Índice de contenidos
Claves de la noticia
- El informe de defensa digital de Microsoft de 2026 sitúa el phishing en el 23 % y la explotación de aplicaciones públicas en el 24 % de los accesos iniciales de una muestra de respuesta a incidentes.
- La suma de ambos vectores pasa del 22 % al 47 % entre los dos períodos comparados: aumenta 25 puntos porcentuales, sin demostrar que se haya duplicado el número de ataques.
- El documento cifra en 5,3 horas la mediana hasta el primer intento de explotación de contenedores expuestos; la portada web presenta ese dato como una media.
Microsoft ha publicado este 1 de octubre su informe anual de defensa digital. Su lectura ofrece una advertencia práctica: las organizaciones necesitan proteger tanto los servicios accesibles desde internet como las decisiones que permiten robar una cuenta. Pero también exige cuidado con los porcentajes: el documento reúne observaciones de distintos equipos, períodos y productos, que no forman una única estadística universal del cibercrimen.
Dos vías de entrada ganan 25 puntos
La página 33 del PDF oficial de 103 páginas compara los vectores iniciales identificados en investigaciones de respuesta a incidentes. El período de 2025 abarca de julio de 2024 a junio de 2025; el de 2026, de julio de 2025 a junio de 2026. Por tanto, las columnas describen ejercicios de observación y no solo los nueve meses transcurridos de este año natural.
| Vector | 2025 | 2026 | Cambio |
|---|---|---|---|
| Aplicación pública explotada | 15 % | 24 % | +9 puntos |
| Phishing | 7 % | 23 % | +16 puntos |
| Cuentas válidas | 17 % | 13 % | −4 puntos |
| Entrada sin identificar | 25 % | 14 % | −11 puntos |
Un cálculo propio sobre esas dos filas muestra que phishing y explotación de aplicaciones públicas suman el 47 %, frente al 22 % anterior. La diferencia es de 25 puntos porcentuales y la proporción conjunta equivale aproximadamente a 2,14 veces la de la columna de 2025. El cálculo suma categorías de la misma tabla; no mezcla detecciones de correo con incidentes investigados.
Ese salto tampoco significa que el número absoluto de ataques se multiplicase por 2,14. Para afirmarlo harían falta los tamaños de las muestras y condiciones comparables de selección. Además, las entradas sin identificar retroceden 11 puntos: una mayor capacidad para clasificar incidentes puede influir en la distribución. El documento permite establecer el cambio de peso observado, pero esta tabla no aísla cuánto responde a más actividad, mejor identificación o diferencias entre los casos atendidos.
La consecuencia para quien administra una empresa es concreta: revisar únicamente contraseñas dejaría fuera el vector que representa el 24 % de esta muestra; centrarse solo en parches tampoco cubriría el 23 % asociado al phishing. El antecedente de los ataques contra PeopleSoft que sortearon filtros WAF ayuda a entender por qué un servicio publicado requiere comprobar su exposición real, además de sus protecciones perimetrales.
Los porcentajes de identidad pertenecen a otra muestra
La explicación de Microsoft Security Insider cita otra distribución: ejecución por parte del usuario en el 30 % de los accesos iniciales observados y cuentas válidas en el 20 %. La atribuye a Microsoft Defender Experts. En cambio, la tabla del PDF recoge un 13 % de cuentas válidas y acredita Microsoft Threat Intelligence.
No hay base para presentar el 13 % y el 20 % como cifras intercambiables ni para sumarlas. Cambian la procedencia y la clasificación: ejecutar una instrucción maliciosa no es una categoría idéntica a phishing, aunque ambos fenómenos puedan relacionarse en una cadena de ataque. La comparación deja una regla útil al consultar el informe: cada porcentaje necesita conservar su muestra y su denominador. La coincidencia temática no autoriza a construir una estadística nueva.
También conviene distinguir entrada inicial y acciones posteriores. Una cuenta comprometida puede servir para descargar datos, modificar permisos o acceder a otros sistemas. Eso no transforma cada acción en una nueva puerta de entrada. La intrusión de LuaRocks y su petición de renovar credenciales ilustra por qué una respuesta debe abarcar los secretos afectados, además del archivo o servicio donde se detectó el problema.
5,3 horas: mediana, contenedores e intentos
Hay otra diferencia relevante entre el documento y su presentación web. La página pública del informe describe 5,3 horas como tiempo medio antes de que se ataquen cargas de trabajo expuestas en la nube. El PDF, en su página 60, especifica una mediana desde el arranque de un contenedor expuesto hasta el primer intento de explotación.
La mediana divide una distribución ordenada en dos mitades; la media suma todos los tiempos y los divide por el número de observaciones. Unos pocos casos muy tardíos pueden alterar la segunda sin mover igual la primera. Por eso mantenemos la formulación del documento: no extendemos el dato a toda la nube, ni convertimos un intento en una intrusión exitosa.
Las 5,3 horas equivalen a cinco horas y dieciocho minutos. Como traducción operativa, sugieren que una revisión al terminar la jornada puede llegar demasiado tarde para detectar la primera presión contra un contenedor expuesto. Es una comparación de tiempos, no un plazo garantizado para cualquier despliegue. La muestra tampoco permite concluir que un servidor concreto vaya a caer después de ese intervalo.
La prioridad sigue siendo reducir la exposición
La página 34 aporta un contrapunto a la atención dedicada a la IA: CVE-2020-1472 concentra el 58 % de las detecciones dentro del grupo de las cinco vulnerabilidades más explotadas que presenta Microsoft. El denominador es ese grupo, no todos los ataques ni todas las vulnerabilidades. Un fallo divulgado en 2020 conserva, por tanto, un peso importante en esa selección seis años después.
La conclusión del conjunto es más útil que un ranking aislado: la aceleración de los atacantes no elimina las debilidades antiguas. Para los equipos que despliegan contenedores y aplicaciones, el informe respalda comprobar credenciales, servicios accesibles y versiones antes de exponerlos, y mantener vigilancia después. Automatizar el análisis puede ayudar; conservar una aplicación vulnerable o un acceso excesivo sigue ofreciendo una oportunidad, con independencia de que el atacante use IA.
Imagen: ilustración generada para representar la supervisión de infraestructura informática; no documenta un incidente real.
