En el primer semestre de 2026, solo el 24 % de las notificaciones de brecha publicadas en Estados Unidos explicaba cómo había entrado el atacante. Es la proporción más baja desde que el Identity Theft Resource Center (ITRC) empezó a llevar la cuenta, hace veinte años, según su informe semestral. La cobertura periodística se fue a otra cifra del mismo informe: 471,2 millones de avisos a personas afectadas en seis meses, más que el total anual de 2025.
En el agregado, esa omisión rara vez es casual. Sea una decisión meditada o una investigación que nunca llegó a cerrarse, cada año son más las notificaciones que llegan sin el dato. Un equipo europeo que evalúe a un proveedor con operaciones en Estados Unidos suele acabar en ese registro público, y el registro ya casi nunca contiene lo que justificaba consultarlo.
¿Qué dicen los números?
El informe del ITRC, publicado el 22 de julio de 2026, contabiliza 1.803 incidentes con exposición de datos entre enero y junio. Solo entre abril y junio hubo 1.029, el segundo registro trimestral más alto de toda la serie. A ese ritmo, el año cerraría cerca de los 3.600 eventos.
Los avisos a personas afectadas llegaron a 471,2 millones. Una sola brecha en una plataforma educativa generó unos 275 millones, el 58 % del total. Esa concentración importa: cuando un único incidente carga con más de la mitad del volumen del semestre, la media ya no describe a nadie.
Por debajo del titular hay cuatro señales que explican de dónde sale:
- Proveedores como multiplicador. 280,6 millones de avisos salieron de apenas 38 brechas iniciales que alcanzaron a 206 entidades. Esa cifra incluye la brecha de la plataforma educativa, no se suma a ella. En un ataque a la cadena de suministro la palanca está en el proveedor compartido más que en la técnica del atacante.
- Empleados que se vuelven contra su empresa. 21 casos de actuación dolosa de personal interno en seis meses, frente a 3 en todo 2025. El ITRC lo vincula a los despidos en el sector tecnológico y a tramas de captación impulsadas por actores estatales, lo que convierte la amenaza interna en un riesgo tan ligado al contexto económico como al control de accesos.
- Concentración. Las empresas cotizadas fueron el 10,3 % de los incidentes y generaron el 83,4 % de los avisos: el volumen lo produce un puñado de organizaciones grandes.
- Fallos sin parche. 14 eventos asociados a vulnerabilidades de día cero (zero-day) en seis meses, cerca de los 17 registrados en todo 2025.
Estas cifras exigen una salvedad. La nota semestral compara los 471,2 millones con «297,5 millones en todo 2025», mientras que el informe anual que el ITRC publicó en enero cifraba 2025 en 278.827.933 avisos. La serie se revisa entre publicaciones. Cuando la referencia se mueve un 7 % entre dos documentos del mismo organismo, lo que hay son órdenes de magnitud, y no deberían citarse con decimales.
La serie que importa no es la de brechas
Es la de omisiones, y se mide en notificaciones, no en personas. El informe anual de 2025 del ITRC recoge que 2.324 notificaciones de brecha, el 70 % de las emitidas ese año, no incluían información sobre el ataque. En 2024 fueron 2.049 (el 65 %) y en 2023, 1.449 (el 45 %). El primer semestre de 2026 eleva esa proporción al 76 %.
Treinta puntos en tres años son un cambio de práctica en todo un mercado, no ruido estadístico. El punto de partida lo fija la misma fuente: en 2020, según el ITRC, prácticamente toda organización que sufría una brecha explicaba con claridad cómo había ocurrido.
¿Por qué las empresas dejaron de contar cómo entraron?
Porque casi ninguna norma las obliga. Ni la normativa sanitaria federal estadounidense ni la mayoría de las leyes estatales de notificación exigen describir el punto de entrada: piden explicar qué ocurrió, qué categorías de datos se vieron afectadas y qué debe hacer la persona notificada. Divulgar el vector de ataque es voluntario, como recuerda el análisis de Paubox.
