Panorama de amenazas

¿Cuál es la situación actual en las oficinas de Alemania?

Periodo para toda la página

Este año: del 01.01.2026 hasta hoy. Se aplica al mapa de situación, a la evolución y a las listas; el mapa mundial tiene periodos fijos, indicados debajo de cada mapa.

Mapa de la situación

Dónde están las brechas actuales en una empresa

Este año, la agencia estadounidense CISA ha incluido en su catálogo de vulnerabilidades explotadas 199 vulnerabilidades que pueden asignarse a un lugar de la empresa. El catálogo no indica gravedad: cada una de estas vulnerabilidades ya se usa en ataques.

Infraestructura de oficina vista desde arriba, con el número de alertas actuales por área Cortafuegos, VPN y router: 67, Sala de servidores: 42, Puestos de oficina: 37, Web, alojamiento y nube: 22, Desarrollo de software: 12, Servicios de IA centrales: 10, Trabajo móvil y acceso remoto: 9 Su empresa Internet Puestos de trabajo 37 Sala de servidores 42 Desarrollo 12 IA central 10 Cortafuegos · VPN 67 Alojamiento y nube 22 Móvil y acceso remoto 9

Haga clic en un círculo o un área para ver cada alerta. Imagen: generada por IA.

Cuanto mayor el círculo, más alertas borde rojo: al menos una crítica o explotada

Mapa de la situación

Servicios de IA centrales

×

10 alertas 10 explotada

Los servicios de IA suelen funcionar con amplio acceso a documentos, buzones y claves: quien los toma ve todo lo que ve la IA.

Software afectado

Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA, catálogo de vulnerabilidades explotadas conocidas. Los enlaces abren el aviso original.
Mapa de la situación

Cortafuegos, VPN y router

×

67 alertas 67 explotada

Estos equipos están en la frontera con Internet. Los atacantes los encuentran mediante búsquedas automáticas, sin que su personal haga nada.

Software afectado

Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA, catálogo de vulnerabilidades explotadas conocidas. Los enlaces abren el aviso original.
Mapa de la situación

Trabajo móvil y acceso remoto

×

9 alertas 9 explotada

La vía de entrada suele ser un mensaje, un enlace o un acceso remoto abierto: fuera de la oficina, sin la protección de la red de la empresa.

Software afectado

Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA, catálogo de vulnerabilidades explotadas conocidas. Los enlaces abren el aviso original.
Mapa de la situación

Web, alojamiento y nube

×

22 alertas 22 explotada

La aplicación es accesible desde Internet y se rastrea de forma automática las 24 horas.

Aquí incluyo el software del que se compone un sitio web o una tienda (por ejemplo WordPress, TYPO3, servidores web, PHP) y las plataformas en la nube en las que usted mismo opera algo. Por eso, un servidor web en Internet puede tener vulnerabilidades de dos áreas: el software del sitio figura aquí; el Linux, la base de datos y la copia de seguridad que hay debajo figuran en «Sala de servidores».

Software afectado

Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA, catálogo de vulnerabilidades explotadas conocidas. Los enlaces abren el aviso original.
Mapa de la situación

Sala de servidores

×

42 alertas 42 explotada

Si un servidor está solo dentro de la empresa, suele ser el segundo paso: quien ya está en la red, por ejemplo tras un correo de phishing, salta desde aquí a los datos y las copias de seguridad. Sin embargo, los servidores de correo y de archivos como Exchange, SharePoint Server o Nextcloud suelen estar conectados directamente a Internet y entonces están tan expuestos como un sitio web.

Aquí incluyo el software que su empresa opera en sus propios servidores y debe actualizar ella misma: sistemas operativos, bases de datos, virtualización, copias de seguridad y servidores propios de correo y de archivos. Da igual si el servidor está en el sótano o alquilado a un proveedor de alojamiento.

Software afectado

Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA, catálogo de vulnerabilidades explotadas conocidas. Los enlaces abren el aviso original.
Mapa de la situación

Desarrollo de software

×

12 alertas 12 explotada

Quien entra aquí puede colar código malicioso en el software propio y entregarlo así a los clientes.

Software afectado

Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA, catálogo de vulnerabilidades explotadas conocidas. Los enlaces abren el aviso original.
Mapa de la situación

Puestos de oficina

×

37 alertas 37 explotada

La vía de entrada es casi siempre una persona: un enlace, un adjunto o una página web que se abre en el puesto de trabajo.

Software afectado

Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA, catálogo de vulnerabilidades explotadas conocidas. Los enlaces abren el aviso original.

