ESET ha publicado su Threat Report correspondiente al primer semestre de 2026, elaborado con la telemetría de la compañía y el trabajo de sus investigadores entre diciembre de 2025 y mayo de 2026. España vuelve a situarse en el podio mundial: es el tercer territorio con más ciberamenazas detectadas, con el 7,43% del total, por detrás de Japón (10,15%) y Polonia (7,77%).
Conviene leer bien ese dato antes de alarmarse: son amenazas detectadas, es decir, en su gran mayoría bloqueadas. Lo que mide el porcentaje no es cuántos ataques tuvieron éxito, sino el volumen de intentos que llega a los sistemas de un país. Aun así, el volumen importa: cuanto mayor es, más probable resulta que uno acabe encontrando la puerta abierta.
Ransomware: menos ruido, más precisión
El ransomware sigue siendo una de las amenazas más relevantes del periodo. ESET destaca al grupo The Gentlemen, que se caracteriza por adaptar sus herramientas durante el propio ataque para superar las defensas concretas de cada víctima, y por emplear un amplio repertorio de utilidades diseñadas para desactivar las soluciones de seguridad instaladas —lo que el sector llama EDR killers—.
El detalle no es menor: significa que la protección instalada en un equipo ya no se da por buena como línea final. Un atacante que dedica esfuerzo a apagar el antivirus antes de cifrar nada está asumiendo que su víctima tiene defensas, y ha decidido que merece la pena desmontarlas una a una.
Junto al ransomware, el informe registra una actividad muy alta de infostealers y troyanos bancarios —Formbook, Agent Tesla, Grandoreiro, Casbaneiro y Mispadu—, que recurren principalmente al phishing para distribuir el malware y robar credenciales.
La IA, también del lado del atacante
Uno de los apartados más llamativos del informe es el crecimiento de las llamadas skills para agentes de IA: pequeños programas que amplían lo que un asistente puede hacer. ESET pasó de analizar unos 60.000 skills únicos en marzo a cerca de 900.000 a finales de mayo. En ese mismo periodo, los clasificados como sospechosos subieron de unos 10.000 a 25.000, y los directamente maliciosos pasaron de unos 600 a más de 3.000.
Merece la pena separar las cifras, porque es fácil confundirlas y el matiz cambia la lectura: lo que se multiplicó por quince fue el ecosistema entero, no la parte maliciosa. Los skills maliciosos siguen siendo una fracción pequeña del total. Ahora bien, multiplicarse por cinco en tres meses es una tendencia, no un ruido estadístico.
Ingeniería social: el clásico que se reinventa
El informe documenta la evolución de ClickFix, la técnica que engaña al usuario para que ejecute él mismo el código malicioso creyendo que resuelve un problema. Han aparecido variantes con nombre propio: AI-Fix, que simula soluciones generadas por IA; CrashFix, que finge errores del navegador; y ConsentFix, que roba sesiones en la nube a través de OAuth sin necesidad de credenciales ni de saltarse el segundo factor. Las detecciones de estas técnicas crecieron un 108% respecto al semestre anterior.
ConsentFix merece atención aparte: es el que rompe la intuición más extendida sobre seguridad. Si el atacante consigue que la propia víctima autorice una aplicación, no necesita robar ninguna contraseña ni interceptar ningún código de verificación. El segundo factor no protege de aquello que el usuario aprueba voluntariamente.
También crece el quishing —phishing con códigos QR—, donde España ocupa la segunda posición mundial con el 17% de las detecciones globales, solo por detrás de Estados Unidos (19%). El QR funciona porque salta del ordenador vigilado al móvil personal, que casi nunca lo está.
Fraude por NFC
El informe alerta sobre NGate, un malware para Android que utiliza la tecnología NFC para robar información de tarjetas bancarias mediante aplicaciones falsas y páginas que suplantan servicios legítimos, permitiendo compras no autorizadas o retiradas de efectivo sin sustraer físicamente la tarjeta. ESET señala que esta técnica ya ha comenzado a detectarse en España.
Ninguna de estas técnicas es exótica ni cara de frenar: casi todas dependen de que alguien haga clic, apruebe un permiso o escanee un código. Por eso lo que más rinde en una pyme no suele ser comprar más herramientas, sino saber quién tiene acceso a qué, y que el equipo reconozca estos señuelos cuando le lleguen. Es de lo que hablamos en Ciberseguridad.
Fuente: ESET, Threat Report H1 2026 (datos de diciembre de 2025 a mayo de 2026), publicado el 8 de julio de 2026.