Los 10 incidentes de ciberseguridad más graves en España

Los 10 incidentes de ciberseguridad más importantes en España: ataques a hospitales, administraciones públicas, empresas críticas. Qué pasó, cómo se resolvió y qué lecciones dejó cada caso.

¿Por qué España es un objetivo frecuente de ciberataques?

España ocupa posiciones destacadas en los rankings europeos de incidentes de ciberseguridad. Según el Balance de Ciberseguridad de INCIBE, en 2023 se gestionaron más de 83.000 incidentes, un 24% más que el año anterior, y la tendencia se ha mantenido al alza en 2024 con más de 97.000 incidentes gestionados. El CCN-CERT reportó cifras similares en el ámbito de la Administración Pública: su Informe de Ciberamenazas y Tendencias (IA-13/24) documenta más de 100.000 notificaciones procesadas y califica el nivel de ciberamenaza contra España como “muy alto”, con especial foco en ransomware dirigido y ciberespionaje patrocinado por estados.

Varios factores explican esta exposición. El tejido empresarial español está formado mayoritariamente por pymes con presupuestos limitados en seguridad. La digitalización acelerada tras la pandemia amplió la superficie de ataque. Y la dependencia de infraestructura legacy en administraciones públicas crea brechas que los atacantes explotan de forma sistemática.

Lo que sigue es un análisis detallado de los 10 incidentes más graves que han sacudido al país. No es un ranking arbitrario: cada caso se seleccionó por su impacto real en ciudadanos, por la dimensión de la organización afectada o por las lecciones que dejó para el sector.

1. Everis: el ataque de Ryuk que paralizó una consultora global (noviembre 2019)

¿Qué pasó?

El 4 de noviembre de 2019, Everis (ahora NTT Data) sufrió un ataque de ransomware que obligó a desconectar todos sus sistemas internos. Los empleados recibieron instrucciones por megafonía de apagar los equipos inmediatamente. El ransomware identificado fue una variante de Ryuk, desplegada tras un acceso inicial que los analistas vincularon a la cadena Emotet/TrickBot.

Timeline y alcance

• Dia 0 (4 nov): Detección del cifrado masivo. Desconexión total de la red corporativa.
• Dia 1-3: Evaluación del daño. Miles de equipos afectados en oficinas de España y otros países.
• Semana 1-2: Restauración progresiva desde backups. Algunos proyectos con clientes paralizados.
• Semana 3-4: Vuelta gradual a la normalidad operativa.

El ataque afecto a más de 15.000 empleados en España. Coincidió en el tiempo con un ataque similar a la Cadena SER (Grupo PRISA), lo que sugirió una campaña coordinada contra empresas españolas.

Impacto

• Paralización total de operaciones durante varios días
• Proyectos de clientes retrasados, con impacto contractual
• Coste estimado superior a los 15 millones de euros (entre remediación, pérdida de productividad y daño reputacional)
• La nota de rescate exigía entre 750.000 y 1.500.000 euros en Bitcoin

Lecciones

El caso Everis demostró que las grandes consultoras tecnológicas no son inmunes. La cadena de ataque Emotet a TrickBot a Ryuk era conocida, pero la segmentación de red insuficiente permitio la propagación lateral. Desde entonces, Everis (NTT Data) reforzó su arquitectura de segmentación, implemento EDR avanzado y reviso sus procedimientos de respuesta.

2. Prosegur: Ryuk golpea al sector de la seguridad física (noviembre 2019)

¿Qué pasó?

Apenas tres semanas después del ataque a Everis, el 27 de noviembre de 2019, Prosegur confirmó un incidente de ransomware que afecto a sus comunicaciones y sistemas internos. La ironia no pasó desapercibida: una de las mayores empresas de seguridad del mundo era víctima de un ciberataque.

Timeline y alcance

• Dia 0 (27 nov): Detección y aislamiento de sistemas. Comunicado público inmediato.
• Dia 1-5: Servicios de transporte de fondos y vigilancia operando con protocolos manuales de contingencia.
• Semana 2: Restauración progresiva de los sistemas de telecomunicaciones.

El ransomware fue nuevamente Ryuk. Los atacantes accedieron mediante credenciales comprometidas y se movieron lateralmente hasta alcanzar los controladores de dominio.