Cómo los clasifico: cada aviso va a una sola área, según el software afectado. Los servicios en la nube alquilados como Microsoft 365, SharePoint Online o Google Workspace no aparecen aquí. Sus proveedores tienen que cerrar las mismas vulnerabilidades, pero instalan las correcciones ellos mismos; eso no recae en su empresa. El mapa solo muestra lo que usted o su proveedor de TI deben actualizar. Un servidor web en Internet puede aparecer en dos áreas: con el software del sitio en «Web, alojamiento y nube», con Linux, base de datos y copia de seguridad en «Sala de servidores».

Fuente: BSI, servicio de alertas e información (CERT-Bund). Las bibliotecas generales presentes en casi cualquier software (como OpenSSL o glibc) no las asigno a ninguna área. La clasificación es mía, no del BSI. La situación de la semana en detalle ↓

Periodo: este año, del 01.01.2026 hasta hoy, según lo elegido arriba.

Evolución

Avisos por semana y área

Cada barra muestra cuántos avisos publicó el BSI por primera vez en esa semana, apilados por gravedad. Las actualizaciones posteriores cuentan en la semana de la primera publicación. Pase el cursor por encima para ver las cifras.

1 5 9 13 17 21 25 29 33 37 41 44 total
Sala de servidores 792
Cortafuegos, VPN y router 318
Web, alojamiento y nube 251
Puestos de oficina 251
Desarrollo de software 247
Servicios de IA centrales 183
Trabajo móvil y acceso remoto 120
Todas las áreas 2162

críticoaltomediobaja

Periodo: este año, del 01.01.2026 hasta hoy, según lo elegido arriba. Una barra por semana natural.

Mapa mundial

Atacantes estatales que nombra la CISA

La agencia estadounidense de ciberseguridad CISA atribuye algunos de sus avisos a atacantes estatales de un país concreto. El mapa muestra cuántas veces lo ha hecho en los últimos tres años. Es un extracto desde el punto de vista de EE. UU., no una estadística de los ataques contra Alemania: la mayoría de los avisos no nombran ningún país, entre ellos todos los dedicados a grupos de ransomware (recuadro bajo el mapa).

Mapa mundial de atacantes estatales según la CISA Rusia: 8 avisos de la CISA, 3 en el BSI en el periodo; China: 6 avisos de la CISA, 3 en el BSI en el periodo; Irán: 4 avisos de la CISA, 0 en el BSI en el periodo; Corea del Norte: 1 avisos de la CISA, 12 en el BSI en el periodo Fidschi Tansania, Vereinigte Republik Westsahara Kanada Vereinigte Staaten von Amerika Kasachstan Usbekistan Papua-Neuguinea Indonesien Argentinien Chile Kongo Somalia Kenia Sudan Tschad Haiti Dominikanische Republik Russische Föderation Bahamas Falklandinseln Norwegen Grönland Osttimor Südafrika Lesotho Mexiko Uruguay Brasilien Bolivien Peru Kolumbien Panama Costa Rica Nicaragua Honduras El Salvador Guatemala Belize Venezuela Guyana Suriname Frankreich Ecuador Puerto Rico Jamaika Kuba Simbabwe Botswana Namibia Senegal Mali Mauretanien Benin Niger Nigeria Kamerun Togo Ghana Elfenbeinküste Guinea Guinea-Bissau Liberia Sierra Leone Burkina Faso Zentralafrikanische Republik Republik Kongo Gabun Äquatorialguinea Sambia Malawi Mosambik Eswatini Angola Burundi Israel Libanon Madagaskar Staat Palästina Gambia Tunesien Algerien Jordanien Vereinigte Arabische Emirate Katar Kuwait Irak Oman Vanuatu Kambodscha Thailand Laos Myanmar Vietnam Nordkorea Südkorea Mongolei Indien Bangladesch Bhutan Nepal Pakistan Afghanistan Tadschikistan Kirgisistan Turkmenistan Iran Syrien, Arabische Republik Armenien Schweden Belarus Ukraine Polen Österreich Ungarn Moldawien Rumänien Litauen Lettland Estland Deutschland Bulgarien Griechenland Türkei Albanien Kroatien Schweiz Luxemburg Belgien Niederlande Portugal Spanien Irland Neukaledonien Salomonen Neuseeland Australien Sri Lanka China Taiwan Italien Dänemark Vereinigtes Königreich Island Aserbaidschan Georgien Philippinen Malaysia Brunei Darussalam Slowenien Finnland Slowakei Tschechische Republik Eritrea Japan Paraguay Jemen Saudi-Arabien Zypern Marokko Ägypten Libyen Äthiopien Dschibuti Uganda Ruanda Bosnien und Herzegowina Nordmazedonien Serbien Montenegro Trinidad und Tobago Südsudan 3 avisos del BSI en el periodo afectan a vulnerabilidades que, según la CISA, también explotan actores de Rusia. Esto no demuestra un ataque contra Alemania. 3 avisos del BSI en el periodo afectan a vulnerabilidades que, según la CISA, también explotan actores de China. Esto no demuestra un ataque contra Alemania. 12 avisos del BSI en el periodo afectan a vulnerabilidades que, según la CISA, también explotan actores de Corea del Norte. Esto no demuestra un ataque contra Alemania. Rusia: 8 avisos de la CISA en los últimos tres años 8 Rusia China: 6 avisos de la CISA en los últimos tres años 6 China Irán: 4 avisos de la CISA en los últimos tres años 4 Irán Corea del Norte: 1 aviso de la CISA en los últimos tres años 1 Corea del Norte

