Hackers explotan vulnerabilidades en 24 horas: el informe de CrowdStrike 2026 documenta la nueva velocidad del cibercrimen

La ventana entre que una vulnerabilidad se hace pública y el primer ataque real en el mundo casi ha desaparecido. El Informe de Amenazas 2026 de CrowdStrike, que cubre la primera mitad del año, encontró que el 88 por ciento de los CVE con exploits de prueba de concepto publicados fueron utilizados en ataques activos dentro de las 48 horas. Los grupos vinculados a China, incluidos VAULT PANDA y GENESIS PANDA, han alcanzado un tiempo de respuesta de 24 horas en vulnerabilidades críticas de aplicaciones web, más rápido de lo que la mayoría de los equipos de TI corporativos pueden evaluar, y mucho menos parchear.

La vulnerabilidad React2Shell, descubierta a principios de este año, generó 800 pistas de investigación y confirmó brechas en más de 80 organizaciones víctimas dentro de los cuatro días posteriores a la divulgación. Un grupo separado vinculado a China, UMBRAL BISON, comenzó la explotación de CVE-2026-31431 dentro de las 20 horas; el 94 por ciento de los eventos de ataque relacionados se registraron durante el primer día. Estos no son casos aislados: representan lo que se ha convertido en el ritmo operativo estándar para el hacking patrocinado por el estado.

La inteligencia artificial está acelerando esto aún más, aunque todavía no en el sentido de la ciencia ficción. El cambio de amenaza más medible relacionado con la IA está en ambos lados de la cadena de ataque: las detecciones de seguridad activadas por agentes de IA ahora producen 2.5 veces más pistas de amenazas que la actividad impulsada manualmente, pero la misma automatización se está volviendo contra las organizaciones. En una campaña documentada de LLMJacking — donde los atacantes roban credenciales de API de IA y las explotan para obtener ganancias — una sola operación generó 200,000 solicitudes de API en dos minutos, escalando el robo de cómputo a un ritmo imposible sin automatización.

El grupo norcoreano STARDUST CHOLLIMA pasó del espionaje a las cadenas de suministro de software en junio: 131 paquetes en el framework de desarrollo de IA Mastra, ampliamente utilizado por desarrolladores que crean aplicaciones impulsadas por IA, fueron inyectados con una dependencia npm maliciosa. La campaña refleja una apuesta calculada de que las herramientas de IA — con su rápida adopción y su revisión de seguridad a menudo escasa — ofrecen una superficie de envenenamiento de alto rendimiento. Un grupo separado, ALTERED SPIDER, comprometió más de 300 dependencias de software en un solo día.

La ingeniería social sigue el mismo ritmo. El vishing — donde los atacantes se hacen pasar por soporte de TI o ejecutivos por teléfono — se duplicó en el primer semestre de 2026 en comparación con los seis meses anteriores. El grupo que CrowdStrike rastrea como SNARKY SPIDER pasó de la toma de cuentas al robo confirmado de datos en menos de cinco minutos en incidentes documentados. Los intentos mensuales de phishing con código de dispositivo se han multiplicado por 15 en los últimos seis meses, una técnica que explota los flujos de OAuth utilizados para autenticar aplicaciones en Smart TVs y dispositivos con entrada limitada.

La implicación práctica para cualquiera que use software — no solo para los profesionales de seguridad — es que la ventana de parcheo efectiva ahora se mide en horas. Los equipos de seguridad empresarial que dependían de los ciclos tradicionales de gestión de vulnerabilidades de 30 días están corriendo una carrera que ya han perdido. El cibercrimen basado en la nube aumentó un 171 por ciento interanual, una cifra que CrowdStrike atribuye en parte a la disponibilidad de herramientas de IA genéricas que reducen la barrera para los actores criminales que carecen de experiencia técnica profunda.

CrowdStrike ahora rastrea 290 grupos adversarios nombrados, un aumento sustancial con respecto a años anteriores. El informe señala que la identificación de actores de amenazas se ha convertido en un cuello de botella: la velocidad de las campañas modernas a menudo supera el trabajo de atribución necesario para entender contra qué te estás defendiendo. Las cifras del informe de 2026 no describen una amenaza futura — describen lo que ya se está midiendo, todos los días, en miles de organizaciones.

Etiquetas: ciberseguridad, cadena de suministro, seguridad IA, CrowdStrike, corea del norte, LLMJacking