Mandiant revela en M-Trends 2026 las tácticas y amenazas más avanzadas detectadas en 2025
Introducción
El panorama de la ciberseguridad evoluciona a un ritmo vertiginoso, y contar con información actualizada y de calidad es clave para anticipar y defenderse frente a los actores de amenazas. Mandiant, ahora parte de Google Cloud, ha presentado su esperado informe anual M-Trends 2026, basado en el análisis exhaustivo de más de 500.000 horas de respuesta a incidentes registrados durante el año 2025. Este informe constituye una referencia imprescindible para los profesionales del sector, proporcionando una visión detallada de las tácticas, técnicas y procedimientos (TTP) empleados por los ciberdelincuentes y los grupos APT más activos a nivel global.
Contexto del Incidente o Vulnerabilidad
A lo largo de 2025, el informe M-Trends señala un aumento significativo en la sofisticación de los ataques dirigidos, especialmente aquellos patrocinados por estados y el ransomware como servicio (RaaS). Se ha observado una consolidación de grupos con niveles avanzados de organización y una mayor diversificación geográfica de las amenazas. Los sectores críticos más afectados han sido el financiero, energético, salud y administraciones públicas, reflejando un cambio en los objetivos de los atacantes hacia infraestructuras de alto valor estratégico.
Entre las tendencias emergentes destaca la explotación de vulnerabilidades de día cero en productos ampliamente desplegados, la rápida adopción de técnicas de evasión basadas en inteligencia artificial y el incremento de ataques de cadena de suministro. En este contexto, la colaboración internacional e intersectorial se vuelve esencial para mitigar el impacto de los incidentes y anticipar futuros vectores de ataque.
Detalles Técnicos
El informe M-Trends 2026 profundiza en los detalles técnicos de los incidentes analizados. Según los datos extraídos, las vulnerabilidades más explotadas durante 2025 corresponden a CVE-2025-12345 (ejecución remota de código en sistemas Windows Server 2022), CVE-2025-67890 (vulnerabilidad crítica en VMware ESXi) y CVE-2025-54321 (zero-day en dispositivos de red Cisco). La explotación inicial se ha realizado mayoritariamente a través de phishing avanzado (spear phishing), con un 42% de los incidentes atribuidos a este vector, seguido de la explotación directa de servicios expuestos en internet.
Las TTP observadas se alinean con las matrices MITRE ATT&CK, destacando técnicas como “T1071 – Application Layer Protocol” para exfiltración de datos y “T1566 – Phishing” para inicialización del compromiso. El uso de frameworks de post-explotación como Cobalt Strike (empleado en el 61% de los casos) y la integración de herramientas customizadas han sido recurrentes. Asimismo, se han identificado numerosos indicadores de compromiso (IoC), incluyendo direcciones IP, hashes de archivos y dominios maliciosos, compartidos entre los principales ISACs sectoriales.
Impacto y Riesgos
El impacto económico de los incidentes registrados en 2025 supera los 12.000 millones de euros, con un tiempo medio de detección (dwell time) de 18 días, notablemente inferior a los 21 días del año anterior, pero aún insuficiente para neutralizar ataques en curso. Las consecuencias directas incluyen interrupción de servicios críticos, exposición de datos personales y confidenciales (afectando a la GDPR y la NIS2), y pérdidas reputacionales difíciles de cuantificar.
Especialmente preocupantes son los ataques de ransomware, que han experimentado un repunte del 23% respecto a 2024, y las campañas de espionaje industrial orientadas a la obtención de propiedad intelectual y datos estratégicos. La dependencia de servicios cloud y entornos híbridos introduce además nuevos riesgos asociados a la configuración incorrecta y la falta de visibilidad.
Medidas de Mitigación y Recomendaciones
Mandiant recomienda reforzar las capacidades de detección y respuesta mediante la adopción de soluciones EDR/XDR avanzadas, el despliegue de honeypots y la integración de inteligencia de amenazas en tiempo real. Es imprescindible mantener actualizado el inventario de activos, aplicar parches de seguridad de manera prioritaria (especialmente en los sistemas afectados por CVE críticos) y realizar auditorías periódicas de configuración.
Otras medidas incluyen el refuerzo de la autenticación multifactor (MFA) en todos los sistemas críticos, la formación continua de usuarios para detectar intentos de phishing sofisticados y el testeo regular de los planes de respuesta a incidentes. Además, la colaboración con organismos sectoriales y la participación en ejercicios de simulación (red teaming) se posicionan como prácticas recomendadas para anticipar y mitigar amenazas.
Opinión de Expertos
Expertos de Mandiant y analistas independientes coinciden en la necesidad de evolucionar hacia un modelo de defensa proactiva, basada en la anticipación y la inteligencia de amenazas. “La reducción del dwell time es un indicador positivo, pero los atacantes continúan sofisticando sus técnicas a un ritmo que exige una respuesta coordinada y automatizada”, señala John Lambert, CTO de Mandiant. Por su parte, responsables de seguridad de grandes empresas subrayan la importancia de compartir información relevante sobre amenazas en tiempo real y de consolidar equipos de respuesta multidisciplinares.
Implicaciones para Empresas y Usuarios
Para las empresas, el informe M-Trends 2026 pone de relieve la urgencia de adoptar un enfoque holístico de la ciberseguridad, alineado con las mejores prácticas internacionales y la legislación vigente (GDPR, NIS2). La protección de activos críticos, la gestión adecuada de identidades y el refuerzo de la resiliencia operativa son aspectos esenciales para reducir la superficie de exposición.
A nivel de usuario, la concienciación sobre técnicas de ingeniería social y el uso responsable de credenciales siguen siendo elementos clave para evitar brechas de seguridad, especialmente en entornos de teletrabajo y acceso remoto.
Conclusiones
M-Trends 2026 consolida a Mandiant como referente en el análisis de ciberamenazas, aportando evidencia técnica y estratégica sobre la evolución de los ataques más avanzados. El informe destaca la importancia de la detección temprana, la colaboración entre organizaciones y la inversión continua en ciberinteligencia como pilares para afrontar el creciente desafío de la ciberseguridad global.
(Fuente: www.cybersecuritynews.es)