A partir de ahí el cálculo se hace solo. Detallar que el acceso llegó por una credencial sin segundo factor, por un servidor sin parchear o por un subcontratista comprometido alimenta una demanda colectiva, abre la puerta a una investigación regulatoria y encarece la próxima renovación de la póliza. Los equipos jurídicos lo saben, y las aseguradoras también. Nada de esto exige suponer mala fe en ninguna empresa en particular: es la respuesta previsible de cualquier organización ante un marco en el que contarlo sale caro y callar sale gratis.
El presidente del ITRC, James E. Lee, es más duro que su propio informe. Habla de una crisis de transparencia sin precedentes y sostiene que las leyes estatales pensadas para informar y proteger, en sus palabras, simplemente no funcionan. En enero pidió a las empresas que antepusieran la transparencia al blindaje jurídico. Seis meses después, el agregado se ha movido en dirección contraria.
Dos cosas se rompen cuando el vector desaparece
La evaluación de proveedores se queda sin materia prima
Los cuestionarios de evaluación de proveedores preguntan por incidentes previos. La respuesta habitual («sufrimos un incidente en 2025, notificado conforme a la ley, ya remediado») es estrictamente cierta y no permite evaluar nada.
Sin el vector no hay forma de saber si el proveedor falló en gestión de identidades, en parcheo o en el control de los accesos que concede a sus subcontratistas, que son los fallos con más probabilidad de repetirse. Cualquier programa de gestión del riesgo de terceros que se apoye solo en fuentes públicas está puntuando proveedores con el campo más importante en blanco.
Después llega el arrastre. El fallo de un único proveedor compartido se convierte en el problema de las 206 entidades que el ITRC contabiliza detrás de esas 38 brechas: organizaciones que no gestionaban el sistema comprometido y que tampoco pueden auditarlo. Es la dinámica que ya obligó a replantear el control de terceros tras las intrusiones en repositorios públicos de paquetes y el abuso de integraciones autorizadas del último año, una dinámica repasada en cinco lecciones de la cadena de suministro digital.
Sin señal ajena, la priorización pierde su atajo más barato
El segundo efecto se nota menos. Un equipo que quisiera saber qué técnicas estaban funcionando contra organizaciones parecidas a la suya podía leer las notificaciones públicas como una señal gratuita, sectorial y razonablemente actual. Hoy tres de cada cuatro se detienen en el impacto, y esa señal hay que sustituirla por inteligencia de amenazas de pago, por acuerdos sectoriales de intercambio o por nada.
La consecuencia práctica es que la priorización ya no puede apoyarse en la narrativa de los incidentes ajenos: tiene que partir de evidencia de explotación observada. Modelos como KEV, EPSS y SSVC pesan más ahora porque no dependen de que nadie cuente su historia.
¿Qué fuentes siguen dando el vector?
Algunas fuentes siguen describiendo el punto de entrada, y conviene ser preciso sobre para qué sirve cada una.
- Los avisos conjuntos de agencias, que describen técnicas y suelen publicar indicadores. Llegan tarde y cubren solo lo que CISA, los CSIRT nacionales o ENISA deciden difundir.
- Las confirmaciones de plataforma, cuando el proveedor cuyo servicio se utilizó en el ataque explica públicamente qué ocurrió. Son útiles y escasas.
- El catálogo KEV de CISA, que rara vez explica un incidente determinado pero sí confirma qué fallos se están explotando.
- Los grupos sectoriales de intercambio y los CSIRT nacionales, que hacen circular entre sus miembros material que la prensa técnica no recoge.
Ninguna sustituye a lo que un proveedor sabe del incidente que ha sufrido. Sirven para orientar la gestión de la superficie de ataque y la caza de amenazas, no para puntuar a un tercero.
¿Y en Europa? La causa raíz se documenta y se queda en el regulador
Sería cómodo leer esto como un problema estadounidense. No lo es, y tampoco deja a Europa al margen.
La normativa europea exige la causa raíz. El artículo 23 de NIS2 fija tres tiempos para los incidentes significativos: alerta temprana en 24 horas, notificación en 72 horas e informe final en el plazo de un mes, y ese informe final debe incluir una descripción detallada del incidente y el tipo de amenaza o causa raíz que probablemente lo provocó. El sector financiero sigue la misma forma: bajo DORA se encadenan informe inicial, intermedio y final, y el final recoge el análisis de causa raíz y las medidas correctoras aplicadas.