Impacto

• Afecto operaciones en España, Portugal y otros mercados
• Sistemas de comunicación internos caidos durante días
• Impacto en servicios de transporte de valores y CIT (Cash-in-Transit)
• Coste de remediación superior a 5 millones de euros

Lecciones

Prosegur reacciono con transparencia, algo poco habitual en 2019. La empresa público comunicados en redes sociales desde el primer momento. El incidente impulso una revisión profunda de la separación entre redes IT y OT, y la implementación de MFA en todos los accesos privilegiados.

3. Adeslas/SegurCaixa: el ataque que colapso la sanidad privada (septiembre 2020)

¿Qué pasó?

En septiembre de 2020, SegurCaixa Adeslas, la mayor aseguradora de salud privada de España, sufrió un ataque de ransomware que afecto a sus sistemas durante semanas. Los asegurados no podian acceder a sus citas, autorizaciones médicas ni pólizas online.

Timeline y alcance

• Septiembre 2020: Inicio del ataque. Los sistemas de gestión de polizas, autorizaciones y la web de clientes caen.
• Octubre 2020: Continuan los problemas. Medicos y clínicas procesan autorizaciones de forma manual, por teléfono y fax.
• Noviembre 2020: Restauración parcial. Algunos servicios online vuelven tras casi dos meses de interrupción.

El ransomware utilizado fue una variante no confirmada publicamente, aunque fuentes del sector apuntaron a Zeppelin o una variante relacionada.

Impacto

• Más de 5 millones de asegurados afectados
• Colapso del sistema de autorizaciones médicas durante casi 2 meses
• Hospitales y clínicas privadas operando sin sistema informático de la aseguradora
• Coste estimado superior a 20 millones de euros (remediación más pérdida operativa)
• Dano reputacional significativo en un momento crítico (pandemia COVID-19)

Lecciones

El caso Adeslas mostró cómo un ataque a una aseguradora impacta en cadena a todo el ecosistema sanitario. Las clínicas dependian de los sistemas de Adeslas para autorizar pruebas y tratamientos. La falta de un plan de continuidad de negocio robusto convirtio una crisis IT en una crisis asistencial.

4. SEPE: ransomware contra el servicio público de empleo (marzo 2021)

¿Qué pasó?

El 9 de marzo de 2021, el Servicio Público de Empleo Estatal (SEPE) sufrió un ataque de ransomware que paralizó completamente sus sistemas. La amenaza fue especialmente grave porque ocurrió en plena crisis de desempleo por la pandemia, cuando millones de españoles dependian de prestaciones y ERTEs.

Timeline y alcance

• 9 marzo: Detección del ransomware. Todas las oficinas del SEPE cierran sus sistemas.
• 10-15 marzo: Tramitaciones paralizadas. 710 oficinas presenciales y 52 telemáticas inoperativas.
• Semana 2-3: Restauración progresiva. Los funcionarios procesan gestiones con papel y Excel.
• Abril 2021: Vuelta a la normalidad operativa, aunque con retrasos acumulados.

El ransomware fue Ryuk (de nuevo). La infraestructura del SEPE corria sobre sistemas legacy con más de 30 años de antiguedad en algunos componentes.

Impacto

• 710 oficinas presenciales paralizadas
• Retrasos en el pago de prestaciones y subsidios a millones de personas
• Saturación de las líneas telefónicas de atención al ciudadano
• Coste de remediación y modernización posterior estimado en más de 150 millones de euros
• Exposición pública de las carencias tecnológicas de la Administración

Lecciones

El SEPE se convirtió en el caso emblematico de la deuda tecnológica del sector público español. Sistemas de más de tres decadas, sin parchear, sin segmentación, sin backups offline verificados. El Gobierno anunció tras el incidente un plan de modernización tecnológica del SEPE con una inversión de más de 150 millones de euros. El CCN-CERT publicó guías específicas para la Administración tras este caso.

5. Ministerio de Trabajo y Economía Social: segundo golpe en tres meses (junio 2021)

¿Qué pasó?

El 9 de junio de 2021, apenas tres meses después del ataque al SEPE, el Ministerio de Trabajo y Economía Social confirmó un nuevo ataque de ransomware. Aunque el SEPE es un organismo autónomo adscrito al Ministerio, las infraestructuras afectadas fueron diferentes.

