidas. También es necesario revisar el sistema operativo, los programas que funcionan en segundo plano y los equipos conectados a la red.
En el ámbito doméstico, mantener actualizado el teléfono móvil, activar la verificación en dos pasos y revisar periódicamente los dispositivos vinculados a las cuentas puede reducir el riesgo de accesos no autorizados. Ante una solicitud inesperada de dinero, incluso cuando procede del número habitual de un familiar, conviene confirmar su autenticidad mediante una llamada u otro canal independiente.
En las empresas, estas medidas deben acompañarse de una gestión sistemática de las vulnerabilidades. Esto implica identificar los activos tecnológicos, evaluar qué sistemas presentan mayores riesgos, priorizar las actualizaciones y limitar los accesos remotos a los estrictamente necesarios.
En instalaciones industriales, donde no siempre es posible actualizar inmediatamente un equipo, pueden aplicarse medidas adicionales como la segmentación de redes, la restricción de conexiones externas, la supervisión de accesos y la implantación de mecanismos de detección de actividades anómalas.
“La aparición de nuevas amenazas no significa que las anteriores hayan dejado de ser peligrosas. La protección también depende de corregir los fallos que ya conocemos, revisar periódicamente la seguridad de nuestros sistemas y evitar que una vulnerabilidad permanezca abierta indefinidamente”, concluye Lambert.
