Cada año, Mandiant publica el M-Trends con algo que ningún otro informe de la industria tiene, datos construidos desde dentro de los incidentes, no desde encuestas o telemetría pasiva. El M-Trends 2026 se basa en más de 500.000 horas de investigaciones de incidentes reales conducidas globalmente durante 2025. Lo que documenta este año no es una tendencia emergente, es una bifurcación clara del ecosistema adversarial que tiene implicaciones directas para cómo los defensores deben priorizar sus recursos.

En un extremo del espectro, los grupos criminales optimizaron para velocidad e impacto inmediato. En el otro, los grupos de espionaje optimizaron para persistencia extrema y evasión total. Las defensas diseñadas para un perfil ya no funcionan para el otro. Y la mayoría de las organizaciones sigue operando con una arquitectura que asume un adversario promedio que en 2025 prácticamente no existe.

Los números que definen el año

El dwell time global el tiempo que un atacante permanece en la red antes de ser detectado, subió de 11 días en 2024 a 14 días en 2025. Por sí solo, ese número podría interpretarse como un retroceso menor. Pero desglosado por categoría de amenaza, el dato se vuelve más revelador: para incidentes de espionaje y trabajadores IT norcoreanos infiltrados, el dwell time mediano fue de 122 días. Cuatro meses de presencia silenciosa antes de la primera detección.

La detección interna mejoró: el 52% de las organizaciones detectó actividad maliciosa internamente en 2025, frente al 43% en 2024. Es el indicador más positivo del reporte y refleja inversiones reales en visibilidad. Pero ese porcentaje también significa que en casi la mitad de los casos el incidente fue reportado por un tercero, el atacante ya había logrado sus objetivos cuando alguien más lo notificó.

Vectores de acceso inicial: el mapa real de cómo entran

Los exploits se mantuvieron como el vector más frecuente por sexto año consecutivo, con el 32% de las intrusiones. Lo que cambió es el segundo lugar. El vishing, phishing de voz interactivo subió al 11%, desplazando al email phishing, que cayó al 6%. El "prior compromise", acceso a través de credenciales o infraestructura comprometida previamente, se ubicó en el 10% del total, pero lideró como vector en operaciones de ransomware con el 30%, el doble de lo que era en 2024.

El descenso del email phishing al 6% no significa que el phishing dejó de ser relevante, significa que los controles técnicos de correo mejoraron lo suficiente para que los atacantes migraran a canales con menor fricción defensiva. El teléfono no tiene SPF, DKIM ni DMARC. No tiene sandbox de adjuntos ni filtros de reputación de URL. Y cuando quien llama suena exactamente como el jefe de IT pidiendo que se apruebe una sesión de soporte remoto, la tasa de éxito es significativamente más alta que la de cualquier correo.

El colapso de la ventana de handoff

Uno de los hallazgos más operativamente significativos del reporte es lo que Mandiant llama el colapso de la "hand-off window". En 2022, el tiempo mediano entre el acceso inicial de un initial access broker y la transferencia a un grupo secundario de ransomware era más de 8 horas. En 2025, ese tiempo colapsó a 22 segundos.

El mecanismo detrás de ese número es importante: los initial access brokers ahora pre-instalan el malware o los túneles del grupo secundario durante la propia infección inicial. Cuando el grupo de ransomware "toma el relevo", ya tiene todo desplegado y listo para operar. No hay una fase de preparación manual, hay una activación.

La implicación para los playbooks de respuesta es directa: una alerta de malware de bajo impacto ya no es un indicador de un incidente contenido. Es potencialmente el indicador de que en los próximos segundos un grupo de ransomware va a tener acceso interactivo a la red. El tiempo de respuesta que antes se medía en horas ahora tiene que medirse en minutos.

Ransomware evolucionó de cifrado a destrucción de recuperación

El reporte documenta un cambio sistémico en la operativa de grupos como REDBIKE (Akira) y AGENDA (Qilin), ya no optimizan solo para cifrar datos sino para destruir activamente la capacidad de recuperarse sin pagar.

Las técnicas documentadas por Mandiant incluyen la explotación de plantillas mal configuradas de Active Directory Certificate Services para crear cuentas de administrador que sobreviven al reset de contraseñas, el borrado deliberado de objetos de backup en almacenamiento cloud y el cifrado directo de datastores de hipervisores para inutilizar todas las máquinas virtuales asociadas simultáneamente.

Un hipervisor comprometido es un ataque a nivel de infraestructura, no a nivel de endpoint y la mayoría de los controles de seguridad viven en los endpoints.

Esta evolución convierte el ransomware en un problema de resiliencia operacional, no solo de seguridad. La pregunta ya no es "¿podemos recuperar los archivos cifrados?" sino "¿podemos reconstruir la infraestructura completa desde cero?" Para muchas organizaciones que no tienen backups inmutables aislados del dominio corporativo, la respuesta honesta es no.

