Los ciberataques con IA serán rutinarios en 2028: informe de amenazas de la UE y el Reino Unido

El pronóstico del NCSC para 2028 marca un cambio en la forma en que las agencias de inteligencia esperan que los gobiernos hostiles lleven a cabo operaciones cibernéticas. En lugar de tratar la IA como un complemento experimental de sus capacidades, se espera que los Estados la incorporen de forma rutinaria en la recopilación de inteligencia, la planificación ofensiva y la explotación técnica.

Esa distinción importa. Los ciberataques han requerido tradicionalmente un considerable esfuerzo humano para identificar objetivos adecuados, examinar sus sistemas y desarrollar formas de obtener acceso. La IA puede acortar varias de esas etapas.

El reconocimiento puede volverse más extenso. Las campañas de ingeniería social pueden producirse en mayores volúmenes. El descubrimiento de vulnerabilidades y el desarrollo de exploits pueden avanzar más rápido, reduciendo el tiempo disponible para que los defensores respondan.

Los métodos subyacentes apenas son nuevos. El phishing, las credenciales robadas y la explotación de fallos de software conocidos se han utilizado durante años. Lo que cambia es el costo de desplegarlos repetidamente y contra un gran número de objetivos.

Para un servicio de inteligencia sofisticado, esto crea oportunidades para ampliar las operaciones sin aumentar el personal al mismo ritmo. Para los delincuentes menos capacitados, reduce algunas de las barreras técnicas que antes limitaban sus actividades.

Las consecuencias ya son visibles en las cifras de incidentes del Reino Unido.

Durante el período de informe del NCSC, su equipo de gestión de incidentes recibió 1.831 informes de ciberataques. De ellos, 337 requirieron apoyo operativo directo, mientras que 80 se clasificaron como de importancia nacional.

Esas cifras no establecen cuántos incidentes involucraron IA. Sin embargo, indican la escala de la carga de trabajo de seguridad en la que se están introduciendo ataques cada vez más automatizados.

La fecha de 2028 es, por lo tanto, menos una predicción de un avance tecnológico que una advertencia sobre la adopción. El Reino Unido tiene una ventana limitada para fortalecer sus sistemas antes de que la IA se convierta en una parte ordinaria de las operaciones de los Estados hostiles.

China y Rusia plantean amenazas cibernéticas diferentes

Aunque el NCSC identifica tanto a China como a Rusia como amenazas importantes, sus enfoques no son idénticos.

China es evaluada como el adversario cibernético más sofisticado tecnológicamente y más sostenido del Reino Unido. Sus operaciones forman parte de un esfuerzo más amplio dirigido por el Estado para adquirir inteligencia, información sensible y grandes cantidades de datos.

La recopilación de datos ha adquirido un valor estratégico adicional con el desarrollo de la IA. La información obtenida mediante el espionaje cibernético puede respaldar el análisis de inteligencia y, al mismo tiempo, contribuir al entrenamiento y desarrollo de modelos avanzados.

La distinción entre espionaje económico y competencia tecnológica es cada vez más difícil de mantener.

Organizaciones vinculadas a China, incluidas las asociadas con i-Soon e Integrity Technology Group, figuran en el panorama más amplio de la adquisición sostenida de datos y la actividad cibernética. Las autoridades británicas y sus socios internacionales han respondido a tales amenazas mediante avisos coordinados y sanciones.

Rusia presenta un problema diferente.

El NCSC la describe como la amenaza cibernética más audaz, lo que refleja una aparente disposición a llevar a cabo operaciones agresivas contra infraestructuras cuya interrupción podría tener consecuencias mucho más allá de los ordenadores directamente afectados.

Un ejemplo es el ataque de diciembre de 2025 dirigido a la red eléctrica de Polonia, vinculado en el informe al Centro 16 del FSB, una subdivisión de inteligencia rusa también identificada como unidad militar 71330.

La operación tenía el potencial de interrumpir el suministro eléctrico a 500.000 personas.

La importancia radica en el objetivo. Un ataque contra una red eléctrica no es simplemente un intento de robar información o extorsionar a una organización. Puede amenazar servicios esenciales e imponer costos a la población en general.

Las operaciones cibernéticas rusas contra la infraestructura eléctrica ucraniana ya han situado los ataques digitales dentro de la conducción más amplia del conflicto militar. El incidente polaco ilustra por qué los gobiernos europeos no pueden suponer que tales amenazas permanecerán confinadas a una zona de guerra activa.

Para el Reino Unido, los desafíos chino y ruso exigen respuestas superpuestas pero distintas. Proteger datos sensibles y propiedad intelectual no es exactamente la misma tarea que prevenir un ataque disruptivo contra una red energética.

Ambas dependen, sin embargo, de eliminar las debilidades que los atacantes pueden explotar.

El problema no siempre es un malware sofisticado

Uno de los aspectos más reveladores de la evaluación del NCSC es la continua importancia de las fallas de seguridad ordinarias.

A pesar de los recursos disponibles para los actores estatales avanzados, estos siguen dependiendo con frecuencia de vulnerabilidades conocidas, credenciales comprometidas y phishing.

Hay una explicación práctica. Los atacantes tienen pocos incentivos para desarrollar un nuevo exploit costoso cuando una debilidad existente proporciona acceso.

La IA refuerza ese cálculo.

Una organización que ejecuta software desactualizado puede haberse beneficiado anteriormente del tiempo y el esfuerzo que requería a un atacante descubrir su exposición. El descubrimiento automatizado de vulnerabilidades puede reducir esa protección.