Timeline y alcance

• 9 junio: El Ministerio confirma el ataque y activa el protocolo de desconexión.
• Dia 1-5: Sistemas internos afectados. La web del Ministerio queda inaccesible temporalmente.
• Semana 2: Restauración parcial con apoyo del CCN-CERT.
• Julio 2021: Vuelta a la operación normal.

Impacto

• Web del Ministerio inaccesible
• Sistemas internos de gestión afectados
• Impacto menor que el del SEPE, pero genero alarma por la reincidencia
• Cuestionó públicamente la eficacia de las medidas adoptadas tras el ataque al SEPE

Lecciones

Dos ataques en tres meses al mismo ámbito ministerial evidenciaron un problema estructural. No bastaba con restaurar sistemas: había que cambiar la arquitectura de red, implementar detección temprana y establecer mecanismos de respuesta coordinados. El incidente aceleró la creación del Centro de Operaciones de Ciberseguridad de la AGE (Administración General del Estado).

6. Iberdrola: filtración masiva de datos de clientes (marzo 2022)

¿Qué pasó?

En marzo de 2022, Iberdrola confirmó una brecha de seguridad que expuso datos personales de aproximadamente 1,3 millones de clientes. Los atacantes accedieron a un sistema que contenía nombres, DNI y datos de contacto (no datos financieros).

Timeline y alcance

• Marzo 2022: Detección del acceso no autorizado a una base de datos de clientes.
• Notificación inmediata: Iberdrola comunicó el incidente a la Agencia Española de Protección de Datos (AEPD) y a los clientes afectados.
• Abril 2022: La empresa confirmó que no se habían comprometido datos bancarios ni contraseñas.

Impacto

• 1,3 millones de registros de clientes expuestos
• Datos personales (nombre, DNI, teléfono, correo) accesibles
• Riesgo de phishing dirigido y suplantación de identidad para los afectados
• Investigación de la AEPD
• Dano reputacional para una empresa del IBEX 35

Lecciones

El caso Iberdrola demostró que incluso cuando no se comprometen datos financieros, una brecha de datos personales tiene consecuencias graves. Los datos expuestos son oro para campañas de phishing y vishing (llamadas fraudulentas). La notificación rápida fue un punto positivo, pero la brecha reveló deficiencias en la segmentación del acceso a bases de datos de clientes.

7. Telefónica: filtración de datos de empleados y clientes (2022)

¿Qué pasó?

En 2022, Telefónica sufrio una brecha de seguridad en la que atacantes accedieron a datos internos que posteriormente aparecieron en foros de venta de datos. La compañía confirmó el incidente y activó sus protocolos de respuesta.

Timeline y alcance

• 2022: Detección de la exfiltración de datos. Activación del equipo interno de respuesta (ElevenPaths/Telefónica Tech).
• Notificación a afectados: Comunicación a empleados y clientes cuyos datos fueron comprometidos.
• Remediación: Revisión de accesos, cambio de credenciales y refuerzo de controles.

Impacto

• Datos de empleados y clientes expuestos en foros underground
• Riesgo de ingeniería social contra empleados (acceso a infraestructura crítica de telecomunicaciones)
• Impacto reputacional para el principal operador de telecomunicaciones de España
• La compañía no reveló cifras exactas de registros afectados

Lecciones

Cuando una telco sufre una brecha, el impacto potencial va más allá de los datos. Telefónica opera infraestructura crítica nacional. El incidente reforzó la necesidad de aplicar el principio de mínimo privilegio, revisar regularmente los accesos de terceros y mantener una monitorización continua de la dark web para detectar filtraciones tempranas.

8. Consejo General del Poder Judicial (CGPJ): ataque a la Justicia (noviembre 2022)

¿Qué pasó?

En noviembre de 2022, el Consejo General del Poder Judicial (CGPJ) sufrio un ciberataque que afecto al Punto Neutro Judicial (PNJ), el sistema que conecta a los juzgados con otras administraciones para intercambiar información (datos fiscales, Seguridad Social, registros).

Timeline y alcance

• Noviembre 2022: Detección de acceso no autorizado al sistema PNJ.
• Investigación: El CCN-CERT y la Policía Nacional investigan el origen.
• Contención: Restricción temporal de accesos al PNJ mientras se audita el sistema.

