Informe de defensa digital de Microsoft 2026: los atacantes están entrando por puertas confiables y los agentes de inteligencia artificial son los siguientes
La mayoría de las intrusiones cibernéticas todavía comienzan con una persona o una credencial robada, no con un exploit de software inteligente. Esta es la conclusión central del Informe de Defensa Digital de Microsoft 2026, que cubre la actividad entre julio de 2025 y junio de 2026. El informe agrega que la IA está ampliando la superficie de ataque y reduciendo el tiempo que los defensores tienen para reaccionar.
La identidad es donde comienzan la mayoría de las violaciones
Microsoft afirma que la ejecución de usuarios, el phishing, la suplantación de identidad y el uso de cuentas válidas siguen siendo las formas más comunes de entrada de los atacantes. La compañía también descubrió que el 52,2% de los hackeos de cuentas válidas involucraron un posterior robo de credenciales, lo que significa que un inicio de sesión comprometido a menudo allana el camino para muchos más.
La escala de la ingeniería social es enorme. Microsoft detectó más de 46 millones de ataques de suplantación de contactos comerciales el año pasado y más de 145 millones de ataques de phishing con códigos QR a través de Defender para Office 365. Entre el 89 y el 95 por ciento de los archivos adjuntos de phishing condujeron a un intento de robo de credenciales. En el phishing de voz, el 93% de las llamadas mantuvieron a la víctima en la línea el tiempo suficiente para que el atacante comenzara a manipularla.
La respuesta del informe es una disciplina anticuada: autenticación multifactor resistente al phishing, claves de acceso, acceso privilegiado más estricto y menos permisos permanentes. Destaca que esto ahora también se aplica a las identidades no humanas, incluidas las aplicaciones y agentes de IA.
La IA como herramienta y objetivo
El informe aborda la IA de dos maneras. Los atacantes lo utilizan para moverse más rápido y operar a mayor escala, y cada vez más apuntan a los propios sistemas de inteligencia artificial.
Microsoft cita un caso de diciembre de 2025 en el que una extensión de navegador maliciosa, instalada más de 600.000 veces, recopiló historiales de conversaciones de ChatGPT y DeepSeek. La actividad afectó a casi 10.000 organizaciones antes de ser contenida. Estos historiales suelen contener código fuente, datos de clientes y credenciales.
La adopción avanza rápidamente. Según las cifras citadas en el informe, el 88% de las empresas están experimentando con agentes de IA y el 82% de los líderes planean implementaciones más amplias en un plazo de 12 a 18 meses. Las proyecciones de la industria sitúan el número de agentes en producción en alrededor de 1.300 millones para 2028.
Microsoft agrupa los riesgos relacionados con los agentes en cinco clases: manipulación de indicaciones e intenciones, exposición de datos confidenciales, identidad y privilegios comprometidos, agencia excesiva y pérdida de integridad operativa. Su recomendación a los formuladores de políticas es definir cómo se gobierna la identidad de los agentes antes de que los agentes superen en número a las personas.
¿A quién se dirige?
Las agencias y servicios gubernamentales representaron el 27 por ciento de la actividad de amenazas por sector, por delante de la tecnología de la información con el 17 por ciento y la investigación y el mundo académico con el 14 por ciento. Microsoft dice que estos objetivos comparten datos valiosos, amplia información personal, infraestructura a menudo mal monitoreada y poca tolerancia al tiempo de inactividad. Estados Unidos representó la mayor proporción de la actividad observada, con un 25,5% entre enero de 2025 y junio de 2026.
La velocidad también es una preocupación en la nube. Las cargas de trabajo en la nube expuestas fueron atacadas después de un promedio de 5,3 horas, y el 63% de los ataques involucraron robo de datos. En infraestructuras críticas, el 78% de las técnicas observadas se basaron en el abuso de identidad en la nube.
Ransomware y un raro éxito disruptivo
Las detonaciones de rescate contra empresas aumentaron un 15,8% interanual, siendo la producción crítica el sector más afectado en términos de número de ataques.
Un resultado fue en sentido contrario. En marzo de 2026, Microsoft trabajó con las autoridades y socios de la industria para derribar la infraestructura detrás del servicio de phishing Tycoon2FA. En junio, su actividad disminuyó un 95% desde su pico de noviembre de 2025. Su proporción de phishing controlado por CAPTCHA cayó del 76% al 12%.
Qué significa esto para las organizaciones nigerianas y africanas
Los datos a nivel de país del informe se encuentran en un mapa interactivo y el texto publicado no presenta cifras para los mercados africanos individuales, por lo que este artículo no hace afirmaciones sobre la clasificación de Nigeria. Los patrones que describe todavía resultan familiares para cualquiera que observe la economía digital del continente.
Los bancos, las fintechs y las empresas de telecomunicaciones aquí dependen de servicios móviles y de identidad, que es el tipo de entorno donde el robo de credenciales y la suplantación dan sus frutos. Muchas empresas también están empezando a conectar asistentes de IA con los datos de los clientes, a menudo más rápido que estableciendo reglas sobre a qué pueden acceder estas herramientas. Para las empresas que manejan datos personales, esto plantea interrogantes en virtud de la Ley de Protección de Datos de Nigeria sobre supervisión y responsabilidad.
La guía de Microsoft es principalmente higiene básica: reducir la exposición, imponer una autenticación sólida, limitar el alcance de cualquier identidad y compartir señales de amenaza entre sistemas para que los patrones se vuelvan visibles. El informe también señala que el documento completo profundiza en la seguridad de la cadena de suministro, la infraestructura crítica y la resiliencia nacional.
El argumento más amplio del informe es que ya no se puede asumir la confianza en los sistemas digitales y debe verificarse, ya sea que la otra parte sea un colega, un usuario o un agente de IA.