El mismo artículo 23 obliga además a informar a los destinatarios del servicio cuando el incidente pueda afectar a su prestación. Al cliente le llega, por tanto, el incidente. La causa raíz viaja a la autoridad competente y al CSIRT, y ahí termina su recorrido: quien evalúa a un proveedor no accede al informe final que ese proveedor entregó a su autoridad nacional, ni tiene derecho a exigirlo. Europa ha construido un canal de causa raíz que termina en el supervisor.
ENISA lo admite en la metodología de su Threat Landscape: las fuentes abiertas y la información compartida voluntariamente no componen una imagen completa de las amenazas, y hay incidentes, el ciberespionaje sobre todo, que se documentan con años de retraso. La agencia europea de ciberseguridad reconoce así, en términos diplomáticos, que su retrato del problema es incompleto.
Controles que han caducado y qué ocupa su sitio
Ha caducado la evaluación de terceros alimentada por fuentes públicas, y con ella el supuesto de que un proveedor sin incidentes en prensa es un proveedor sin problemas de seguridad. Cuando el 76 % de las notificaciones se detiene en el impacto, el silencio ya no permite distinguir a un proveedor de otro.
Lo que ocupa su lugar es menos vistoso y bastante más laborioso:
- La cláusula contractual. Exigir que el proveedor comunique al cliente afectado el vector de ataque y la cronología dentro de un plazo acordado pesa hoy más que cualquier cuestionario. Si un proveedor rechaza esa cláusula, el rechazo ya es un hallazgo.
- Derecho a evidencia. Informes de auditoría con su alcance y sus no conformidades, resultados de pruebas de intrusión con fecha, registros de gestión de parches. Documentos fechados y firmados.
- Telemetría propia sobre todo lo que el proveedor gestiona. Si un tercero tiene acceso federado, cuentas de servicio o integraciones con el entorno del cliente, el problema del proveedor aparece antes en los registros del cliente que en su comunicado.
- Respuesta ensayada de antemano. Saber qué preguntar, y a quién, en las primeras horas de un incidente de proveedor es un ejercicio de comunicación de crisis, y esas primeras horas no son el momento de escribir el guion.
- Rendición de cuentas interna. NIS2 sitúa el deber en el órgano de dirección, y esa responsabilidad sobre el riesgo de terceros no se delega en una hoja de cálculo de proveedores.
En Hard2bit esto aparece ya en las conversaciones de comité, y casi nunca se discute de herramientas: se discute qué se puede exigir por contrato y qué se está aceptando por costumbre.
Cómo podría revertirse esto
Hay dos vías que lo corregirían: que alguna jurisdicción convierta la causa raíz en contenido obligatorio del aviso, o que los grandes compradores la exijan por contrato antes de que llegue ningún regulador. Mientras divulgar el vector siga siendo voluntario en el mercado que produce la mayor parte de las notificaciones públicas, y siga teniendo coste legal, los datos no dan motivo para esperar que la proporción se recupere.
De las dos vías, la segunda es la única que una organización controla por sí sola. Y queda una pregunta abierta: nadie sabe cuánto de esta caída es opacidad deliberada y cuánto es investigación que nunca se hizo. Un aviso que se detiene en el impacto puede estar ocultando el origen, o puede reflejar que nadie llegó a determinarlo. Los datos del ITRC no separan las dos cosas, y la diferencia importa. Un mercado que no investiga los incidentes que sufre tiene un problema peor que el de un mercado que investiga y se lo guarda.
Este artículo es un análisis de datos publicados por terceros, con la información disponible a 21 de agosto de 2026. Las cifras del ITRC son estimaciones sobre notificaciones públicas en Estados Unidos y su serie histórica se ha revisado entre publicaciones, por lo que deben leerse como órdenes de magnitud. El texto no constituye asesoramiento jurídico: las obligaciones de notificación aplicables y el contenido exigible en cada informe dependen del marco de cada entidad y deben validarse con asesoría legal y con la autoridad competente correspondiente.