Impacto

• Acceso potencial a datos judiciales sensibles
• El PNJ maneja información de millones de procedimientos judiciales
• Riesgo de acceso a datos fiscales, penales y patrimoniales de ciudadanos
• Cuestiono la seguridad de los sistemas de la Administración de Justicia

Lecciones

El ataque al CGPJ puso de manifiesto la criticidad de los sistemas de intercambio de datos entre administraciones. El PNJ es un nodo central: si se compromete, el daño potencial es enorme. El caso impulso una auditoría integral de los sistemas judiciales y reforzó la importancia de la segmentación, la monitorización de accesos y los controles de autenticación robustos en entornos gubernamentales.

9. Ayuntamiento de Sevilla: LockBit paraliza una capital de provincia (septiembre 2023)

¿Qué pasó?

El 5 de septiembre de 2023, el Ayuntamiento de Sevilla sufrió un ataque de ransomware del grupo LockBit que paralizó todos los servicios digitales municipales. La cuarta ciudad más grande de España se quedo sin sistemas informáticos.

Timeline y alcance

• 5 septiembre: Detección del ataque. Todos los sistemas municipales se desconectan.
• Dia 1-7: Servicios municipales operando en modo manual. Sin tramitaciones electrónicas, sin citas previas online, sin registros electrónicos.
• Semana 2-4: Restauración progresiva con apoyo del CCN-CERT.
• Octubre-noviembre 2023: Recuperación gradual de servicios online.

El grupo LockBit reclamó la autoría y exigió un rescate de aproximadamente 1,5 millones de euros. El Ayuntamiento confirmó públicamente que no pagó.

Impacto

• Todos los servicios digitales del Ayuntamiento paralizados durante semanas
• 700.000 ciudadanos afectados
• Servicios de emergencias (bomberos, policía local) operando con protocolos manuales
• Coste de remediación estimado en más de 5 millones de euros
• LockBit publicó parte de los datos exfiltrados en su sitio de filtraciones

Lecciones

Sevilla se convirtió en el caso de referencia para los ayuntamientos españoles. Demostro que las administraciones locales son objetivos prioritarios porque combinan datos sensibles con infraestructura débil. El alcalde reconoció públicamente la falta de inversión en ciberseguridad. Tras el ataque, el Ayuntamiento aprobó un plan de ciberseguridad con una inversión de varios millones de euros.

10. Hospital Clinic de Barcelona: RansomHouse ataca la sanidad pública (marzo 2023)

¿Qué pasó?

El 5 de marzo de 2023, el Hospital Clinic de Barcelona sufrió un ataque de ransomware del grupo RansomHouse que obligó a cancelar miles de consultas, intervenciones quirúrgicas y sesiones de radioterapia. Fue el primer gran ataque a un hospital público español con impacto directo en la asistencia sanitaria.

Timeline y alcance

• 5 marzo: Detección del ataque. Los sistemas del hospital caen. Activación del protocolo de emergencia.
• Dia 1-3: 150 intervenciones quirúrgicas no urgentes canceladas. 3.000 consultas externas aplazadas. 300 análisis anulados. Derivación de urgencias a otros hospitales.
• Semana 1-2: Funcionamiento con papel. Los médicos acceden a historiales de memoria o en papel.
• Semana 3-4: Restauración progresiva de sistemas.
• Abril 2023: RansomHouse publica 4,5 TB de datos robados, incluyendo historiales clínicos.

Impacto

• Cancelación de miles de citas, operaciones y tratamientos
• 4,5 TB de datos clínicos exfiltrados y publicados (historiales, datos personales, informes médicos)
• Riesgo directo para la salud de pacientes (retrasos en radioterapia oncológica)
• Impacto emocional en pacientes cuyos datos médicos intimos fueron expuestos
• Coste de remediación y modernización posterior estimado en millones de euros
• Investigación de la Agencia Catalana de Protección de Datos

Lecciones

El Hospital Clinic fue un punto de inflexión para la ciberseguridad sanitaria en España. Demostro que un ataque a un hospital puede poner vidas en riesgo. Los sistemas legacy del hospital, la falta de segmentación entre redes clínicas y administrativas, y la ausencia de backups offline inmutables facilitaron el impacto. El caso impulsó la creación de programas específicos de ciberseguridad para el sector sanitario, promovidos por INCIBE y las comunidades autónomas.