Una vez que una debilidad se conoce, los atacantes pueden ser capaces de identificar sistemas vulnerables e intentar explotarlos antes de que los administradores completen sus actualizaciones.

El resultado es un problema creciente para las organizaciones que arrastran años de deuda técnica acumulada.

Las aplicaciones más antiguas, las infraestructuras complicadas y los sistemas mal mantenidos son difíciles de asegurar rápidamente. Reemplazarlos puede ser costoso, mientras que las interrupciones de servicios esenciales pueden ser inaceptables.

Esto crea un panorama de seguridad desigual. Las organizaciones bien financiadas pueden invertir en monitoreo automatizado, arquitectura moderna y equipos de respuesta dedicados. Las empresas más pequeñas y los operadores dependientes de tecnología heredada pueden tener dificultades para mantener incluso protecciones básicas.

La brecha es particularmente preocupante cuando los sistemas comerciales sustentan infraestructura pública.

Un operador energético o una red de transporte no opera de forma aislada. Sus proveedores, contratistas y proveedores de tecnología pueden introducir debilidades adicionales. Una falla fuera del control inmediato de la organización aún puede afectar su capacidad para prestar servicios esenciales.

La IA no crea estas dependencias. Hace que sus debilidades sean más atractivas de explotar.

Las defensas cibernéticas del Reino Unido enfrentan una prueba económica

El gobierno británico estima que la actividad cibernética maliciosa cuesta al país 14.700 millones de libras anuales.

Esa cifra sitúa la ciberseguridad firmemente dentro de la política económica, en lugar de dejarla únicamente en manos de las agencias de inteligencia y los departamentos de TI corporativos.

La interrupción puede propagarse a través de las redes de producción y las cadenas de suministro. Incidentes importantes en la industria automotriz han ilustrado cómo las interrupciones operativas pueden afectar a empresas más allá del objetivo original y contribuir a un desempeño económico más débil.

Para las empresas, los costos se extienden más allá de restaurar los sistemas comprometidos. La producción perdida, la propiedad intelectual dañada y las relaciones comerciales interrumpidas pueden persistir después de que el ataque inmediato haya terminado.

Las conclusiones del NCSC también exponen un difícil problema de inversión.

Modernizar la infraestructura requiere gastos hoy, mientras que los beneficios a menudo consisten en incidentes que nunca ocurren. Para las empresas bajo presión financiera, retrasar las actualizaciones puede parecer racional hasta que un ataque expone el costo de esa decisión.

El gobierno busca cambiar esos incentivos.

Su proyectado Proyecto de Ley de Ciberseguridad y Resiliencia forma parte de un esfuerzo más amplio para fortalecer el entorno regulatorio que rodea a los servicios esenciales y su seguridad digital.

El Plan de Acción Cibernética del Gobierno incluye 210 millones de libras en inversiones, mientras que el Perfil Básico del Marco de Evaluación Cibernética establece expectativas de seguridad de referencia.

La dirección apunta hacia estándares más consistentes y una mayor rendición de cuentas. Las obligaciones precisas que enfrentan los operadores individuales del sector privado dependerán de la legislación y su implementación.

La regulación por sí sola, sin embargo, no puede resolver el problema de velocidad identificado por el NCSC.

De las comprobaciones periódicas a la ciberdefensa continua

Los arreglos tradicionales de ciberseguridad a menudo dependen de evaluaciones programadas, revisiones manuales y actualizaciones periódicas de software.

Esos métodos se vuelven menos efectivos cuando los atacantes pueden buscar continuamente debilidades utilizando herramientas automatizadas.

La respuesta del Reino Unido incluye cada vez más la defensa asistida por máquinas mediante iniciativas como Cyber Shield y el Proyecto DROMOS.

La ambición subyacente es hacer la protección más continua: detectar amenazas, identificar vulnerabilidades y apoyar la acción defensiva a un ritmo más cercano al de los atacantes.

Esto no elimina la necesidad de supervisión humana. Los equipos de seguridad aún deben evaluar riesgos, priorizar sistemas críticos y decidir cómo responder cuando las medidas de protección podrían interrumpir las operaciones.

Tampoco la automatización elimina el problema de la infraestructura obsoleta.

Un sistema de detección sofisticado no puede compensar indefinidamente un software que sigue sin soporte o credenciales mal protegidas. La defensa automatizada es más útil cuando se construye sobre sistemas que pueden mantenerse y actualizarse de manera confiable.

Las implicaciones comerciales son considerables. Es probable que los desarrolladores de detección automatizada de amenazas, herramientas defensivas agénticas y tecnologías de diseño seguro encuentren una demanda creciente a medida que las organizaciones buscan reducir su exposición.

Pero la inversión requerida no se distribuirá de manera uniforme.

Las grandes instituciones pueden ser capaces de renovar su tecnología e introducir monitoreo continuo. Los operadores de infraestructura más antigua enfrentan una elección más difícil entre una modernización costosa y la dependencia continua de sistemas que se vuelven cada vez más vulnerables.

El desafío se extiende a través de las fronteras europeas. Las redes eléctricas, los sistemas de transporte y las cadenas de suministro comerciales conectan organizaciones con diferentes recursos, estándares de seguridad y capacidades tecnológicas.

Un atacante solo necesita una ruta utilizable hacia una red.

Para los responsables de las políticas británicas, la perspectiva incómoda es que las operaciones ofensivas asistidas por IA podrían volverse rutinarias antes de que la modernización defensiva llegue a las organizaciones más expuestas a la interrupción.

La pregunta decisiva ya no es si China, Rusia y otros Estados utilizarán la IA en operaciones cibernéticas. Las agencias de inteligencia británicas esperan que eso sea normal para 2028.