El espionaje silencioso: 400 días sin ser detectado

Mientras los grupos criminales optimizan para velocidad, los grupos de espionaje optimizan para invisibilidad. Los clusters UNC6201 y UNC5807 documentados en M-Trends 2026 operan con un patrón consistente, comprometer dispositivos de red perimetrales como VPNs y routers que típicamente no tienen telemetría de EDR, desplegar malware en memoria como el backdoor BRICKSTORM que sobrevive reboots, y capturar credenciales en texto plano del tráfico en tránsito.

El tiempo de explotación promedio de vulnerabilidades cayó a -7 días — es decir, la explotación ocurre en promedio 7 días antes de que el parche esté disponible públicamente. Y el backdoor BRICKSTORM alcanzó dwell times de casi 400 días en casos documentados.

Aquí emerge el problema estructural más crítico que el reporte identifica: las políticas estándar de retención de logs de 90 días son completamente insuficientes para investigar intrusiones con dwell times de ese nivel. Una organización que detecta una intrusión hoy no puede reconstruir el vector de acceso inicial si ocurrió hace más de tres meses y los logs ya no existen.

El factor IA como acelerador, no protagonista

El reporte aborda el uso adversarial de IA con precisión que otros informes no tienen, Mandiant no la presenta como una amenaza revolucionaria, sino como un acelerador de capacidades existentes. Familias de malware como PROMPTFLUX y PROMPTSTEAL consultan LLMs en tiempo de ejecución para evadir detección. El credential stealer QUIETVAULT busca activamente herramientas de IA en los sistemas comprometidos para extraer configuraciones sensibles mediante prompts predefinidos.

Seamos claros: Mandiant no considera el año 2025 como el año en que las brechas fueron resultado directo de IA. La gran mayoría de las intrusiones exitosas siguen originándose en fallos humanos y sistémicos fundamentales. La IA los acelera y escala, pero no los reemplaza. Para entender cómo están usando IA los adversarios realmente, el informe de riesgo y resiliencia de IA de Mandiant ofrece el análisis más completo disponible.

Marco de respuesta para defensores

El M-Trends 2026 cierra con recomendaciones que Mandiant deriva directamente de los patrones de incidentes, no de mejores prácticas genéricas. Cinco prioridades concentran el mayor impacto defensivo.

1. Tratar las alertas de bajo impacto como indicadores críticos. Con tiempos de handoff de 22 segundos, una alerta de malware que antes podía procesarse en el siguiente turno ahora requiere respuesta inmediata. Los playbooks deben restructurarse para tratar la detección de acceso inicial como un indicador de intrusión inminente de mayor escala.
2. Aislar los planos de control críticos. Los entornos de virtualización y gestión deben tratarse como activos Tier-0 con las restricciones de acceso más estrictas disponibles. Los backups deben estar desacoplados del dominio corporativo de Active Directory y usar almacenamiento inmutable, exactamente la configuración que los grupos de ransomware documentados atacan primero cuando no la encuentran.
3. Migrar a verificación continua de identidad. Porque el vishing interactivo bypasea el MFA tradicional con regularidad, las organizaciones deben implementar principio de menor privilegio estricto, auditar regularmente las integraciones SaaS, y enrutar todas las aplicaciones SaaS a través de un proveedor de identidad centralizado.
4. Transicionar de IOCs estáticos a detección de anomalías comportamentales. Con atacantes que cambian infraestructura rápidamente y despliegan malware en memoria, los indicadores de compromiso estáticos llegan tarde o no llegan. Los modelos de detección basados en comportamiento que identifican desviaciones del baseline, acceso inusual a dispositivos de red, operaciones API en bulk anómalas, uso sospechoso de tokens de integración SaaS son el control que captura lo que los IOCs estáticos no ven.
5. Extender la retención de logs más allá de los 90 días estándar. Con dwell times de espionaje que alcanzan 400 días, la retención de 90 días deja a las organizaciones completamente ciegas al vector de acceso inicial y al alcance real de la intrusión. Los logs de dispositivos de red y telemetría de hipervisores deben centralizarse en almacenamiento de largo plazo independiente del entorno comprometido.

Conclusión: dos adversarios distintos requieren dos modelos de defensa distintos

El M-Trends 2026 documenta una divergencia que tiene consecuencias arquitecturales concretas. El adversario criminal opera a velocidad de máquina con handoffs de 22 segundos y ransomware que destruye antes de que se pueda responder. El adversario de espionaje opera con paciencia extrema, 400 días de invisibilidad y técnicas que evaden los controles diseñados para detectar al adversario criminal.

La organización que construya su arquitectura defensiva solo para uno de los dos perfiles tendrá una brecha estructural frente al otro. El reporte de Mandiant no es un documento académico, es el mapa de lo que realmente está pasando en las redes de las organizaciones más grandes del mundo hoy. La pregunta para cada equipo de seguridad es qué porcentaje de esa realidad cubre su arquitectura actual.