Patrones comunes en los 10 incidentes

Tras analizar los 10 casos, emergen patrones que se repiten una y otra vez:

Vectores de ataque recurrentes

Deficiencias estructurales

1. Segmentación de red insuficiente. En prácticamente todos los casos, los atacantes se movieron lateralmente sin restricciones una vez dentro.
2. Backups sin verificar o sin aislamiento. Varios organismos descubrieron que sus backups estaban conectados a la misma red y fueron cifrados.
3. Sistemas legacy sin parchear. El SEPE, el Hospital Clinic y el CGPJ operaban sobre infraestructura con décadas de antigüedad.
4. Falta de planes de respuesta probados. La improvisación durante las primeras horas fue evidente en varios casos.
5. Dependencia de un único proveedor o sistema. El caso Adeslas mostró cómo la caida de un sistema central arrastra a todo un ecosistema.

¿Qué sectores han sido más atacados en España?

Según los datos acumulados de INCIBE y CCN-CERT entre 2019 y 2024:

• Administración Pública: SEPE, Ministerio de Trabajo, CGPJ, Ayuntamiento de Sevilla. Los organismos públicos son objetivo prioritario por la combinación de datos sensibles y presupuestos IT limitados.
• Sanidad: Hospital Clinic, Adeslas. El sector sanitario maneja datos extremadamente sensibles y opera con sistemas que no pueden detenerse.
• Telecomunicaciones y utilities: Telefónica, Iberdrola. Infraestructura crítica nacional con millones de registros de clientes.
• Servicios profesionales: Everis, Prosegur. Grandes empresas con acceso a datos de clientes corporativos.

Los informes anuales de INCIBE muestran que en 2023, los sectores más afectados por incidentes críticos fueron administraciones públicas (32%), sanidad (18%), energía y transporte (15%) y telecomunicaciones (12%).

¿Cuánto costaron estos incidentes a las organizaciones?

Los costes de un ciberataque grave van mucho más allá del rescate (que la mayoría de estas organizaciones no pago):

A estos costes directos hay que sumar:

• Perdida de productividad: Semanas sin sistemas operativos, con miles de empleados trabajando en modo manual.
• Costes legales y regulatorios: Investigaciones de la AEPD, posibles sanciones RGPD.
• Dano reputacional: Dificil de cuantificar, pero medible en pérdida de confianza ciudadana y de clientes.
• Coste de oportunidad: Proyectos de transformación digital aplazados para priorizar la remediación.

¿Qué medidas habrían prevenido estos incidentes?

Ninguna medida individual habría evitado todos los ataques, pero un conjunto de controles básicos habría reducido drásticamente el impacto:

1. Segmentación de red efectiva

La propagación lateral fue el factor común en los ataques de ransomware. Una segmentación adecuada (microsegmentación donde sea posible) habría contenido el daño al segmento inicial.

2. Backups offline e inmutables

Los backups deben seguir la regla 3-2-1-1: tres copias, en dos medios diferentes, una fuera del sitio y una offline/inmutable. Varios de estos incidentes se agravaron porque los backups estaban en la misma red.

3. Parcheo y gestión de vulnerabilidades

Los sistemas legacy del SEPE y el Hospital Clinic tenían vulnerabilidades conocidas sin parchear. Un programa de gestión de vulnerabilidades con priorización basada en riesgo habría cerrado las puertas de entrada.

4. MFA en todos los accesos privilegiados

El movimiento lateral en Everis y Prosegur se facilitó por credenciales comprometidas sin segundo factor. MFA no es opcional: es un control básico.

5. Planes de respuesta probados

No basta con tener un plan en un documento. Hay que probarlo con simulacros regulares (tabletop exercises). Las organizaciones que respondieron mejor (como Prosegur) tenían protocolos de contingencia ensayados.

6. Monitorización continúa y EDR

La detección temprana es la diferencia entre un incidente contenido y una catástrofe. Soluciones EDR con capacidad de respuesta automatizada y un SOC 24/7 habrían reducido el tiempo de permanencia del atacante en la red.

¿Cómo ha evolucionado la ciberamenaza en España?

La evolución entre 2019 y 2025 muestra tendencias claras:

2019-2020: la era Ryuk

Los ataques de Ryuk dominaron el panorama. Campañas masivas vía Emotet y TrickBot como vectores de acceso inicial. Everis y Prosegur fueron los primeros grandes impactos mediaticos en España.

2021: el sector público como objetivo

El SEPE y el Ministerio de Trabajo demostraron que la Administración Pública era un objetivo rentable. Los grupos de ransomware descubrieron que los organismos públicos tienen presión política para resolver rápido y poca capacidad técnica para resistir.

