El hallazgo más aburrido del informe de Sophos de 2025 es también el más importante
Cada año, la conversación sobre el ransomware se vuelve más ruidosa en torno a nuevas técnicas de ataque. Phishing generado por IA. Ingeniería social con deepfakes. Aprendizaje automático adversario. Binarios living-off-the-land. Compromisos de la cadena de suministro a través de dependencias oscuras. La narrativa sugiere de forma recurrente que los defensores se enfrentan a una amenaza fundamentalmente nueva que requiere herramientas fundamentalmente nuevas.
Y cada año, el informe State of Ransomware de Sophos regresa, a partir de una encuesta independiente del fabricante a miles de víctimas, con la misma respuesta poco glamurosa.
Por tercer año consecutivo, las vulnerabilidades explotadas son la causa raíz técnica más común de los incidentes de ransomware, responsables del 32% de los ataques en 2025.
No técnicas novedosas de IA. No zero-days. No ataques exóticos a la cadena de suministro. Parches que existían pero no se aplicaron. Configuraciones que se sabía que eran incorrectas. CVE con exploits públicos y avisos del fabricante que cayeron en una cola y nunca salieron de ella.
Este es el hallazgo que debería incomodar a todo líder de seguridad empresarial, porque no se puede resolver comprando una nueva herramienta. Es un problema estructural relacionado con la forma en que los entornos empresariales acumulan deuda técnica, y los datos de 2025 sugieren que ninguna cantidad de inversión en detección avanzada lo está cerrando.
En BackupSec, interpretamos la persistencia de la explotación de vulnerabilidades como la causa raíz n.º 1 como una señal estratégica: la brecha entre las debilidades de seguridad conocidas y las debilidades de seguridad cerradas es el predictor más fiable de qué organizaciones aparecerán el año que viene en la columna de «pagaron el rescate». Este artículo desgrana por qué persiste esa brecha, por qué no puede cerrarse solo con prevención y cuáles son las implicaciones arquitectónicas para las organizaciones que operan en 2026.
Lo que muestran realmente los datos de Sophos
El informe de Sophos de 2025 encuestó a 3,400 líderes de TI y ciberseguridad en 17 países, todos ellos de organizaciones que habían sufrido un ataque de ransomware en los doce meses anteriores. Al preguntarles por la causa raíz técnica de su incidente, el desglose fue notablemente consistente año tras año:
- Vulnerabilidades explotadas: 32% de los ataques, la causa n.º 1 durante tres años consecutivos.
- Credenciales comprometidas: 23%, frente al 29% de 2024.
- Correo electrónico malicioso: 19%.
- Phishing: 18%, frente al 11% del año anterior.
Los informes específicos por sector refuerzan el patrón. En la industria manufacturera, las vulnerabilidades explotadas representaron el 32% de los incidentes, de nuevo la causa principal. En el comercio minorista, la cifra fue del 30%, también la primera. En prácticamente cada segmento sectorial que publicó Sophos persiste el mismo hallazgo: un tercio de todos los ataques de ransomware exitosos comienzan con una vulnerabilidad que el fabricante ya ha parcheado, de la que el equipo de seguridad teóricamente es consciente y a la que el atacante simplemente llegó primero.
Lo que hace que este hallazgo sea estratégicamente importante no es solo su consistencia. Es el hecho de que se ha mantenido como la causa n.º 1 a pesar de tres años de intensa inversión del sector en herramientas de gestión de vulnerabilidades, plataformas de gestión de la superficie de ataque, servicios de evaluación de exposición y automatización del parcheo. La inversión ha sido sustancial. El resultado no ha cambiado.
Eso debería decirnos algo arquitectónico sobre el problema.
Por qué falla el parcheo, incluso cuando las organizaciones lo hacen
La respuesta intuitiva a «el 32% de los ataques comienzan con vulnerabilidades conocidas» es «entonces parchea más rápido». Esta respuesta es correcta, pero operativamente insuficiente, y vale la pena examinar con honestidad las razones por las que se queda corta.
El problema del denominador. Una empresa mediana típica gestiona miles de componentes de software distintos entre sistemas operativos, aplicaciones, firmware, imágenes de contenedores y configuraciones SaaS. Los avisos del fabricante llegan de forma continua. Ni siquiera un equipo de seguridad operando en lo más alto de su capacidad puede parchear cada componente el día en que se publica un CVE. El denominador de «cosas que podrían explotarse» es estructuralmente mayor que el ancho de banda de «cosas que pueden parchearse esta semana».
