Cada año, la ciberseguridad se consolida más como un pilar imprescindible de los ecosistemas digitales, y 2025 no será una excepción. Las rápidas mutaciones del panorama tecnológico, unidas a las ambiciones crecientes de los ciberatacantes, redefinen permanentemente las reglas del juego. Estas son nuestras previsiones para un año que se anuncia decisivo.
«La ciberseguridad, en 2025, ya no será una simple barrera defensiva, sino un terreno de innovación estratégica donde tecnologías como la IA y la criptografía cuántica redibujarán nuestras certezas. Las organizaciones capaces de adoptar una visión prospectiva transformarán los retos digitales en oportunidades.»
- Clément Saad, CEO y cofundador de Pradeo.
El auge de las superapps y de los riesgos asociados
Las superapps, esas aplicaciones multifuncionales que integran diversos servicios (pagos, mensajería, comercio, etc.), se impondrán como herramientas imprescindibles en regiones como Asia, África y América del Sur. Sin embargo, su adopción se verá frenada en Europa por marcos normativos estrictos sobre el tratamiento de datos personales y por la existencia de ecosistemas digitales sectoriales bien establecidos.
La centralización de múltiples servicios en una única aplicación confiere a las superapps un carácter altamente crítico, ya que manejan una gran variedad de datos sensibles: información bancaria, historiales de salud, datos personales… Así, su compromiso puede dar a los ciberdelincuentes acceso a datos especialmente lucrativos.
Las superapps se apoyan en el uso intensivo de numerosas API (interfaces de programación), lo que amplía considerablemente su superficie de ataque. Por un lado, las comunicaciones entre módulos pueden servir de puertas traseras para ataques dirigidos; por otro, las API procedentes de fuentes diversas presentan a menudo niveles de seguridad heterogéneos. Un fallo en un módulo puede así explotarse para comprometer la totalidad de la aplicación. Otro riesgo reside en los permisos cruzados entre los distintos módulos de una superapp. Estos permisos, a menudo mal controlados, aumentan de forma significativa el riesgo de un uso desviado.
Para hacer frente a estas amenazas, las empresas que desarrollan superapps deben adoptar un enfoque de seguridad desde el diseño, integrado y proactivo, con el fin de minimizar los riesgos anticipando al mismo tiempo los posibles ataques.
La aparición de ecosistemas de IA ofensivos
La adopción generalizada de la inteligencia artificial (IA) transforma radicalmente el panorama de los ciberataques. En 2025 anticipamos la aparición de ecosistemas de IA ofensivos capaces de orquestar ataques multivector con una precisión sin precedentes. Estos sistemas explotarán modelos generativos para diseñar campañas de phishing hiperpersonalizadas, detectar vulnerabilidades de día cero y llevar a cabo asaltos evolutivos que se adapten en tiempo real a las contramedidas.
Las IA ofensivas irán más lejos apoyándose en el análisis predictivo para identificar posibles fallos incluso antes de su divulgación pública. En los próximos años también serán capaces de sincronizar ataques sobre infraestructuras complejas, como la nube o los sistemas de IoT, creando distracciones estratégicas mientras ejecutan los ataques principales sobre objetivos críticos.
Para contrarrestar esta amenaza, las organizaciones deberán invertir de forma masiva en modelos de IA explicable (XAI), capaces no solo de detectar las anomalías con precisión, sino también de comprender su origen. El uso combinado de inteligencia artificial y colectiva será crucial para desarrollar contramedidas adaptativas capaces de responder en tiempo real a estas nuevas formas de ataque.
Un giro normativo mundial
2025 marcará el advenimiento de una nueva era de gobernanza digital. La multiplicación de los ciberincidentes que afectan a infraestructuras críticas ha llevado a los Estados a endurecer sus marcos normativos. En Europa, la aplicación de la directiva NIS2 impondrá requisitos reforzados en materia de ciberresiliencia. Paralelamente, Estados Unidos y China adoptarán un enfoque aún más soberano, instaurando controles rigurosos sobre las exportaciones tecnológicas.
Con la entrada en vigor de la directiva NIS2 (Network and Information Security Directive), la Unión Europea refuerza significativamente sus exigencias en materia de ciberseguridad. Esta directiva amplía su ámbito de aplicación para incluir nuevos sectores críticos como la sanidad, el agua y la energía, e impone a las empresas obligaciones reforzadas acompañadas de sanciones mayores. El impacto esperado es doble: una mejora global de la ciberresiliencia de las empresas europeas, pero también un aumento de los costes ligados a la puesta en conformidad.