2022: brechas de datos y ransomware combinados

Iberdrola, Telefónica y el CGPJ mostraron una evolución hacia la doble extorsión: cifrar datos y amenazar con publicarlos. El modelo de negocio del ransomware se sofisticó.

2023-2025: ataques dirigidos a infraestructura crítica

El Hospital Clinic y el Ayuntamiento de Sevilla marcaron la escalada hacia objetivos donde el impacto humano es directo. Los grupos como LockBit y RansomHouse operan como empresas con afiliados, soporte técnico y programas de recompensas.

Datos de INCIBE

Los informes anuales de INCIBE confirman la tendencia:

• 2019: 48.000 incidentes gestionados
• 2020: 60.000 incidentes
• 2021: 69.000 incidentes
• 2022: 72.000 incidentes
• 2023: 83.000 incidentes

El crecimiento es sostenido y no muestra signos de desaceleración. La profesionalización del cibercrimen, la disponibilidad de herramientas de Ransomware-as-a-Service (RaaS) y la expansión de la superficie de ataque (cloud, IoT, teletrabajo) alimentan la tendencia.

¿Qué hacer si tu organización es el próximo objetivo?

Los 10 casos analizados demuestran que la pregunta no es “si” te atacaran, sino “cuando” y “cómo de preparado estás”. Estas son las acciones prioritarias:

1. Evaluar la postura de seguridad actual. Auditorías periódicas de vulnerabilidades, configuraciones y accesos.
2. Implementar controles básicos. MFA, segmentación, backups offline, parcheo. No son controles avanzados: son el mínimo.
3. Tener un plan de respuesta probado. Con roles definidos, contactos de emergencia y procedimientos de comunicación.
4. Monitorizar 24/7. Un SOC (interno o externalizado) que detecte y responda en tiempo real.
5. Cumplir con la normativa. ENS, NIS2, DORA y RGPD no son solo requisitos legales: implementar sus controles reduce el riesgo real.

Artículos relacionados:

• Cómo Montar Soc Desde Cero
• Threat Hunting Guía Practica

Preguntas frecuentes

¿Cuál fue el ciberataque más grave en España?

Por impacto directo en ciudadanos, el ataque al SEPE en marzo de 2021 fue el más grave. Paralizo 710 oficinas y retraso el pago de prestaciones a millones de personas en plena crisis económica por la pandemia. Por sensibilidad de los datos, el ataque al Hospital Clinic de Barcelona (2023) supuso la publicación de 4,5 TB de historiales clínicos.

¿Cuántos ciberataques sufre España al año?

Según INCIBE, en 2023 se gestionaron más de 83.000 incidentes de ciberseguridad, un 24% más que el año anterior. El CCN-CERT reporto más de 100.000 notificaciones en el ámbito de la Administración Pública. Estas cifras solo reflejan incidentes reportados: el número real es significativamente mayor.

¿Qué tipo de ataque es más común contra empresas españolas?

El ransomware es el tipo de ataque con mayor impacto, aunque el phishing es el vector de acceso inicial más frecuente. La cadena típica es: phishing o explotación de vulnerabilidad como acceso inicial, movimiento lateral, exfiltración de datos y despliegue de ransomware. Los grupos de Ransomware-as-a-Service (RaaS) como LockBit han industrializado este modelo.

¿Es obligatorio notificar un ciberataque en España?

Sí. El RGPD obliga a notificar brechas de datos personales a la AEPD en un plazo máximo de 72 horas. La Directiva NIS2 (transpuesta en España) exige notificación de incidentes significativos a las autoridades competentes (INCIBE para el sector privado, CCN-CERT para la Administración Pública). El Esquema Nacional de Seguridad (ENS) establece obligaciones adicionales para entidades del sector público.

¿Se puede prevenir un ataque de ransomware?

No se puede garantizar al 100%, pero se puede reducir drásticamente la probabilidad y el impacto. Los controles clave son: segmentación de red, backups offline inmutables, MFA en accesos privilegiados, parcheo de vulnerabilidades, EDR/XDR con detección automatizada y un plan de respuesta probado. Los 10 casos analizados demuestran que la mayoría de estos ataques explotaron la ausencia de controles básicos, no vulnerabilidades sofisticadas.