Los ciberdelincuentes también hacen su agosto

(Información remitida por la entidad que la firma:)

"Las notificaciones de brechas de seguridad descendieron en España cerca de un 40% durante agosto de 2025 respecto al mes anterior. Sin embargo, esta caída no significa que se produjeran menos ciberataques, sino que, debido a la reducción de las plantillas y de los equipos de tecnología y ciberseguridad durante el periodo vacacional, muchas empresas tardaron más en detectar los incidentes, por lo que numerosas brechas no se notificaron hasta la vuelta de las vacaciones. Gesprodat advierte de que este descenso en las notificaciones debe interpretarse con cautela, ya que los periodos vacacionales pueden ralentizar la detección y gestión de los incidentes de seguridad.

No, agosto no es un mes tranquilo para la ciberdelincuencia. La Agencia Española de Protección de Datos (AEPD) registra la fecha en la que la empresa notifica la brecha, no la fecha en la que ocurrió. Por otra parte, el Reglamento General de Protección de Datos concede 72 horas para notificar el incidente desde que hay constancia del mismo. El problema es que, si en agosto no queda nadie revisando los sistemas, la brecha se produce, pero no la detecta nadie.

Los datos de 2025 apuntan precisamente en esa dirección. Mientras el Instituto Nacional de Ciberseguridad (INCIBE) gestionó 122.223 incidentes, un 26% más que el año anterior y la cifra más alta de su historia, la AEPD recibió 2.765 notificaciones de brechas de datos personales. La evolución mensual refleja con claridad el efecto de las vacaciones: julio registra 283 notificaciones, agosto, 176 y septiembre y octubre vuelven a recuperar los datos, con 233 y 289, respectivamente ¿Se sufrieron menos ataques en agosto o es que no se notificaron por falta de vigilancia en las compañías?.

Los atacantes conocen el calendario laboral

Los ciberdelincuentes no eligen el momento de atacar al azar. De hecho, la mayoría de despliegues de ransomware —secuestro de datos— se producen fuera del horario laboral: de madrugada, en fin de semana, o durante la tarde, cuando ya no queda nadie revisando.

La puerta de entrada favorita sigue siendo la más antigua: el correo electrónico. Y en verano ese engaño se vuelve más eficaz todavía. Suplantar a un directivo que está de vacaciones funciona mejor que en cualquier otra época del año: nadie confirma una factura urgente si quien firma está desconectado.

No todas las empresas encajan el golpe igual. Cuantos menos recursos tiene una empresa, más susceptible es de ser atacada. Por eso las PYMES son las principales víctimas de los ciberataques. Pero el tiempo juega en contra de grandes y pequeños: el intervalo desde que se produce un ataque hasta que se notifica y se frena es el arma con el que juegan los ciberdelincuentes.

Cuatro medidas antes de cerrar por vacaciones

1-Dejar la guardia por escrito. Quién responde, en qué plazo y por qué canal. Un teléfono que nadie descuelga no es un protocolo.

2-Revisar accesos y VPN. Las credenciales de acceso remoto y de aplicaciones web originaron las brechas que más personas afectaron en 2025, según la AEPD.

3-Reforzar el doble control en los pagos. Ninguna transferencia urgente debería aprobarse solo por correo.

4-Probar las copias de seguridad. Comprobar que restauran de verdad, antes de necesitarlas.

El cumplimiento no se va de vacaciones

En muchas organizaciones, la seguridad y el cumplimiento normativo aún dependen de que alguien esté delante de una pantalla. Las revisiones manuales, las hojas de cálculo y los avisos por correo funcionan mientras la plantilla está completa, y dejan de funcionar exactamente cuando no lo está.

«El dato de agosto no dice que ataquen menos, dice que las empresas tardan más en enterarse», explica Adela Castellar, directora de Gesprodat, consultoría legal digital especializada en protección de datos, Compliance/RGPD, Ciberseguridad y Seguridad de la Información, con más de 24 años de experiencia, «El problema no es el ataque de agosto, es la brecha que nadie va a descubrir hasta que volvamos de vacaciones en septiembre».

Frente a ese punto ciego, el control es primordial, y contar con una plataforma profesional que unifique y gestione todo el ecosistema de cumplimiento de forma centralizada supone una ventaja clara. Ese es el enfoque de Gesprodat SaaS Governance, una plataforma que ofrece una visión 360º del cumplimiento, permitiendo gestionar riesgos, controles, evidencias, planes de acción y responsabilidades desde un único entorno. De este modo, la organización dispone de información actualizada para la toma de decisiones y puede afrontar con mayor agilidad cualquier auditoría o requerimiento.

Gesprodat es una consultora española con más de 24 años de experiencia en protección de datos, compliance, seguridad de la información y ciberseguridad, con más de 3.500 proyectos realizados. Su plataforma SaaS Governance centraliza la gestión del cumplimiento normativo con IA integrada.

DATOS PÚBLICOS:

(Información remitida por la empresa firmante)

IMAGEN: Gesprodat SL PIE DE FOTO: Los ciberdelincuentes también hacen su agosto

Contacto

Emisor: Gesprodat SL

Contacto: Gesprodat SL

Número de contacto: 963 69 12 77"

AGENCIA EFE S.A.U.,S.M.E. no se hace responsable de la información que contiene este mensaje y no asume responsabilidad alguna frente a terceros sobre su íntegro contenido, quedando igualmente exonerada de la responsabilidad de la entidad autora de este. Agencia EFE se reserva el derecho a distribuir el comunicado de prensa dentro de la línea informativa, o bien a publicarlo en EFE Comunica.