Número en el círculo: avisos de la CISA de los últimos tres años que nombran a actores del país Flecha: una vulnerabilidad de estos avisos aparece también en un aviso del BSI del periodo, así que afecta a software habitual aquí

Sin atribución a un país: grupos criminales y ransomware

29 de los 48 avisos de la CISA de los últimos tres años no nombran ningún país, 13 de ellos se refieren a grupos de ransomware. Estos grupos actúan por dinero, a menudo más allá de las fronteras, y rara vez pueden vincularse a un Estado. Para las empresas en Alemania son el peligro más frecuente: según el BSI, el ransomware es la mayor amenaza para las empresas.

En el periodo, 17 avisos del BSI contienen una de estas vulnerabilidades:

Los avisos de la CISA

Fuente: avisos de ciberseguridad de la CISA (origen según el título del aviso); servicio de alertas e información del BSI. Base cartográfica: Natural Earth. La atribución a un país es una afirmación de la CISA, no una prueba de un ataque contra Alemania.

Periodo: Los círculos no siguen la selección de arriba: cuentan los avisos de la CISA de los últimos tres años, porque la CISA solo señala atacantes estatales unas pocas veces al año. En cambio, los avisos del BSI que aparecen al hacer clic en un país sí siguen el periodo de arriba.

La situación este año

Este año el BSI ha advertido 804 veces sobre software que se usa a diario en las empresas.

La situación oficial de alertas, adaptada a sus puestos de oficina. La consulto dos veces al día en la Oficina Federal alemana de Seguridad de la Información y aquí muestro solo lo que funciona en ordenadores de oficina normales y en casi cualquier empresa. Cada línea lleva al aviso original del BSI. El mapa de situación de arriba cuenta todas las áreas de la empresa; por eso su cifra es mayor.

57

crítico

442

alto

273

medio

657

nuevos

Nuevos significa: el BSI ha publicado estas alertas por primera vez en el periodo. Todas las demás son actualizaciones de alertas anteriores, por ejemplo porque el fabricante ha publicado una corrección posterior o porque hay más versiones afectadas. Los tres niveles de gravedad cuentan juntas las alertas nuevas y las actualizadas.

Lo afectado es lo que funciona en su empresa

Fuente: BSI, servicio de avisos e información (CERT-Bund). Situación a 30.10.2026, 08:43.

Periodo: este año, del 01.01.2026 hasta hoy, según lo elegido arriba.

Los avisos proceden de fuentes en alemán y se muestran en su versión original.

Y esto ya se está atacando

Una vulnerabilidad es una cosa. Estas se están explotando de forma comprobada: la agencia de ciberseguridad de EE. UU. mantiene un catálogo público y sus propios organismos deben actuar en un plazo.

  • explotada Cisco Secure Firewall ASA Software and Cisco Secure FTD Software

    Así se explota: Entradas manipuladas hacen que el software haga algo que no debe. Los detalles están en la descripción enlazada. Estos equipos están en la frontera con Internet. Los atacantes los encuentran mediante búsquedas automáticas, sin que su personal haga nada.

  • explotada Broadcom VMware ESX

    Así se explota: Entradas manipuladas hacen que el software haga algo que no debe. Los detalles están en la descripción enlazada. Si un servidor está solo dentro de la empresa, suele ser el segundo paso: quien ya está en la red, por ejemplo tras un correo de phishing, salta desde aquí a los datos y las copias de seguridad. Sin embargo, los servidores de correo y de archivos como Exchange, SharePoint Server o Nextcloud suelen estar conectados directamente a Internet y entonces están tan expuestos como un sitio web.

