Singapur detectó más del doble de sistemas infectados con malware en 2025

El décimo informe Singapore Cyber Landscape, elaborado por la Agencia de Ciberseguridad de Singapur (CSA), presenta una paradoja: los casos denunciados de phishing descendieron en 2025, pero aumentó con fuerza la cantidad de sistemas infectados con malware y subieron ligeramente los incidentes de ransomware. El documento también advierte de un ecosistema de amenazas más fácil de escalar gracias al malware como servicio, los dispositivos conectados vulnerables y el uso indebido de la inteligencia artificial.

284.300 sistemas infectados: una cifra que más que duplica la de 2024

Singapur detectó 284.300 sistemas infectados con malware en 2025, frente a los 117.300 registrados en 2024. El incremento fue del 142% y se atribuyó tanto a la persistencia de la actividad maliciosa como a una mejor detección de dispositivos integrados en botnets.

La cifra requiere una lectura cuidadosa. No significa necesariamente que todas las infecciones adicionales se produjeran durante 2025: una detección más eficaz puede sacar a la luz sistemas comprometidos que antes pasaban inadvertidos. Aun así, el dato muestra el volumen de infraestructura comprometida visible para los equipos de defensa singapurenses y la superficie de ataque que representan los dispositivos conectados.

El papel del malware como servicio y del Internet de las cosas

El informe relaciona el aumento del malware con la expansión del malware como servicio (malware-as-a-service), un modelo que permite a delincuentes utilizar herramientas maliciosas sin tener que desarrollar por sí mismos toda la infraestructura técnica.

Los dispositivos de consumo conectados a internet —incluidos routers mal configurados o sin actualizar— ofrecen además una amplia reserva de posibles equipos para las botnets. La CSA informó de ataques contra routers sin parchear en varias organizaciones. Los atacantes crearon cuentas de administrador no autorizadas e instalaron herramientas capaces de mantenerse incluso después de futuras actualizaciones de seguridad.

Como respuesta, los routers residenciales comercializados en Singapur deberán cumplir los requisitos del Cybersecurity Labelling Scheme de nivel 2 antes de finales de 2027. El objetivo es elevar el nivel mínimo de protección de unos dispositivos que pueden convertirse en una puerta de entrada a una red o en parte de una botnet.

La inteligencia artificial acelera y hace más creíbles los ataques

La CSA describe un entorno de amenazas cada vez más complejo y habilitado por la inteligencia artificial. Estas herramientas pueden ayudar a producir mensajes fraudulentos y contenidos sintéticos más convincentes a una velocidad y escala mayores. Las autoridades singapurenses también han alertado sobre estafas que recurren a medios manipulados, incluidos los deepfakes.

En la práctica, ya no basta con buscar faltas de ortografía, imágenes rudimentarias o mensajes mal redactados para identificar una estafa. Empresas y usuarios necesitan verificar las solicitudes inusuales mediante canales de confianza, proteger sus cuentas con métodos sólidos de autenticación y limitar el impacto si un dispositivo o una identidad digital resultan comprometidos.

Menos phishing denunciado, pero no necesariamente menos riesgo

Los intentos de phishing comunicados a las autoridades descendieron aproximadamente una quinta parte: de unos 6.100 casos en 2024 a alrededor de 4.800 en 2025.

La caída no debe interpretarse como una victoria definitiva. Las cifras reflejan los incidentes denunciados, no todos los intentos que se produjeron. Además, los contenidos generados o manipulados con IA pueden hacer que la suplantación y el fraude resulten más persuasivos, aunque disminuya el volumen registrado por los organismos oficiales.

La evidencia disponible no permite establecer con suficiente fiabilidad qué sectores o instituciones extranjeras fueron los más suplantados en 2025. Por eso, el informe no debe utilizarse para elaborar una clasificación concluyente sobre ese punto.

El ransomware siguió golpeando a las pymes

Los casos de ransomware pasaron de 159 en 2024 a 165 en 2025. Las pequeñas y medianas empresas se vieron afectadas de forma desproporcionada, una situación que refleja las dificultades de mantener defensas cibernéticas maduras con presupuestos y recursos más limitados.