El problema de la criticidad. Muchos parches requieren tiempo de inactividad, pruebas de regresión o coordinación con responsables de negocio que protegen la continuidad de los ingresos. Los sistemas que más necesitan parcheo —las aplicaciones expuestas al exterior, los sistemas de producción heredados, la infraestructura OT y de control industrial— suelen ser aquellos en los que el coste de negocio del tiempo de inactividad es mayor. Así que los parches se programan, se aplazan, se agrupan en lotes y finalmente se olvidan. Los atacantes lo saben; se dirigen específicamente a las categorías de sistemas con más probabilidades de arrastrar deuda de mantenimiento.
El problema del descubrimiento. No puedes parchear lo que no puedes ver. Los propios datos de Sophos muestran que más del 40% de las víctimas citaron las brechas de seguridad desconocidas como factores contribuyentes. En el comercio minorista en concreto, el 46% de los incidentes se remontaron a brechas desconocidas. No se trata de vulnerabilidades que las organizaciones decidieron no parchear, sino de vulnerabilidades que las organizaciones no sabían que tenían. Shadow IT, sistemas sin documentar, cargas de trabajo en la nube olvidadas, integraciones de terceros con sus propios árboles de dependencias: la superficie de ataque empresarial moderna es genuinamente difícil de enumerar, y la brecha entre lo que muestra tu inventario de activos y lo que un atacante puede realmente alcanzar es donde viven la mayoría de las vulnerabilidades explotadas.
El problema de la ventana. Incluso cuando una vulnerabilidad es conocida y hay un parche disponible, el tiempo entre la divulgación y la explotación activa se ha comprimido drásticamente. Los actores de amenazas vigilan los avisos del fabricante con la misma diligencia que los equipos de seguridad, y los exploits armados para CVE de alto impacto aparecen ahora de forma habitual en cuestión de días, a veces horas, tras la divulgación. La ventana de parcheo que existía hace cinco años ya no existe para ninguna vulnerabilidad lo bastante grave como para atraer atención.
Ninguno de estos problemas se resuelve comprando otra herramienta de gestión de vulnerabilidades. Son características estructurales de cómo funcionan los entornos empresariales, y explican por qué la cifra del 32% no se ha movido en tres años a pesar de una enorme inversión defensiva.
La distracción de la IA
Vale la pena abordarlo directamente: los datos de Sophos de 2025 son también un correctivo útil frente a la narrativa dominante sobre los ataques impulsados por IA.
La conversación del sector en 2025 estuvo fuertemente orientada hacia las campañas de phishing generadas por IA, la ingeniería social impulsada por deepfakes y la evasión habilitada por aprendizaje automático. Estas amenazas son reales y merecen atención, sobre todo teniendo en cuenta que las investigaciones muestran que una amplia mayoría de los correos de phishing contienen ahora contenido generado por IA.
Pero los datos de Sophos son un útil baño de realidad sobre dónde deberían asignarse realmente los recursos y la atención. El phishing potenciado por IA está contribuyendo al aumento de los incidentes relacionados con el phishing (del 11% al 18% de un año a otro). Sin embargo, no está desplazando a la explotación de vulnerabilidades como vector de entrada dominante. El tercio de todos los ataques que comienzan con sistemas sin parchear no se está reduciendo porque los atacantes tengan acceso a mejores modelos de lenguaje. En todo caso, la conversación sobre la IA ha funcionado como una distracción frente al problema estructural y poco glamuroso que viene causando silenciosamente un tercio de todos los incidentes de ransomware durante tres años consecutivos.
La implicación estratégica para los líderes de riesgo empresarial es mostrarse escépticos ante cualquier narrativa de un fabricante que sugiera que la inversión defensiva más importante es la más reciente. Los datos de Sophos apuntan en una dirección distinta: la inversión defensiva más importante puede ser aquella que hace que el aburrido y estructural problema de la gestión de vulnerabilidades sea menos determinante para los resultados generales.