  • explotada Adobe Commerce and Magento

    Así se explota: Subida sin control: los atacantes suben un archivo con código malicioso y después lo ejecutan. La aplicación es accesible desde Internet y se rastrea de forma automática las 24 horas.

  • explotada Google Brotli

    Así se explota: Error de memoria: datos manipulados (una página web, un archivo o un paquete de red) hacen que el programa ejecute código inyectado.

  • explotada Fortinet Multiple Products

    Así se explota: Salida del directorio: con rutas de archivo manipuladas, los atacantes acceden a archivos fuera de la zona permitida, como la configuración o las credenciales. Estos equipos están en la frontera con Internet. Los atacantes los encuentran mediante búsquedas automáticas, sin que su personal haga nada.

  • explotada Atlassian Multiple Products

    Así se explota: Entradas manipuladas hacen que el software haga algo que no debe. Los detalles están en la descripción enlazada. Quien entra aquí puede colar código malicioso en el software propio y entregarlo así a los clientes.

Fuente: CISA, catálogo de vulnerabilidades explotadas conocidas. Los enlaces llevan a la descripción de la brecha en la base de datos de vulnerabilidades de EE. UU. (en inglés); la explicación de arriba es mi clasificación del tipo de fallo que allí se indica.

Periodo: este año, del 01.01.2026 hasta hoy, según lo elegido arriba. Se muestran las seis entradas más recientes de este periodo.

Esta lista no responde a una pregunta: si su contable aprobará mañana la factura falsa. Las actualizaciones cierran brechas en el software. La brecha de la que trata mi formación está entre una petición creíble y un clic, y ningún parche la cierra.

Por ataques

¿Y qué llega realmente?

Los avisos dicen dónde están los fallos. En mi propio servidor veo con qué frecuencia alguien intenta explotarlos: intentos de ataque por día y hora, qué se intentó, de dónde vienen los equipos y qué tiene que ver con el fallo de PHP PHP2Shell.

A la vista por ataques →

El atacante ya no necesita conocerle. De eso se encarga la IA.

Durante años, un idioma mal escrito fue la señal más fiable de un correo fraudulento. Esa señal ha desaparecido. Qué más ha cambiado y por qué su cortafuegos no puede responder a la pregunta decisiva.

Antes

Los ataques llevaban tiempo

Quien quería atacar a una empresa de forma dirigida tenía que investigar, redactar textos y copiar páginas. Solo compensaba con objetivos grandes; las pequeñas empresas pasaban desapercibidas.

Hoy

Los ataques casi no cuestan nada

La investigación, la redacción y la copia están automatizadas. El mismo esfuerzo que antes requería un objetivo cubre ahora mil, y así alcanza también al taller con doce empleados.

La consecuencia

«Demasiado pequeño y desconocido» ya no protege

Suponer que uno no interesa a los atacantes siempre fue arriesgado. Ahora es sencillamente falso, porque ya no hay una selección de objetivos que le proteja.

Qué ha cambiado en concreto

Cuatro cambios que apuntan en la misma dirección: los ataques son más creíbles, más personales y más frecuentes.

01

El idioma ya no delata nada

Faltas de ortografía, gramática torpe, saludos extraños: esas eran las señales que todos aprendimos a detectar. Hoy un modelo de lenguaje escribe sin errores, en el tono de su sector, con los términos técnicos correctos y el tratamiento adecuado.

02

El ataque conoce su contexto

Aviso legal, LinkedIn, registro mercantil, notas de prensa, ofertas de empleo: la información pública basta para saber quién aprueba las facturas en su empresa, quién acaba de llegar y qué proyecto está en marcha. Esta investigación ya no la hace ninguna persona.

03

La voz y la cara ya no son una prueba

Bastan unos segundos de audio para una copia de voz convincente, y cualquier vídeo de la web de la empresa aporta el material. El caso más conocido: un empleado de un gran grupo transfirió unos 25 millones de dólares tras una videoconferencia en la que todos los participantes, salvo él, eran falsos.

04

Los ataques avanzan por pasos, no en un único correo

Primero un contacto inofensivo, luego una referencia a la respuesta y después la verdadera petición. Antes, estas secuencias de varios pasos necesitaban a una persona constante. Hoy siguen de forma automática, incluso durante semanas.

El punto ciego

La tecnología no puede decidir si una petición es legítima.

