La Agencia de la Unión Europea para la Ciberseguridad (ENISA) ha situado el ransomware y la explotación de vulnerabilidades entre los principales factores del panorama de ciberamenazas que afecta a la UE. La administración pública continúa como el sector más atacado, mientras que las entidades esenciales e importantes definidas por la Directiva NIS2 concentran el 73% de las organizaciones objetivo. La nueva edición del ‘Panorama de Amenazas de ENISA’ (ETL) se basa en incidentes y eventos observados entre el 1 de enero y el 31 de diciembre de 2025. La agencia recopiló la información a partir de fuentes abiertas, datos anonimizados compartidos por los Estados miembros y aportaciones del Programa de Asociación Cibernética de ENISA.
El informe clasifica las amenazas en ciberdelito, actividades de nexo estatal, manipulación e interferencia de información extranjera (FIMI), hacktivismo y vulnerabilidades. ENISA analiza estos fenómenos por sectores afectados, distribución geográfica y comportamientos técnicos, en un contexto en el que prevé que las organizaciones europeas sigan expuestas a ciberdelincuencia, ciberespionaje y actividad hacktivista condicionada por la evolución geopolítica.
Ransomware, DDoS y vulnerabilidades en la UE
El ransomware se mantiene como el tipo de incidente con mayor impacto a corto plazo. Sus operadores siguieron interrumpiendo la actividad de organizaciones de distintos sectores mediante cifrado, robo de datos y operaciones basadas en extorsión.
Los ataques DDoS de bajo impacto dominaron el periodo analizado y representaron el 51% de los casos registrados. ENISA vincula buena parte de estas campañas a acontecimientos geopolíticos y a hechos concretos, como declaraciones políticas, con especial incidencia en entidades esenciales.
La ingeniería social siguió siendo una táctica frecuente para explotar la confianza de los usuarios, especialmente mediante campañas de phishing. El informe señala un uso creciente de kits de phishing, ecosistemas basados en servicios y la técnica ClickFix.
La explotación de vulnerabilidades N-day y 0-day continúa como un vector de intrusión relevante. En los incidentes de acceso no autorizado en los que ENISA pudo identificar el vector de entrada, un 5% del total, el 60% se produjo mediante el aprovechamiento de una vulnerabilidad.
Sectores más afectados y motivaciones
La administración pública fue el sector más atacado, con el 32% de los casos. También figuran entre los objetivos los servicios empresariales y el transporte, con un 8% cada uno, la manufactura, con un 7%, y las finanzas y la banca, con un 6%.
En las administraciones públicas, la situación estuvo especialmente condicionada por ataques DDoS de motivación ideológica, que supusieron el 82% de los eventos registrados en ese sector. En el conjunto de amenazas dirigidas contra la UE o con impacto en ella, el 57% de los incidentes respondió a motivaciones ideológicas y cerca del 30% tuvo motivación económica.
ENISA también observa que las fronteras entre categorías de amenaza se están difuminando. Técnicas, infraestructuras y mecanismos de acceso similares aparecen en investigaciones sobre ciberdelito, hacktivismo y actividades de nexo estatal, aunque los objetivos perseguidos sean diferentes.
El análisis recoge además ataques contra dependencias cibernéticas, incluidos ataques a la cadena de suministro y a terceros. Este tipo de incidentes suele derivar en episodios de gran escala o elevado impacto para la infraestructura digital de la UE.
Ciberdelito, hacktivismo e inteligencia artificial
El ciberdelito representó el 36% de los eventos analizados y siguió siendo una amenaza principal tanto en la UE como a escala global. Dentro de las actividades con motivación financiera, el despliegue de ransomware supuso el 40% de los eventos, seguido de las brechas de datos, con un 31%, y del fraude y la suplantación, con un 19%.
El fraude se ve facilitado por datos y credenciales comprometidos, así como por sitios diseñados para atraer a usuarios con promesas de beneficios fáciles. ENISA identifica estos espacios como Sitios de Noticias de Cebo (BNS). La Autoridad Bancaria Europea estimó que solo el fraude en inversiones online costó 4.000 millones de euros en el Espacio Económico Europeo (EEE) en 2024.
Las actividades alineadas con Estados se concentraron principalmente en operaciones de intrusión, que representaron el 87% de los casos notificados en esta categoría, y en campañas de phishing, con un 12%. En paralelo, la FIMI evoluciona con el uso de audio y vídeo sintéticos y texto generado por inteligencia artificial, herramientas que permiten abaratar operaciones y ampliar la distribución y traducción masiva de contenidos.
El hacktivismo acumuló 4.709 reivindicaciones contra Estados miembros de la UE durante el periodo analizado, de las cuales más del 89% estuvieron relacionadas con ataques DDoS. La mayoría de las campañas se alinearon con elecciones, protestas, tensiones geopolíticas y el apoyo de Estados miembros a Ucrania, con concentración de incidentes en administración pública, transporte y servicios empresariales.
En 2025 se publicaron más de 48.000 nuevas vulnerabilidades con Identificadores Comunes de Vulnerabilidades y Exposiciones (CVE), un 22% más que el año anterior. ENISA señala que los grupos de amenaza reutilizan herramientas y técnicas, incorporan nuevos modelos de ataque, explotan vulnerabilidades y colaboran para comprometer la seguridad y la resiliencia digital europea.
El informe también aborda el doble papel de la inteligencia artificial. ENISA observa un uso creciente de estos sistemas por parte de grupos maliciosos para facilitar o mejorar sus actividades, al tiempo que la integración de IA en entornos empresariales amplía la superficie de ataque. Entre los actores interesados figuran conjuntos de intrusión de nexo estatal, grupos de manipulación de información y ciberdelincuentes.
Los hallazgos del ETL coinciden con las conclusiones del último informe ‘NIS360 de ENISA‘, que sitúa por debajo de la media el nivel de madurez de sectores considerados críticos. Entre ellos figuran salud, ferrocarriles, marítimo, gestión de servicios de TIC, espacio, administraciones públicas, agua potable y aguas residuales.