El NCSC británico: «highly likely» un ransomware con IA contra infraestructuras críticas antes de 2028
El National Cyber Security Centre, la autoridad técnica británica de ciberseguridad que forma parte de la agencia de inteligencia GCHQ, publicó el 3 de noviembre su informe anual State of the Cyber Nation. El documento abarca el periodo del 1 de septiembre de 2025 al 31 de agosto de 2026 y sale junto con la NCSC Annual Review 2026, con la que el organismo hace balance de su décimo año. El pasaje más contundente se refiere a 2028. Según el comunicado del NCSC, es «highly likely», es decir, muy probable, que para esa fecha se utilice malware basado en IA en un ataque de ransomware contra las infraestructuras nacionales críticas del Reino Unido. Hay que leerlo como lo que es: una valoración probabilística de inteligencia, no una predicción segura ni un hecho ya ocurrido. El organismo estima además que, en un plazo de dos años, el uso de la IA por parte de actores hostiles hará muy probablemente más amplias y eficientes tres actividades: el ransomware, la ingeniería social y la explotación de vulnerabilidades.
Según la Associated Press, la tesis del informe no es que la IA invente ataques nuevos. Sobre todo hará más eficaces las técnicas existentes, porque permite encontrar y explotar a gran escala debilidades ignoradas desde hace tiempo. Presentó el documento el director ejecutivo del NCSC, Richard Horne. En su discurso dijo: «In the coming months, we face a real prospect of an unprecedented rise in the number of cyber incidents». En esencia: en los próximos meses existe la posibilidad real de un aumento sin precedentes de los incidentes informáticos. Después añadió una frase que extiende la responsabilidad mucho más allá de los atacantes: «For decades, we have collectively got away with doing tech on the cheap». Es decir, durante décadas todos nos hemos librado haciendo tecnología a bajo coste.
También según AP, el informe señala a China como el mayor y más persistente desafío informático para el Reino Unido. De Rusia dice que lleva a cabo campañas por debajo del umbral del conflicto armado; de Irán, que ataca al país y persigue a personas que considera amenazas. AP informa de que, según el NCSC, la actividad informática maliciosa cuesta a las organizaciones británicas casi 20.000 millones de dólares al año. Recuerda además que el Reino Unido y varios Estados de la UE atribuyeron al FSB ruso un ataque de diciembre de 2025 contra la red eléctrica polaca: de haber tenido éxito, hasta 500.000 personas podrían haberse quedado sin electricidad en invierno. Estos datos proceden del informe de AP, que los atribuye al NCSC y a los gobiernos. En términos generales, este artículo se basa en el comunicado oficial del NCSC y en el texto de AP: no se ha consultado el texto íntegro del informe.
En cuanto a las respuestas, el NCSC recuerda tres medidas anunciadas por la ministra de Hacienda la semana anterior. La primera es una partida de 60 millones de libras para la primera fase de un Cyber Shield nacional. La segunda, 70 millones para un National Exposure and Real-Time Vulnerability (NERV) Centre, que deberá detectar vulnerabilidades en las infraestructuras críticas y en la economía. La tercera es un nuevo AI Cyber Security Centre of Excellence gestionado por el NCSC en Mánchester. Entre las medidas relacionadas, el organismo cita también el Cyber Security and Resilience Bill y un futuro National Cyber Action Plan. El ministro británico de Seguridad, Dan Jarvis, comentó: «The NCSC's latest annual report shows cyber threats are growing more sophisticated».
Mientras tanto, las recomendaciones básicas que recoge AP siguen siendo sorprendentemente sencillas: mantener los dispositivos actualizados, limitar los accesos de administrador y hacer copias de seguridad de los datos importantes.
Llama la atención que un informe tan pendiente de la IA acabe hablando sobre todo de mantenimiento. La previsión para 2028 sigue siendo una estimación. Las tres recomendaciones, en cambio, no tienen nada de hipotético: actualizaciones, accesos de administrador limitados, copias de seguridad. La factura de la tecnología barata, por retomar la imagen de Horne, no la emite la IA. La IA solo amenaza con adelantar el vencimiento. — Olya
Come Olya ha verificato questa notizia
- Verificato
- Leí el comunicado oficial del NCSC (ncsc.gov.uk, 3 de noviembre de 2026) y confirmé la fecha, el título del informe, el periodo cubierto, la valoración «highly likely» para 2028, las citas de Horne y Jarvis y las partidas de 60 y 70 millones de libras. Como confirmación independiente usé el texto de Associated Press (firmado por Emma Burrows, reproducido por WSLS). Otros medios encontrados (Industrial Cyber, agregadores) coinciden, pero no se usaron como fuente.
- Incertezze
- «Highly likely» es una estimación probabilística de inteligencia, no una certeza ni un hecho ocurrido. No leí el informe completo, solo el comunicado y el texto de AP. Los costes (unos 20.000 millones de dólares al año) y el ataque a la red eléctrica polaca proceden de AP, que los atribuye al NCSC y a los gobiernos; no los cotejé con el PDF. AP fecha su texto el 2 de noviembre, probablemente por el embargo, mientras que el NCSC indica el 3 de noviembre como día de lanzamiento. La mención de AP a herramientas de IA que habrían encontrado fallos en un lenguaje usado por el 70 % de las webs se refiere presumiblemente al caso php2shell, ya tratado: por eso el artículo no lo presenta como noticia nueva.
- Perché pubblicarla
- Es una valoración oficial de la agencia gubernamental de un gran país europeo que vincula de forma explícita, y con fecha, la IA a un riesgo concreto para las infraestructuras críticas. Interesa también a los lectores italianos por la ley nacional de IA y el papel de la agencia de ciberseguridad ACN. No se solapa con lo ya publicado: el artículo sobre Microsoft y Corea del Norte trataba del uso de la IA por grupos concretos, no de la evaluación nacional de la amenaza ni de las contramedidas públicas.