Qué significa realmente «menos determinante»
He aquí la idea arquitectónica que se desprende de aceptar que la explotación de vulnerabilidades no puede eliminarse por completo: si un tercio de todos los ataques va a seguir comenzando con un parche que no aplicaste a tiempo, entonces la pregunta estratégica pasa de «¿cómo parcheamos más rápido?» a «¿qué pasa cuando no lo hacemos?».
Esta es la pregunta que la mayoría de las arquitecturas de seguridad empresarial siguen evitando.
En un modelo de defensa en el que se da por hecho que la prevención funciona, la explotación de vulnerabilidades se trata como un fallo que hay que eliminar. En un modelo de defensa que se toma en serio los datos de Sophos, la explotación de vulnerabilidades se trata como una condición recurrente que el resto de la arquitectura debe absorber sin producir resultados catastróficos.
El paso de la eliminación a la absorción es el mismo cambio arquitectónico por el que pasó la ingeniería de fiabilidad madura hace una década. No se elimina el fallo en los sistemas distribuidos. Se diseñan sistemas que se degradan con elegancia cuando se producen fallos. Se mide el tiempo medio de recuperación, no solo el tiempo medio entre fallos. Se trata la resiliencia como una propiedad arquitectónica primaria, no como una limpieza secundaria después de que falle la prevención.
La seguridad empresarial está empezando, muy lentamente, a aplicar la misma lógica. Los datos de Sophos de 2025 son, en nuestra lectura, la evidencia empírica más sólida hasta la fecha de que esta transición está pendiente desde hace tiempo.
Dónde la arquitectura de backup se convierte en el punto de inflexión
Cuando se explota una vulnerabilidad y un atacante establece un punto de apoyo, la cadena de eventos que sigue está bien documentada: movimiento lateral, escalada de privilegios, reconocimiento de datos valiosos, exfiltración y, finalmente, despliegue de la carga útil. Los actores de amenazas modernos pasan una media de 12 a 22 días dentro de los entornos comprometidos antes de desplegar el ransomware, tiempo que utilizan específicamente para identificar y neutralizar los controles que de otro modo permitirían la recuperación.
El más importante de esos controles es el entorno de backup.
Si tu infraestructura de backup puede alcanzarse desde un sistema que comenzó con una vulnerabilidad explotada, entonces la vulnerabilidad no solo posibilitó un ataque, sino que posibilitó que el ataque ganara. El CVE explotado en una aplicación expuesta a Internet se vuelve arquitectónicamente significativo no por lo que hace en el host donde fue explotado, sino por lo que permite que un atacante haga a tu capa de recuperación durante las dos semanas siguientes.
Este es el punto de inflexión arquitectónico que implican los datos de Sophos. La explotación de vulnerabilidades seguirá siendo la causa raíz n.º 1 en el futuro previsible. La variable que determina los resultados es si tu arquitectura de recuperación es alcanzable desde los sistemas donde esas vulnerabilidades serán inevitablemente explotadas.
En concreto, esto significa:
Separación de identidades. Las credenciales que protegen los sistemas de producción no deben otorgar acceso a la infraestructura de backup. Si una cuenta de administrador de dominio comprometida puede alcanzar tu repositorio de backup, tus backups forman parte de la superficie de ataque que expuso la vulnerabilidad sin parchear.
Inmutabilidad validada. Las políticas de retención basadas en software pueden ser modificadas por cualquiera con privilegios suficientes. Los bloqueos de retención aplicados por hardware o por plataforma están diseñados para resistir eso, pero la brecha entre «configurado» y «funcionando realmente como se pretende» es donde muchos entornos de backup empresariales fallan en incidentes reales. Tanto si tu inmutabilidad la aplica tu plataforma de backup, tu capa de almacenamiento o un repositorio reforzado, la propiedad que importa es si ha sido probada en condiciones adversas, y no meramente activada en un panel de ajustes.
Aislamiento de red y de confianza. Un entorno de backup que reside en el mismo dominio de red que los sistemas de producción forma parte de la producción desde una perspectiva de modelado de amenazas. El aislamiento lógico y físico es lo que convierte a la infraestructura de backup de «otro objetivo» en «la capa que sobrevive cuando otros objetivos no lo hacen».
Validación continua de la restauración. Un backup que no ha sido probado frente a las condiciones específicas de un ataque real es una hipótesis, no un control. Los datos de 2025 muestran que el 53% de las empresas no utilizaron sus backups para recuperarse de incidentes de ransomware exitosos, a pesar de tener backups. La explicación más probable es que los backups que tenían nunca se validaron frente a los escenarios que realmente se produjeron. Diseñar para protegerse contra ese modo de fallo requiere probar, no solo ejecutar.