Para las pymes, la respuesta es sobre todo operativa: aplicar parches con regularidad, probar las copias de seguridad, reforzar los controles de acceso y contar con un plan de respuesta a incidentes ensayado. La resiliencia no depende únicamente de evitar todos los ataques, sino también de poder contenerlos y recuperar rápidamente las operaciones esenciales.

Operation Cyber Guardian puso a prueba la respuesta nacional

Uno de los episodios más relevantes involucró al actor de amenazas persistentes avanzadas UNC3886, que intentó infiltrarse en los cuatro principales operadores de telecomunicaciones de Singapur. Las autoridades respondieron con Operation Cyber Guardian, descrita en las fuentes proporcionadas como la mayor operación coordinada de respuesta a incidentes cibernéticos del país. La amenaza fue contenida sin interrupciones comunicadas en los servicios de telecomunicaciones ni pruebas de que los datos de clientes hubieran quedado comprometidos.

El caso explica por qué las infraestructuras críticas requieren un tratamiento específico. Un ataque que afecte a las telecomunicaciones, la energía, las finanzas o la sanidad puede tener consecuencias mucho más amplias que las sufridas por una sola empresa. De ahí la importancia de coordinar a los operadores con los organismos públicos.

Nuevas exigencias para las infraestructuras críticas

El marco singapurense de infraestructuras críticas de información abarca 11 sectores:

• Aviación
• Banca y finanzas
• Energía
• Gobierno
• Sanidad
• Infocomunicaciones
• Transporte terrestre
• Transporte marítimo
• Medios de comunicación
• Seguridad y servicios de emergencia
• Agua

La CSA exigirá a los propietarios de infraestructuras críticas de información obtener la certificación Cyber Trust Mark de nivel 5 antes de finales de 2027. El marco de certificación también se ha ampliado para incluir la seguridad de la nube, la tecnología operativa y la inteligencia artificial, además de los controles informáticos tradicionales.

El cambio desplaza el foco desde la protección de un sistema aislado hacia la supervisión de la red más amplia de sistemas y proveedores conectados. Esto resulta especialmente relevante cuando los atacantes utilizan routers expuestos, servicios en la nube o tecnología operativa como puntos de apoyo para llegar a entornos más valiosos.

Cambio de liderazgo en la CSA

David Koh, director ejecutivo fundador de la Agencia de Ciberseguridad de Singapur y comisario de Ciberseguridad, dejó ambos cargos el 1 de julio de 2026. Le sucedió Gwenda Fong.

El relevo se produjo después del periodo principal analizado en la publicación 2025/2026. Por tanto, debe entenderse como una transición de liderazgo para la siguiente etapa de la estrategia de resiliencia cibernética de Singapur, no como un dato perteneciente a las estadísticas de amenazas de 2025.

La conclusión: más visibilidad, más coordinación y estándares obligatorios

El mensaje central del informe no es simplemente que Singapur sufriera más ciberataques. Es que el país afronta un ecosistema de amenazas más fácil de ampliar y más difícil de reconocer, al tiempo que sus capacidades de detección y respuesta se vuelven más activas.

Tres conclusiones destacan:

1. El aumento del malware es grave, aunque refleja en parte una mayor visibilidad. La actividad persistente de las botnets y la mejora de los sistemas de detección contribuyeron al registro de 284.300 sistemas infectados.
2. La caída del phishing no elimina el riesgo asociado a la IA. Los atacantes pueden hacer que las estafas sean más convincentes y escalables aunque disminuyan los volúmenes denunciados de ataques convencionales.
3. Singapur avanza hacia obligaciones mínimas de seguridad más exigentes. Los requisitos para los routers residenciales y la certificación Cyber Trust Mark de nivel 5 para los operadores de infraestructuras críticas trasladan una mayor responsabilidad a fabricantes, operadores y organizaciones.

El resultado es una estrategia de ciberseguridad basada en la visibilidad, la respuesta coordinada y los estándares exigibles. Pero también depende de medidas cotidianas —actualizar dispositivos, proteger cuentas y preparar planes de recuperación— para evitar que los equipos vulnerables y las empresas con menos recursos se conviertan en el próximo eslabón débil.