WatchGuard alerta de ataques de malware más selectivos impulsados por IA

WatchGuard ha publicado su Global Threat Report correspondiente al primer semestre de 2026, que identifica un cambio en las tácticas de los ciberdelincuentes. El informe señala una caída del 79 % en el volumen de ataques de red, frente a un incremento superior al 2.000 % del malware nuevo detectado en endpoints y una mayor utilización de técnicas de evasión y accesos basados en credenciales.

WatchGuard Technologies ha presentado las conclusiones de su Global Threat Report del primer semestre de 2026, elaborado a partir de inteligencia de amenazas anonimizada y agregada procedente de sus productos de seguridad de red y endpoint.

El informe identifica una evolución desde campañas de malware de gran volumen hacia ataques más específicos, sondeos de baja intensidad y accesos basados en credenciales. Según WatchGuard, los actores de amenazas están recurriendo a automatización, 'Malware-as-a-Service' y herramientas asistidas por inteligencia artificial para generar cargas maliciosas adaptadas a víctimas concretas y tratar de eludir los controles de seguridad tradicionales.

Mientras el volumen total de ataques de red descendió un 79 %, el malware nuevo detectado en endpoints aumentó más de un 2.000 % interanual. Además, casi el 96 % de las amenazas para endpoints identificadas durante el periodo apareció exactamente en un único equipo.

“Los atacantes no son menos peligrosos porque haya disminuido el número de alertas. Están utilizando todas las herramientas a su alcance para ser más selectivos y precisos”, explica Corey Nachreiner, CISO de WatchGuard. “Los últimos datos muestran un cambio desde cargas maliciosas reutilizables y escaneos masivos hacia un malware adaptado a sistemas individuales, sondeos amplios, sostenidos y de baja intensidad, y accesos basados en credenciales capaces de sortear las defensas perimetrales”.

Aunque la actividad de los ataques de red disminuyó, el informe señala un aumento en la diversidad de las técnicas utilizadas. El número de firmas IPS únicas creció y los diez ataques principales representaron una proporción menor de la actividad total. Una firma genérica de web shell se convirtió en el ataque de red más extendido, con presencia en el 75 % de los equipos en Bélgica y cerca del 60 % en Italia y Estados Unidos.

Los atacantes también continúan aprovechando vulnerabilidades antiguas. La vulnerabilidad mediana asociada a las 50 principales firmas de ataques de red se publicó en 2014, mientras que 31 de las 44 firmas con referencia CVE se corresponden con fallos de al menos diez años de antigüedad. Las inyecciones SQL representaron por sí solas más del 17 % de las detecciones de ataques de red.

El cifrado continúa siendo una de las principales vías de distribución de malware. El 95 % del malware llegó a través de tráfico TLS, pero únicamente el 20 % de los dispositivos desplegados inspecciona este tráfico cifrado. Por otra parte, el malware evasivo representó casi un tercio de las detecciones totales y el 36 % de las amenazas identificadas mediante inspección TLS en dispositivos que utilizan defensas avanzadas contra malware.

El ransomware también mantiene una actividad relevante. Las detecciones en endpoints descendieron más de un 68 % interanual, mientras que la actividad pública de extorsión alcanzó niveles récord. Durante el primer semestre de 2026, WatchGuard identificó 41 nuevos grupos de ransomware y los ocho principales concentraron más de la mitad de las cerca de 5.000 reivindicaciones públicas de extorsión.

Ante esta evolución, la compañía señala la necesidad de combinar prevención de intrusiones, protección avanzada de endpoints, seguridad de identidad y monitorización continua. La compañía también recomienda priorizar la corrección de vulnerabilidades antiguas y la sustitución de dispositivos perimetrales sin soporte, además de aplicar autenticación multifactor (MFA) y controles de acceso basados en Zero Trust.