¿Quién atiende en una empresa el aviso externo de una posible intrusión? Australia envió más de 4.400 en un año

El informe anual de amenazas 2025-26 de la Australian Signals Directorate (ASD), publicado a finales de octubre de 2026, trae un dato más útil para un comité de dirección que el recuento de incidentes. La agencia avisó a organizaciones de posible actividad maliciosa más de 4.400 veces en el último ejercicio, casi un 80 % más que en el anterior, según The Record. Esos avisos ayudaron a las víctimas a identificar 362 incidentes, según el análisis que SOCRadar ha hecho del informe.

El ejemplo más claro es una alerta enviada en mayo de 2026 a 340 organizaciones por fallos en cPanel, el panel de administración de alojamiento web. A raíz de ese aviso se confirmaron más de 60 incidentes.

Un aviso externo de intrusión es la comunicación con la que un CERT nacional, un investigador o un proveedor advierte a una empresa de que un atacante puede haber entrado en sus sistemas. Puede destapar lo que las herramientas internas no han visto. Aun así, en muchas organizaciones no tiene dueño ni procedimiento. Acaba en un buzón genérico o en el teléfono de alguien convencido de que le están intentando estafar.

¿Quién detecta primero una intrusión, la empresa o un tercero?

Según el informe M-Trends 2026 de Mandiant, en 2025 las organizaciones descubrieron por sí mismas la actividad maliciosa en el 52 % de las investigaciones, frente al 43 % de 2024. En el 48 % restante se enteraron por otros, un 34 % por una entidad externa y un 14 % por el atacante, que en ese caso suele anunciarse con una nota de rescate.

Las cifras de los organismos públicos dan una idea del volumen. En su revisión anual de 2025, el NCSC británico informa de que su servicio Early Warning, con 13.178 organizaciones inscritas, comunicó indicios de malware o intrusión en 131.000 direcciones IP a 1.350 organizaciones. En Estados Unidos, la CISA había enviado en 2024, hasta noviembre, 2.131 avisos previos a ransomware dentro de su Pre-Ransomware Notification Initiative, según Cybersecurity Dive. En España, INCIBE gestionó 122.223 incidentes en 2025, un 26 % más que el año anterior, según el balance anual que recoge España Digital.

Los datos de M-Trends ayudan a entender por qué un aviso temprano puede pesar tanto contra el ransomware. En los casos de ransomware, el vector de entrada más frecuente en 2025 fue una intrusión anterior, con un 30 % de los casos, el doble que un año antes. Quien cifra los sistemas suele aprovechar un acceso que obtuvo otro. Un aviso sobre una infección aparentemente menor, por ejemplo de un programa que roba credenciales, puede ser una de las pocas ocasiones de cortar esa cadena antes de que el acceso cambie de manos.

¿Cuándo empieza a correr el plazo de NIS2 si avisa un tercero?

El plazo empieza cuando la entidad, tras evaluar con prontitud el aviso, alcanza un «grado razonable de certeza» de que hay un incidente significativo. Así lo interpreta la guía del Centre for Cybersecurity Belgium (CCB), resumida por el despacho CMS. La guía incluye entre las vías de conocimiento la comunicación de un tercero, ya sea un cliente, otra entidad, una autoridad o un medio de comunicación.

El artículo 23 de la Directiva NIS2 fija los plazos que arrancan en ese momento. La alerta temprana debe llegar en 24 horas, la notificación en 72 horas y el informe final en el plazo de un mes desde esa notificación. Con esa interpretación, una empresa que deja el correo de un CERT tres semanas en una bandeja compartida tendrá difícil sostener ante el supervisor que aún no conocía el incidente. La guía belga es una lectura nacional. La referencia final será la que publique cada autoridad competente.