Los filtros de spam reconocen patrones: remitentes conocidos, adjuntos sospechosos, dominios denunciados. Un correo sin errores, enviado desde un dominio discreto y recién registrado, que hace referencia a un proceso real de su empresa y pide una acción plausible, no contiene ni una sola característica técnica con la que un filtro pueda detenerlo.

Ningún producto responde a la pregunta «¿Está bien que apruebe este pago ahora?». La responde una persona, con prisas y entre otros cuarenta correos.

Por eso la concienciación no es un complemento de la tecnología, sino la capa que empieza justo donde la tecnología se detiene por naturaleza.

Lo que la tecnología hace de forma fiable

  • Interceptar el malware conocido
  • Bloquear remitentes y dominios denunciados
  • Aislar los adjuntos sospechosos
  • Registrar los accesos y mantener copias de seguridad

Lo que no puede hacer

  • Juzgar si una petición es plausible en su contexto
  • Reconocer que la voz familiar al teléfono es sintética
  • Impedir que alguien introduzca su contraseña voluntariamente
  • Sustituir una rápida devolución de llamada en caso de duda
Pruébelo usted mismo

¿Cuántas vulnerabilidades ve en una oficina?

Antes de hablar de formación, ayuda sentir el problema en lugar de que se lo expliquen. En «Operation ORION» recorre una oficina normal y busca los puntos que aprovecharía un atacante: la nota adhesiva en el monitor, el buzón abierto, el USB de la feria. En cinco minutos se ve claro lo que no se puede resolver con tecnología y por qué merece la pena entrenarse justo para eso. Ahí entra una formación de concienciación.

Gratis · aprox. 5 minutos · sin cuenta

Operation ORION, el juego de la oficina

Póngase en el papel de un investigador y descubra las brechas de seguridad de un puesto de trabajo. Una introducción lúdica sin conocimientos previos, ideal también para compartir con compañeros.

Empezar el juego →
Identidad

El verdadero objetivo rara vez es el ordenador

Quien tiene credenciales no necesita malware. Un buzón secuestrado lo lee todo, conoce sus procesos, responde en conversaciones en curso y solicita más accesos en su nombre. Para compañeros y clientes parece usted, porque técnicamente lo es.

Por eso la protección de la propia identidad está en el centro de mi formación: contraseñas, autenticación de dos factores, cómo tratar las solicitudes de confirmación y qué hacer si, aun así, ocurre.

Resiliencia

La resiliencia se puede medir; si no, es solo una afirmación.

«Nuestra gente está concienciada» es una suposición. Una cifra de cuántos hacen clic de verdad en una situación realista es una base.

Para la economía alemana, ser resiliente es hoy una necesidad estratégica: con Cybernation Deutschland, el BSI persigue justo este objetivo, la resiliencia como estado normal y no como proyecto tras un incidente. Para cada empresa significa: conocer su situación, mejorarla y volver a medirla.

Medir su propia vulnerabilidad

Gratis, tres ataques simulados, evaluación anonimizada.

Obligaciones

Y sí, también es obligatorio.

Dos leyes, una consecuencia: formar y demostrarlo. Muchas empresas solo asocian la obligación de formar con NIS2 y creen que no les afecta. Pero el RGPD se aplica a todo el que trata datos personales.

NIS2

Determinados sectores a partir de cierto tamaño

La directiva obliga a los órganos de dirección de las entidades afectadas a participar en formaciones y a ofrecer formación periódica a todos los empleados. La dirección está expresamente señalada.

Afecta por lo general a empresas a partir de 50 empleados o 10 millones de € de facturación en los sectores de energía, transporte, sanidad, agua, infraestructura digital, servicios de TI, correos, residuos, química, alimentación e ingeniería mecánica.

RGPD

Prácticamente todas las empresas

El artículo 32 exige «medidas técnicas y organizativas apropiadas». La formación y la concienciación del personal son medidas organizativas; el artículo 39 las menciona expresamente.

Quien trata datos de clientes, candidaturas o expedientes de personal está afectado. Es decir, todas las empresas.

Lo que debe poder demostrarse

  • Que se ha formado
  • Quién ha participado
  • Cuándo tuvo lugar
  • Que se repite

Lo que no está documentado se considera, en caso de duda, como no ocurrido. Conmigo, los cuatro justificantes se generan automáticamente como subproducto de la formación.

Cargando …

Configurado en una hora, formado en una semana.

Cree una cuenta gratuita, registre a su equipo y active el curso. Solo paga al empezar. ¿Prefiere ver primero cómo es un correo de prueba? La autoprueba es gratuita.

Registrar a su equipo Pruébelo usted primero