La autoridad de control neerlandesa advierte de que la IA está intensificando los riesgos de phishing y brechas de datos, mientras aumentan drásticamente las apropiaciones de cuentas y los ciberdelincuentes utilizan información robada para crear ataques cada vez más convincentes.
El informe de la Autoriteit Persoonsgegevens (AP) sobre brechas de datos de 2025 advierte de que la inteligencia artificial está haciendo que los ciberataques sean más sofisticados y está incrementando los riesgos de phishing, apropiación de cuentas y nuevas brechas de datos. La autoridad neerlandesa de protección de datos registró 39.407 notificaciones de brechas de datos en 2025, frente a las 37.839 de 2024, y los ciberataques fueron responsables de 2.428 de los incidentes notificados. Las conclusiones muestran que la IA no está sustituyendo a las ciberamenazas tradicionales, sino que las está haciendo más rápidas, convincentes y fáciles de desplegar a gran escala.
La AP registró más de 39.000 notificaciones de brechas de datos durante 2025.
El número total de brechas de datos notificadas aumentó aproximadamente un cuatro por ciento entre 2024 y 2025. Aunque la cifra global incluye incidentes provocados por numerosos factores diferentes, la AP destaca la ciberdelincuencia como una fuente especialmente grave de daños, ya que los ataques pueden exponer grandes volúmenes de datos personales y generar riesgos persistentes para las personas afectadas.
Las 2.428 notificaciones relacionadas con ciberataques representan únicamente una parte del número total de brechas notificadas, pero sus consecuencias pueden extenderse mucho más allá de la organización inicialmente comprometida. La información robada relativa a la identidad, los datos de contacto, la información financiera o los datos de clientes puede reutilizarse para cometer fraude y llevar a cabo ataques dirigidos, lo que permite que el impacto de una brecha continúe mucho después del incidente original.
La IA está haciendo que los mensajes de phishing sean más realistas, personalizados y escalables.
En su publicación complementaria, La IA aumenta los riesgos de los ciberataques, la AP explica cómo los delincuentes pueden utilizar la IA para generar mensajes de phishing realistas con mayor rapidez y a una escala mucho mayor. La información expuesta en brechas anteriores, incluidos nombres, datos de contacto y relaciones con bancos o proveedores de servicios, puede utilizarse para hacer que esos mensajes parezcan creíbles y personalmente relevantes.
El peligro no reside únicamente en que la IA pueda generar textos bien redactados. También puede ayudar a los atacantes a adaptar los mensajes a destinatarios concretos, imitar comunicaciones conocidas y operar en distintos idiomas y canales con un menor esfuerzo. Estas capacidades reducen algunas de las barreras prácticas para llevar a cabo campañas de phishing convincentes a gran escala.
El phishing es tanto una consecuencia como una causa cada vez más importante de las brechas de datos.
La AP describe una relación que se retroalimenta entre el phishing y las brechas de datos. Los delincuentes pueden utilizar la información obtenida a través de una brecha para elaborar mensajes más persuasivos; a su vez, un mensaje exitoso puede permitir comprometer la cuenta de un empleado o cliente y facilitar el acceso a nuevos datos personales. Esa nueva información robada puede utilizarse posteriormente para mejorar la siguiente ronda de ataques.
Este «efecto de retroalimentación» implica que la calidad de los datos puede jugar a favor del atacante. Cuanto más precisa y contextualizada sea la información robada, más sencillo resulta crear un mensaje que parezca proceder de una organización de confianza. La IA acelera este ciclo al ayudar a los delincuentes a analizar, combinar y reutilizar la información de forma más eficiente.
Las notificaciones de apropiación de cuentas casi se triplicaron en un solo año.
La evidencia estadística más clara de la evolución de la amenaza es el aumento de las apropiaciones de cuentas notificadas a la AP. Las notificaciones pasaron de 607 en 2024 a 1.742 en 2025, casi tres veces más. Un correo electrónico aparentemente auténtico que contenga un enlace fraudulento puede permitir a los delincuentes obtener credenciales, hacerse con el control de la cuenta de un empleado e iniciar un ataque más amplio contra la organización.
La AP también señala la disponibilidad de kits de phishing ya preparados. Estos paquetes permiten que personas con conocimientos técnicos relativamente limitados lancen ataques utilizando herramientas e infraestructura previamente configuradas. Cuando estos servicios se combinan con contenidos generados mediante IA, las organizaciones pueden enfrentarse a un mayor volumen de ataques creíbles procedentes de un abanico más amplio de actores maliciosos.
El informe no establece que todas las grandes brechas hayan sido causadas por la IA.
La advertencia de la AP se refiere a la forma en que la IA amplifica métodos de ciberataque ya conocidos. No debe interpretarse como prueba de que la IA haya causado directamente todos los incidentes de ransomware, compromisos de cuentas o divulgaciones a gran escala registrados durante el año. Cuando no se haya atribuido públicamente a la IA la causa de una brecha concreta, presentar dicha relación como un hecho iría más allá de las pruebas disponibles.
La conclusión más sólida es que las organizaciones deben defenderse ahora frente a amenazas conocidas que operan con mayor velocidad, personalización y escala. El phishing, el robo de credenciales y la ingeniería social continúan siendo riesgos consolidados, pero la IA puede mejorar la calidad y la eficiencia de las técnicas empleadas para explotarlos.
La seguridad digital debe tratarse como una responsabilidad de protección de datos a nivel del órgano de administración.
La AP insta a los miembros de los órganos de administración y a los equipos directivos, especialmente en las organizaciones de mayor tamaño, a considerar la seguridad digital como una prioridad y no como una cuestión operativa secundaria. Esto refleja tanto los posibles daños para las personas como las consecuencias comerciales de un incidente grave, incluidas las interrupciones de la actividad, los costes de remediación, el escrutinio regulatorio y la pérdida de confianza de los clientes.
Las organizaciones deben revisar sus controles de identidad y acceso, reforzar la autenticación multifactor, supervisar la actividad inusual en las cuentas y garantizar que los empleados puedan reconocer y notificar intentos de phishing sofisticados. Los procesos de respuesta a incidentes deben abordar no solo la contención y la notificación, sino también la posibilidad de que los datos expuestos puedan reutilizarse en ataques posteriores.
Las medidas de ciberseguridad también deben integrarse en un marco más amplio de gobernanza de datos. La minimización de datos, unos periodos de conservación adecuados y las restricciones de acceso pueden reducir el volumen de información disponible en caso de que un atacante consiga acceder a los sistemas. Las evaluaciones periódicas de riesgos y las evaluaciones de impacto relativas a la protección de datos (EIPD) pueden ayudar a las organizaciones a identificar aquellos casos en los que nuevas tecnologías, actividades de tratamiento o servicios de terceros modifican su nivel de exposición.
Descubre cómo Aphaia ayuda a las organizaciones a integrar el cumplimiento del RGPD en sus operaciones.
Una prevención eficaz de las brechas de datos requiere que las organizaciones conecten la ciberseguridad, la gobernanza de la privacidad y la responsabilidad proactiva. Aphaia ayuda a las organizaciones a evaluar los riesgos para la protección de datos, realizar EIPD, reforzar los mecanismos de respuesta ante incidentes y desarrollar programas de cumplimiento capaces de responder a la evolución de las amenazas facilitadas por la IA.
