Los grandes ciberataques rara vez terminan cuando se apagan los equipos afectados. WannaCry, NotPetya, los ataques contra la red eléctrica ucraniana o el ransomware contra la sanidad irlandesa pusieron a prueba servicios esenciales, provocaron cambios en las estrategias de seguridad y transformaron la percepción del riesgo mucho más allá de sus víctimas inmediatas. También demostraron algo menos alentador: muchas de las debilidades que explotaron continúan entre las principales vías de entrada de los atacantes.

“Una década después, los ciberdelincuentes siguen aprovechando muchas de las mismas vulnerabilidades. El phishing continúa siendo la principal vía de intrusión en Europa y la explotación de agujeros de seguridad sigue facilitando numerosos ataques. A esto se suma un ransomware que, según nuestro último ESET Threat Report, no muestra signos de desaceleración”, señala Josep Albors, responsable de Investigación y Concienciación de ESET España. “El problema no es que desconozcamos cómo reducir estos riesgos, sino que seguimos sin aplicar de forma sistemática medidas básicas como corregir vulnerabilidades a tiempo, limitar los accesos o comprobar que los planes de recuperación funcionan realmente”,

WannaCry: disponer de un parche no significa estar protegido

En mayo de 2017, WannaCry convirtió una vulnerabilidad técnica en una crisis de servicios esenciales. En Inglaterra provocó interrupciones en al menos el 34% de las organizaciones hospitalarias del NHS (Servicio Nacional de Salud británico) y se estima que provocó la cancelación de más de 19.000 citas. La paradoja es que Microsoft había publicado el parche crítico MS17-010 casi dos meses antes del ataque. ESET detectó el ransomware como Win32/Filecoder.WannaCryptor y sus mecanismos de protección de red ya protegían a sus clientes frente a la explotación utilizada por la amenaza.

La lección: inventariar activos, retirar sistemas obsoletos y priorizar el parcheado según exposición y criticidad. Lo pendiente: casi diez años después, la explotación rápida de vulnerabilidades sigue siendo uno de los principales mecanismos de entrada. El problema nunca fue únicamente publicar el parche, sino conseguir que llegue a tiempo a todos los sistemas que importan.

NotPetya: el proveedor también forma parte del perímetro

Solo unas semanas después llegó NotPetya. Aunque aparentaba ser ransomware, su diseño hacía extremadamente improbable la recuperación de los datos. ESET, que lo detectó como Diskcoder.C, encontró el elemento que convirtió el incidente en un caso de referencia: los atacantes habían introducido una puerta trasera en actualizaciones legítimas del software contable ucraniano M.E.Doc. Desde allí se propagó a organizaciones internacionales, incluidas compañías europeas. El Gobierno británico estimó que las pérdidas en Europa alcanzaron cientos de millones de libras; solo Maersk calculó un impacto económico de entre 200 y 300 millones de dólares.

La lección: la confianza en un proveedor no puede equivaler a confianza ilimitada dentro de la red. Segmentación de red, mínimos privilegios, monitorización del software de terceros y planes para operar sin servicios críticos externos pasaron a ser cuestiones de continuidad de negocio. Lo pendiente: el último informe de ENISA, publicado en septiembre de 2026, confirma que los ataques a proveedores y cadenas de suministro siguen provocando incidentes de gran alcance.  

Industroyer: cuando el malware puede apagar el mundo físico

El ataque que dejó sin electricidad durante aproximadamente una hora a una parte de Kyiv en diciembre de 2016 abrió otra frontera. ESET Research analizó y bautizó como Industroyer al malware especializado capaz de comunicarse directamente mediante protocolos utilizados en sistemas eléctricos industriales. Era la primera amenaza conocida diseñada específicamente para atacar una red eléctrica.

La advertencia se confirmó en 2022. ESET y CERT-UA identificaron Industroyer2, preparado para atacar subestaciones de alta tensión de un proveedor energético ucraniano; la operación destructiva, programada para el 8 de abril, pudo ser frustrada.

La lección: IT y tecnología operacional no pueden protegerse como mundos independientes. Lo pendiente: Segmentar entornos, limitar accesos entre redes, disponer de telemetría específica para OT y ensayar la operación manual son medidas de seguridad física, no únicamente informática.

Conti contra la sanidad irlandesa: las copias de seguridad no bastan

En mayo de 2021, el ransomware Conti obligó al Health Service Executive irlandés a apagar gran parte de su infraestructura tecnológica. El ataque había comenzado con un correo de phishing en marzo; semanas después, los atacantes activaron el ransomware y la interrupción alcanzó servicios sanitarios en todo el país. ESET documentó en profundidad el modelo de Conti, basado en ransomware como servicio, movimiento lateral y doble extorsión.

Tras el incidente, el HSE reforzó su seguridad, puso en marcha capacidades de monitorización y aceleró, entre otras medidas, la adopción de autenticación multifactor.

La lección: la recuperación no empieza el día del cifrado. Exige MFA, separación de privilegios, capacidad de detección continua, copias aisladas y planes clínicos o empresariales que funcionen sin los sistemas habituales. Lo pendiente: el phishing continúa siendo la puerta de entrada dominante en Europa.

MOVEit: el ransomware aprendió que ni siquiera necesita cifrar

En 2023, Cl0p explotó una vulnerabilidad zero-day en MOVEit Transfer para comprometer sistemas expuestos a Internet y robar información a través de un software utilizado por miles de organizaciones. NCSC y CISA documentaron el alcance de la campaña y la necesidad de parchear inmediatamente; en Reino Unido, organizaciones como Ofcom confirmaron el robo de información aunque sus propias redes internas no hubieran sido comprometidas directamente. ESET destacó MOVEit como una evolución especialmente significativa del ecosistema ransomware: extorsionar mediante el robo masivo de datos sin necesidad de desplegar el cifrado tradicional.

La lección: saber dónde están los datos y quién puede acceder a ellos es tan importante como proteger los servidores. Lo pendiente: La gestión de terceros debe incluir inventario de dependencias, exposición a Internet y procedimientos urgentes para vulnerabilidades críticas.

Europa ha cambiado sus reglas; ahora toca convertirlas en resiliencia real

La respuesta europea ha avanzado. NIS2 elevó las exigencias de gestión del riesgo para entidades y redes críticas; DORA reforzó la resiliencia operacional del sector financiero; y desde el 11 de septiembre de 2026, el Cyber Resilience Act obliga a los fabricantes a notificar vulnerabilidades explotadas activamente e incidentes graves en productos digitales, con avisos iniciales en un plazo de 24 horas.

Sin embargo, el hilo que conecta estos cinco casos permanece intacto: sistemas sin actualizar, exceso de confianza entre redes y proveedores, credenciales capaces de abrir demasiado, detección insuficiente y recuperación poco ensayada. La tecnología y la regulación han evolucionado; los atacantes también. El verdadero aprendizaje de la última década es que la ciberseguridad no se mide por haber evitado todos los incidentes, sino por la capacidad de detectar pronto, contener rápido y seguir operando. Y esa es, una década después de WannaCry y NotPetya, la lección europea que todavía no puede darse por aprendida.