El replanteamiento estratégico
Para los líderes de riesgo empresarial, la persistencia de la explotación de vulnerabilidades como la causa raíz n.º 1 no es una condena de los programas de gestión de vulnerabilidades. Es la evidencia de que la gestión de vulnerabilidades —por bien ejecutada que esté— es estructuralmente incapaz de soportar por sí sola todo el peso de la defensa frente al ransomware.
El hallazgo de Sophos de que el 32% de los ataques comienzan con vulnerabilidades conocidas debe leerse junto al hallazgo de que el 48% de las víctimas empresariales pagaron el rescate. Esas cifras están conectadas. Describen una postura defensiva en la que se exige a la prevención ser infalible porque no se puede confiar en la capa de recuperación. La corrección estratégica no es hacer la prevención más infalible, sino hacer la recuperación lo bastante fiable como para que los fallos de prevención no determinen los resultados de negocio.
Esa corrección es arquitectónica. También está pendiente desde hace tiempo. Las organizaciones que cierren la brecha en los próximos doce meses serán aquellas cuya capa de recuperación pueda absorber el inevitable tercio de incidentes que seguirá comenzando con un sistema sin parchear. Las organizaciones que no lo hagan seguirán apareciendo, año tras año, en la misma línea del informe de Sophos.
Dónde entra BackupSec
En BackupSec, nuestro servicio se basa en la premisa de que la prevención fallará aproximadamente en la proporción que describen los datos de Sophos, y de que la capa que determina los resultados cuando eso ocurre es la infraestructura de recuperación que conserva copias limpias y aisladas de los datos críticos para el negocio, junto con la disciplina operativa que demuestra que pueden restaurarse.
Cada uno de nuestros tres servicios aborda una brecha específica que expone la persistencia de la explotación de vulnerabilidades como la causa raíz n.º 1:
- ZeroMON ofrece observabilidad continua sobre las operaciones de backup, las desviaciones de configuración y las señales de seguridad, de modo que cuando se explota una vulnerabilidad y un atacante pasa dos semanas dentro de la red, la actividad de reconocimiento dirigida a tu entorno de backup sea visible, no silenciosa.
- ZeroTAM pone a disposición de tu equipo un asesor dedicado en seguridad de backups para decisiones de arquitectura, planificación de capacidad y estrategia de recuperación, abordando la brecha estructural de experiencia que determina si tu capa de backup es alcanzable desde los sistemas con más probabilidades de verse comprometidos a través de vulnerabilidades sin parchear.
- ZeroPEN es, en nuestra opinión, la respuesta más directamente relevante al hallazgo del 32%. Hacemos pentesting de los planos de gestión de tu backup, los controles de acceso, los ajustes de inmutabilidad y la postura de aislamiento de la misma forma en que lo haría un atacante que partió de una vulnerabilidad explotada; después ejecutamos escenarios de restauración reales para validar que la recuperación funciona de forma limpia, completa y a tiempo. El resultado no es una lista de hallazgos que remediar. Es evidencia documentada de que tu capa de backup sobrevive a las condiciones específicas que describen los datos de Sophos.
BackupSec se despliega on-premise. Nos conectamos a tus aplicaciones de backup mediante acceso de solo lectura a la API. Tus datos de backup, la telemetría y los detalles de configuración permanecen dentro de tu entorno.
La cifra del 32% no es un destino. Es la descripción de una condición estructural que determina los resultados solo cuando la capa de recuperación está estructurada para fallar junto a la capa de prevención. Las organizaciones que desacoplan ambas dejan de ser vulnerables a la causa raíz dominante del ransomware en 2026, no porque parchearan más rápido, sino porque validaron que el parcheo no es determinante para sus resultados de recuperación.
Habla con BackupSec sobre pruebas de penetración en backups y validación de recuperación →
Este análisis se basa en el informe Sophos State of Ransomware 2025 y en el panorama más amplio de la investigación sobre ransomware de 2025. La interpretación y el marco que se presentan aquí son propios de BackupSec. Para hablar sobre cómo se aplica este análisis a tu entorno específico, ponte en contacto con nuestro equipo →