Espionaje con IA, ataques a redes y déficit presupuestario: 2026 será el año más riesgoso para los organismos estatales en todo el mundo

En 2026 es cada vez más difícil para las instituciones públicas describir riesgos cibernéticos con una sola palabra o un solo enemigo. Los analistas, consultados por ISMG, consideran que las amenazas se superpondrán: en medio de decisiones políticas y de inversiones desiguales se agravan problemas antiguos, y la adopción de la IA en el sector público avanza más rápido de lo que surge un sistema claro de gobernanza y responsabilidad.

El director de Cyber Threat Alliance, Michael Daniel, señala que el principal riesgo no es un nuevo malware o una táctica inesperada de los atacantes, sino el efecto acumulativo de que el nivel federal se aleje gradualmente de la ciberseguridad como prioridad. Según su evaluación, la reducción de recursos y capacidades en el centro aumenta automáticamente el riesgo para todos los niveles de gobierno. Al mismo tiempo, el conjunto básico de amenazas probablemente seguirá siendo el mismo: los extorsionadores continuarán atacando a las administraciones locales y a los sistemas escolares, las filtraciones de datos personales perseguirán a los organismos, y el ciberespionaje permanecerá como una presión constante sobre las redes federales. Cambia otra cosa: quién tendrá que "soportar el golpe" y si los estados y los municipios están preparados para ello.

Daniel considera como otro factor amplificador las señales que los adversarios interpretan a partir de la política estadounidense, incluyendo cómo los riesgos cibernéticos se reflejan en los documentos estratégicos. Otro problema adicional son las complicaciones en la cooperación con los aliados tradicionales, lo que dificulta compartir inteligencia y construir una defensa conjunta.

En CSIS la principal amenaza externa se identifica en China, especialmente ante el hecho de que la IA se integra cada vez más en las operaciones ofensivas. La subdirectora del programa de tecnologías estratégicas, Lorin Williams, señala los informes de Anthropic sobre una campaña de ciberespionaje de un grupo chino, en la que una parte significativa de las instrucciones se ejecutó de forma autónoma. En su opinión, la combinación de un adversario estatal y el papel acelerador de la IA podría ser un factor decisivo ya en 2026, y habrá que proteger no solo las redes de las agencias, sino también la infraestructura crítica y las comunicaciones.

Williams advierte por separado que el crecimiento explosivo de la IA y de la infraestructura de centros de datos puede introducir nuevas vulnerabilidades en el sistema eléctrico de Estados Unidos, que ya es considerado por los adversarios como un objetivo estratégico. Cree que la ciberprotección debe incorporarse directamente a las discusiones sobre el consumo energético y el desarrollo de la IA, y que los organismos y las regiones deben participar más activamente en el intercambio de datos sobre amenazas, en particular en torno a la seguridad de las redes eléctricas.

El abogado de EPIC, Christopher Frascella, identifica como la orientación más inquietante los ataques a las redes de comunicaciones y la ausencia de una respuesta firme ante fallos conocidos. Señala la decisión de la FCC de retirar una aclaración adoptada tras lo que se llamó el mayor ciberataque en la historia de Estados Unidos, y que CISA no publica el informe de 2022 sobre vulnerabilidades de redes, que los legisladores consideran extremadamente preocupante. En el contexto de recortes de presupuesto y personal, los expertos hablan del primer año de un deterioro notable de la postura defensiva general.

Frascella subraya que el acceso a las comunicaciones no solo implica la interceptación de conversaciones, sino también la comprometedora de contraseñas de un solo uso, lo que supone la intrusión en cuentas sensibles y ataques de suplantación de identidad más convincentes, incluyendo la toma de redes sociales para estafas y esquemas relacionados con criptomonedas. Considera que la débil respuesta a campañas como Salt Typhoon y la falta de un apoyo bipartidista sostenido a la ciberseguridad pueden impulsar a nuevos atacantes a golpear la infraestructura de comunicaciones.

Además, los expertos señalan un problema específico de la IA: la adopción va por delante de la gobernanza. Daniel cree que los atacantes están desplegando la IA más lentamente de lo esperado, pero esa "ventana" puede cerrarse rápidamente, especialmente en la ingeniería social. Williams advierte sobre la presión para desplegar rápidamente herramientas de IA sin comprender completamente los riesgos de toda la pila tecnológica, y Frascella critica el enfoque regulatorio que deja vacíos en responsabilidad y transparencia. Entre las amenazas que destaca están el envenenamiento de los datos de entrenamiento, la inyección de prompts y la falta de formación de los usuarios.