En España, la ley que debe transponer NIS2 sigue pendiente, y la Comisión Europea llevó al país ante el Tribunal de Justicia de la UE en julio de 2026, como explicamos en nuestro análisis sobre qué hacer mientras llega la ley. Mientras tanto ya rigen otras obligaciones de notificación que un aviso externo también puede activar. Son las del RGPD ante la autoridad de control (AEPD), el Esquema Nacional de Seguridad (CCN-CERT), el Real Decreto-ley 12/2018 para operadores de servicios esenciales y DORA en el sector financiero.

¿Por qué tantas organizaciones no responden a un aviso externo?

Ignorar un aviso externo de intrusión suele responder al miedo al engaño, a la escasez de datos del aviso, a la confianza en las herramientas internas y al temor a las obligaciones legales. Un portavoz del NCSC explicó a The Record en 2023 que a menudo cuesta encontrar el contacto correcto o que la persona cree que está hablando con un estafador. Los delincuentes suplantan a agencias públicas, y la ASD pide a quien dude de una llamada que telefonee a su línea oficial y facilite el número de referencia.

Muchas notificaciones contienen solo una dirección IP, una marca de tiempo y el nombre de una familia de malware. Con traducción de direcciones, servicios en la nube que reasignan IP y registros que se conservan pocos días, llegar desde ese dato hasta un equipo puede costar horas o resultar imposible.

Si el EDR no ha alertado, la notificación parece un falso positivo, y a eso se suma el temor, menos confesable, a que darse por enterado active obligaciones legales. Todos esos motivos son comprensibles. Acaban, sin embargo, en la misma inacción ante un aviso que en una parte de los casos era cierto.

¿Qué dicen los datos sobre la utilidad de los avisos externos?

Los datos australianos indican que los avisos externos destapan incidentes en equipos que el EDR no cubre, aunque no miden cuántos ataques evitan. Tras una campaña del ransomware Akira en agosto de 2025 que aprovechaba una vulnerabilidad de SonicWall, la ASD identificó casi 1.000 dispositivos y unas 40 organizaciones australianas potencialmente vulnerables, muchas de ellas infraestructuras críticas. Según The Record, la ASD afirma que los ataques descendieron tras publicar la alerta, aunque no es posible saber qué parte de la caída se debe a ella.

cPanel y SonicWall están en servidores de alojamiento y dispositivos perimetrales, donde a menudo no hay un agente EDR desplegado o el cliente ni siquiera controla el servidor. Es el punto ciego de los EDR en los equipos de red, y es también donde un observador externo, que puede ver la exposición desde Internet, tiene ventaja.

La ASD no dice cuántos ataques evitaron sus avisos ni cuántos destinatarios actuaron, y el NCSC reconocía en 2023 que no siempre sabe si su aviso llegó a tiempo. Con los datos publicados resulta una proporción de 362 incidentes identificados por más de 4.400 notificaciones, del orden de uno por cada doce. Es solo orientativa. El total suma unas 2.200 notificaciones individuales y avisos colectivos a más de 2.100 entidades, como el de cPanel.

¿Cómo debe recibir una empresa un aviso de intrusión?

Una empresa debe recibir un aviso de posible intrusión por un canal publicado, con un responsable y un suplente que lo verifiquen, lo conviertan en una investigación y documenten cada paso.

¿Dónde debe llegar el aviso?

El aviso debe llegar a un buzón publicado en security.txt, al contacto de abuso registrado en RIPE para los rangos de IP y a los datos de contacto que la organización tenga ante su CSIRT de referencia. El fichero security.txt (RFC 9116) en el dominio principal resuelve el caso del investigador independiente, y nuestro escaneo de security.txt en grandes empresas españolas muestra cuánto camino falta.

Si la organización está sujeta al Real Decreto-ley 12/2018 o al ENS, su contacto debe estar actualizado en INCIBE-CERT, para el sector privado, o en el CCN-CERT, para el público. NIS2 obliga además a los Estados a exigir a las entidades sujetas que faciliten a la autoridad competente correos, teléfonos y rangos de IP (artículo 3, apartado 4). En España, mientras llega la ley de transposición, tener esos datos preparados y a alguien que responda al otro lado adelanta trabajo.

