¡Hola!
Parece que, por fin, empiezan a abandonarnos los calores de este verano infinito. Personalmente, agradezco bastante volver a un tiempo algo más parecido al de mi tierra: temperaturas razonables, noches en las que se puede dormir y esa sensación de que el otoño realmente existe.
Por aquí ya estamos plenamente en faena, con proyectos interesantes y bastante retadores tanto en consultoría como en la Escuela. Algunos todavía están cogiendo forma y otros empiezan ya a materializarse, así que iréis teniendo noticias nuestras.
Noticias del sector
La IA ofensiva empieza a pasar de “ayudar al atacante” a ejecutar partes del ataque
Google Threat Intelligence Group acaba de publicar una actualización bastante interesante sobre el uso malicioso de IA. La tendencia que observan es clara: algunos actores están pasando del simple prompting a flujos de trabajo agénticos, en los que la IA automatiza partes completas de una operación. En uno de los casos analizados, tras comprometer un recurso cloud, un actor fue capaz de planificar, construir y ejecutar una campaña masiva de robo de credenciales asistida por agentes en menos de seis horas. También se han observado intentos de engañar a asistentes de programación y escáneres de seguridad basados en LLM dentro de ataques a la cadena de suministro. La cuestión importante es que la IA no tiene necesariamente que inventar ataques nuevos para cambiar el panorama. Basta con reducir brutalmente los tiempos, automatizar tareas y permitir que un atacante haga simultáneamente cosas que antes requerían más personas y conocimientos.
La energía se enfrenta a una combinación complicada: más conectividad y atacantes potenciados por IA
Reuters analizaba recientemente cómo la digitalización del sector energético está ampliando su superficie de ataque justo cuando la inteligencia artificial permite a los adversarios automatizar reconocimiento, ingeniería social y búsqueda de vulnerabilidades.
El problema es especialmente serio en infraestructuras con tecnología heredada, recursos limitados o una convergencia IT/OT que no siempre ha ido acompañada del mismo nivel de madurez en seguridad. Y volvemos a una idea que repetimos mucho: conectar aporta capacidades extraordinarias, pero también elimina muchas de las barreras naturales que antes protegían estos sistemas.
NIS2 en España: la transposición que se está haciendo esperar demasiado
Aquí tenemos una de esas noticias que parece que llevamos escribiendo desde hace meses. España sigue sin haber completado la transposición de NIS2, cuyo plazo terminó el 17 de octubre de 2024. La situación ha llegado hasta el punto de que, en julio de este año, la Comisión Europea decidió llevar a España —junto con Irlanda, Francia y Países Bajos— ante el Tribunal de Justicia de la UE por no haber notificado la transposición completa.
El vehículo previsto continúa siendo la Ley de Coordinación y Gobernanza de la Ciberseguridad, cuyo anteproyecto fue aprobado por el Consejo de Ministros en enero de 2025. Entre otras cuestiones, el planteamiento contempla nuevas estructuras de coordinación y un Centro Nacional de Ciberseguridad. NIS2 se supone que acabará llegando pronto…
Renfe investiga un ciberataque originado en sistemas previamente comprometidos de Adif
Y esta nos queda bastante cerca también. Renfe comunicó el pasado 25 de septiembre la investigación de un incidente de ciberseguridad relacionado, según las primeras indagaciones, con servidores de Adif que habían sido previamente comprometidos y estaban interconectados con sistemas de la operadora. La información potencialmente expuesta estaría limitada principalmente a nombres y direcciones de correo electrónico de clientes, sin indicios, por el momento, de acceso a información bancaria ni afectación a la circulación ferroviaria. Adif también indicó que los sistemas relacionados con la explotación ferroviaria no se habían visto afectados.
Noticias de la Escuela
Ya está publicada la ficha del curso de GRC de la inteligencia artificial
Ya tenemos pública en la web la ficha completa del módulo de Inteligencia Artificial, riesgos en su uso y aplicación práctica en GRC, que también puede cursarse independientemente del programa completo de ciberseguridad GRC. Es una formación de 75 horas centrada precisamente en uno de los ámbitos que más van a crecer en los próximos años: cómo gobernar la inteligencia artificial dentro de una organización. Trabajamos riesgos, cumplimiento, AI Act, RGPD, ISO/IEC 42001, ISO/IEC 23894, diseño de un Sistema de Gestión de la Inteligencia Artificial y aplicación práctica de herramientas de IA a las propias funciones GRC.
¿Por qué ahora?