Al otro lado del Atlántico, Estados Unidos adopta igualmente un enfoque proactivo contra las ciberamenazas internacionales, integrando cláusulas específicas en sus acuerdos comerciales que limitan la exportación de tecnologías estratégicas a naciones consideradas de riesgo.
China, por su parte, prosigue su estrategia de cibersoberanía. Con leyes como la Data Security Law (DSL) y la Cybersecurity Law, impone restricciones estrictas a la transferencia transfronteriza de datos y exige que todas las empresas que operan en su territorio almacenen sus datos localmente. Estas medidas buscan proteger la información sensible de interés nacional al tiempo que consolidan el control gubernamental sobre los datos y las infraestructuras digitales.
Estas normativas crecientes crean un entorno fragmentado en el que las organizaciones internacionales deben lidiar con exigencias a veces contradictorias. Esta fragmentación, además de generar tensiones geopolíticas, redefine profundamente las estrategias de las empresas y las obliga a navegar por un marco normativo cada vez más complejo.
Auge de los ataques a la cadena de suministro de aplicaciones
La creciente complejidad de los ecosistemas de software, marcada por dependencias difíciles de vigilar y por un uso insuficientemente controlado de componentes de terceros, ofrece un terreno fértil a los ciberdelincuentes.
En 2025, los ataques dirigidos a la cadena de suministro de aplicaciones deberían intensificarse de forma significativa. Los ciberatacantes concentrarán sus esfuerzos en la inyección de código malicioso o de vulnerabilidades en bibliotecas de terceros y en proyectos de código abierto muy utilizados. Una vez comprometidos, estos componentes permitirán piratear de forma sistémica un vasto ecosistema de aplicaciones que los integran, provocando ciberataques de gran envergadura.
Los impactos de tales ataques serán considerables: compromiso de los datos de los usuarios, interrupción de servicios críticos y perturbación de la actividad de las organizaciones. Ante estos riesgos, la directiva europea NIS2, en vigor desde finales de 2024, impone nuevos requisitos, en particular la realización de auditorías de seguridad periódicas de las aplicaciones.
Este texto marca un giro en materia de responsabilidad: las organizaciones son ya responsables de la seguridad de los módulos de terceros integrados en sus aplicaciones. Para contrarrestar estas amenazas, la adopción de herramientas de análisis avanzado y la integración de mecanismos de certificación se vuelven imperativas para garantizar la integridad de los componentes de software desde las etapas de desarrollo. Asegurar la cadena de suministro de aplicaciones se impone así como una prioridad estratégica, esencial para preservar la estabilidad y la seguridad de los ecosistemas digitales modernos.
Un futuro moldeado por los ordenadores cuánticos
La aparición de los ordenadores cuánticos, aunque lejos de dominar el panorama tecnológico actual, representa una amenaza emergente que las organizaciones deben anticipar desde hoy. En julio de 2022, el NIST (National Institute of Standards and Technology, EE. UU.) anunció cuatro algoritmos de criptografía concebidos para resistir a la computación cuántica, marcando así el inicio de una era en la que la criptografía tradicional deberá replantearse por completo.
Grandes actores como Gartner y Palo Alto Networks consideran de hecho la computación cuántica una prioridad mayor para 2025. Aunque a día de hoy los ordenadores cuánticos no constituyen una amenaza inmediata, las organizaciones deben planificar ya su transición hacia algoritmos de criptografía resistentes a lo cuántico. Esta transición está lejos de ser una simple actualización: no existen soluciones «listas para usar» que permitan reemplazar directamente los cifradores actuales por cifradores resistentes a los ordenadores cuánticos.
El NIST subraya en un libro blanco que cada clase de algoritmos candidatos impone exigencias técnicas específicas, lo que hace inadecuados los reemplazos directos. Así, la actualización de la criptografía debe abordarse como un proyecto de envergadura.
Para quienes deciden, la primera etapa es clara: inventariar los datos sensibles y los sistemas de cifrado existentes. Una transición hacia algoritmos resistentes a la computación cuántica requiere una planificación rigurosa y una implantación progresiva. Este proyecto ambicioso es, no obstante, esencial para garantizar la resiliencia de los sistemas en un futuro en el que la computación cuántica será omnipresente.