¿Cómo se verifica un aviso sin descartarlo?

Un aviso se verifica sin descartarlo comprobándolo por un canal independiente. Eso supone buscar por separado el teléfono oficial del organismo, llamar y citar la referencia del aviso. Los enlaces y adjuntos del mensaje original no se abren. El procedimiento debe estar escrito para que la persona que recibe la llamada no tenga que improvisar.

¿Cómo se pasa del indicador al equipo afectado?

Para pasar de una IP al equipo afectado hacen falta registros de traducción de direcciones, del proxy y del cortafuegos, el histórico de IP públicas asignadas en la nube y una retención de varias semanas. La comunicación suele traer un indicador de compromiso mínimo. Comprobar hoy si esa correspondencia se puede reconstruir evita descubrir la carencia en pleno incidente.

¿Por qué preservar antes de limpiar?

Hay que preservar antes de limpiar porque la siguiente pregunta será cuánto tiempo llevaba dentro el intruso y qué tocó. La tentación es reinstalar el equipo afectado esa misma tarde, pero antes hay que capturar registros, una instantánea del sistema y, si es viable, la memoria. Un plan de respuesta a incidentes que contemple el aviso externo como disparador evita esa improvisación, y un retainer de respuesta a incidentes permite movilizar a especialistas sin negociar contratos en plena crisis.

¿Qué hay que documentar de la evaluación?

Hay que anotar la hora de recepción, quién evaluó el aviso, con qué datos y qué concluyó. Ese registro demuestra la diligencia ante el supervisor, tanto si el incidente resulta significativo como si no.

¿Hay que devolver información al notificante?

Devolver el resultado al notificante es recomendable, y la ASD lo pide expresamente a las víctimas. Confirmar si el aviso era cierto ayuda a afinar los próximos. También alimenta la inteligencia de amenazas de la que se beneficia la empresa.

¿Cuánto cuesta ignorar un aviso cierto?

Ignorar un aviso cierto alarga la permanencia del intruso, cuya mediana subió en 2025 a 14 días desde los 11 del año anterior, según M-Trends 2026, y expone a la organización a sanciones. En Australia, el coste medio autodeclarado por denuncia de ciberdelito alcanzó 141.300 dólares australianos en la mediana empresa, un 45 % más que en el ejercicio anterior, según SOCRadar. En la gran empresa fue de 148.100, un 27 % menos, según Insurance Business. Son denuncias de todo tipo, fraude incluido, pero dan una idea del orden de magnitud.

NIS2 obliga a los Estados a fijar para las entidades esenciales multas con un máximo de al menos 10 millones de euros o el 2 % de la facturación mundial, si este importe es superior. Para las importantes, el umbral es de 7 millones o el 1,4 %. El artículo 20 hace responsable a la dirección de supervisar las medidas de gestión de riesgos, algo que ya analizamos en nuestro artículo sobre la responsabilidad del consejo en NIS2, y que forma parte de un programa de cumplimiento NIS2.

¿Qué decisión corresponde al comité de dirección?

Al comité le corresponde decidir quién es el dueño del canal por el que entra un aviso externo, con qué autoridad para movilizar recursos fuera de horario y quién lo sustituye. La prueba más barata consiste en incluir en el próximo simulacro un aviso falso de un CERT y medir cuánto tarda en llegar a quien puede actuar. Si tarda días, el comité ya sabe qué control le falta.

Este análisis se basa en información pública disponible a 29 de octubre de 2026. Las cifras del informe australiano proceden de medios que lo han analizado (The Record, SOCRadar e Insurance Business), las de la CISA y de INCIBE, de Cybersecurity Dive y España Digital, y las de Mandiant y el NCSC, de sus publicaciones originales. La interpretación del plazo de NIS2 se apoya en la guía del regulador belga y no constituye asesoramiento jurídico, por lo que cada organización debe contrastarla con su autoridad competente y su asesoría legal.