Porque hemos pasado bastante rápido de preguntarnos si una empresa iba a utilizar IA a preguntarnos cómo demonios controlamos toda la IA que ya está utilizando.
Además, desde el 2 de agosto de 2026 ya resultan aplicables nuevas partes importantes del AI Act y han comenzado a operar las correspondientes facultades de supervisión y determinadas obligaciones de transparencia. La regulación, por tanto, ha dejado de ser un escenario futuro.
Inventariar sistemas, establecer responsabilidades, evaluar riesgos, controlar proveedores, documentar decisiones, supervisar modelos y disponer de evidencias va a formar parte cada vez más del día a día de seguridad, compliance y auditoría.
Y ahí es precisamente donde queremos que nuestros alumnos sepan trabajar.
Curiosidad del mes
Un malware gobernado por un “comité” de cuatro inteligencias artificiales
Esta me parece especialmente curiosa. Cisco Talos ha documentado CLOSEDQUORUM, un malware para Windows que puede consultar simultáneamente a Gemini, DeepSeek, Qwen y Mistral para decidir qué acción ejecutar después de comprometer un equipo.
Los modelos votan entre diferentes posibilidades y el malware ejecuta la opción escogida, sin necesitar instrucciones continuas del operador. Talos aclara que no ha confirmado su utilización completa en ataques reales, así que conviene no convertirlo todavía en Skynet. Pero como prueba de hacia dónde puede evolucionar el malware autónomo, resulta bastante ilustrativo.
¿Y si el propio dron detectase que están engañando a su GPS?
Un trabajo publicado este mes propone utilizar aprendizaje automático directamente a bordo de UAV para detectar ataques de GPS jamming y spoofing en tiempo real. Los investigadores probaron siete algoritmos y consiguieron implementar el sistema en una Raspberry Pi, obteniendo con XGBoost una precisión comunicada del 96,4 % y tiempos de inferencia del orden de centésimas de segundo. Me gusta especialmente porque ilustra la evolución de la ciberseguridad en sistemas autónomos: ya no basta con proteger las comunicaciones. El propio vehículo necesita aprender a desconfiar de los datos que recibe sobre el mundo que lo rodea.
Una subestación eléctrica preparada para sobrevivir a drones, túneles y sabotajes
La nueva subestación de Gizai, en Lituania y muy próxima al estratégico corredor de Suwałki, está siendo diseñada pensando en amenazas que hace unos años difícilmente habrían aparecido en un proyecto eléctrico convencional. Entre las medidas descritas se incluyen vallado reforzado, sensores para detectar túneles, redundancia de sistemas y estructuras de hormigón especialmente diseñadas para proteger equipos críticos frente a ataques con drones. El sobrecoste asociado a estas medidas de seguridad alcanza decenas de millones de euros. Es quizá uno de los mejores ejemplos de convergencia entre seguridad física, ciberseguridad y resiliencia que hemos visto últimamente. En infraestructuras críticas, con la que está cayendo, cada vez tiene menos sentido estudiar estos mundos de forma independiente.
Personal
Como decía al principio, arrancamos un trimestre con bastante actividad técnica y comercial. Estamos intentando abrir nuevas vías de negocio en distintos frentes y hay varios proyectos especialmente ilusionantes encima de la mesa. Algunos saldrán, otros no —como siempre—, pero creo que se avecinan unos meses entretenidos.
En el apartado de grandes derrotas personales, después de bastante forcejeo debo reconocer que la presbicia me ha vencido. La edad no perdona y he terminado cediendo y llevando gafas para uso ocupacional. Todavía puedo fingir que esto es una sofisticada optimización ergonómica y no simplemente que me hago mayor .
Y seguimos también con el tiro con arco. A fuerza de entrenar, probar, equivocarnos y volver a probar hemos descubierto un pequeño cambio en la postura corporal que está dando bastante más control durante la suelta. El resultado se nota: las flechas salen mejor dirigidas y las agrupaciones empiezan a cerrarse. Me parece una buena metáfora para casi cualquier aprendizaje técnico. Muchas veces el progreso no aparece después de descubrir un truco espectacular, sino tras repetir lo mismo durante semanas hasta detectar ese pequeño detalle que hace clic, o supera la meta establecida.
El talento ayuda, claro. Pero creo que tendemos a minusvalorar enormemente el efecto acumulado de la constancia y la perseverancia.
Seguimos en contacto. Podéis utilizar el formulario de la Escuela para cualquier asunto profesional o formativo, o simplemente para saludar o enviarnos feedback .
Que tengáis un buen comienzo de otoño.
Stay secure! 🖖
