El ciberjefe británico avisa: el ransomware con IA llegará a infraestructuras críticas antes de 2028

El 3 de noviembre de 2026, el Centro Nacional de Ciberseguridad del Reino Unido (NCSC, parte del servicio de inteligencia GCHQ) presentó su informe State of the Cyber Nation, que repasa el periodo entre el 1 de septiembre de 2025 y el 31 de agosto de 2026. Su director ejecutivo, Richard Horne, lo acompañó con un discurso y con un titular claro: es "muy probable" (highly likely, en la escala de probabilidad que usan los analistas británicos) que se utilice malware potenciado con inteligencia artificial en un ataque de ransomware contra la infraestructura crítica nacional del país antes de 2028.

Conviene aclarar los términos. El ransomware es un programa malicioso que cifra los archivos de una organización y exige un pago para devolverlos. La infraestructura crítica son los servicios sin los que un país se paraliza: energía, agua, transporte, sanidad o alimentación. Y "malware potenciado con IA" significa software dañino que usa modelos de inteligencia artificial para tomar decisiones por su cuenta, por ejemplo qué fallo probar a continuación, en lugar de seguir un guion fijo escrito por una persona.

Según el NCSC, en los próximos dos años el uso de la IA por parte de actores hostiles probablemente aumentará la escala y la eficacia de tres cosas: el ransomware, la ingeniería social (engañar a personas para que entreguen accesos o datos) y la explotación de vulnerabilidades (fallos de seguridad en programas y sistemas). Horne insiste en un matiz importante: la IA no ofrece a los atacantes métodos nuevos, sino que permite encontrar y explotar mucho más rápido y a mayor escala debilidades que llevaban años siendo toleradas.

De ahí la frase que resume su discurso: "durante décadas hemos salido adelante haciendo tecnología barata". Horne describió al Reino Unido en un "momento de elegir" y pidió a las organizaciones que asuman ya la responsabilidad de tomar decisiones distintas, tratando la seguridad y la resiliencia como algo central y no como un añadido de última hora. También advirtió de las consecuencias de no hacerlo: tener que explicar a las partes interesadas qué ocurrió "cuando no hay comida en las estanterías, no hay luz y hay empresas que han quebrado".

El informe no se queda en la advertencia y recoge inversión pública. El Gobierno británico destina 60 millones de libras a la primera fase de un Cyber Shield nacional y 70 millones a un centro llamado NERV (National Exposure and Real-Time Vulnerability Centre), pensado para identificar vulnerabilidades en infraestructuras críticas y en el resto de la economía. El NCSC también ha anunciado un Centro de Excelencia en Ciberseguridad de IA, que gestionará la propia agencia en Manchester. Además, el Ejecutivo sigue tramitando la Cyber Security and Resilience Bill (ley de ciberseguridad y resiliencia) y prepara un Plan Nacional de Acción en Ciberseguridad.

La IA aparece también como oportunidad: el NCSC señala que puede ayudar a mejorar la resiliencia nacional, pero solo si las organizaciones corrigen antes sus debilidades de fondo. Esa es la lógica de las recomendaciones concretas del aviso: corregir la falta de inversión en tecnología, no conectar a internet lo que no hace falta, tratar Cyber Essentials (el esquema básico de certificación británico) como punto de partida y no como meta, y adaptar la resiliencia al tamaño, la complejidad y el riesgo de cada organización, apoyándose en herramientas, estándares y marcos ya probados, que sirven igual contra ataques convencionales y contra los que usan IA.

Lo que el aviso no dice también importa. Es una evaluación de probabilidad, no un ataque confirmado: no describe un incidente concreto con malware de IA contra infraestructuras críticas ni da una fecha exacta. Tampoco detalla qué herramientas ni qué grupos lo harían. Es una previsión de una agencia con acceso a inteligencia, con el valor y los límites de toda previsión, y habla del Reino Unido; no es una evaluación sobre España ni sobre la Unión Europea.