El Centro Nacional de Ciberseguridad (NCSC) del Reino Unido advirtió el martes que la infraestructura nacional crítica de Gran Bretaña debe prepararse para un ataque de ransomware con malware impulsado por IA para 2028.

La infraestructura nacional crítica abarca los sistemas y servicios esenciales —incluyendo energía, agua, transporte y salud— cuyo fallo o interrupción tendría un impacto grave en el país.

En su revisión anual de 2026, el informe State of the Cyber Nation, la agencia afirmó que el uso de inteligencia artificial por actores hostiles es "muy probable" que aumente la escala y eficiencia de sus operaciones en los próximos dos años, incluyendo ransomware, ingeniería social y la explotación de vulnerabilidades de software. El NCSC, que forma parte del GCHQ, el servicio de inteligencia de señales del Reino Unido, dijo que el país "enfrenta un momento de decisión" y que "el futuro de la resiliencia cibernética no está definido". El informe completo está disponible en el sitio web del NCSC.

La agencia anunció la publicación de la revisión en una publicación en X:

Today, we've published our 2026 annual review: The State of the Cyber Nation. The UK faces a moment of choice. The future of cyber resilience is not set. Read the report now: @GCHQ @DanJarvisMBE pic.twitter.com/mIFWrBB5Yt
— NCSC UK (@NCSC) November 3, 2026

La amenaza proviene menos de nuevas técnicas de ataque que de debilidades antiguas, dijo el director ejecutivo del NCSC, Richard Horne, en observaciones preparadas para un discurso de lanzamiento del informe.

"En los próximos meses, enfrentamos una perspectiva real de un aumento sin precedentes en el número de incidentes cibernéticos", dijo Horne. "Pero debemos ser claros: no es porque la IA haya inventado nuevas formas de atacarnos. Sino porque vulnerabilidades que han sido toleradas durante demasiado tiempo ahora pueden ser descubiertas y explotadas a una escala que antes era inimaginable".

"Durante décadas, nos hemos salido con la nuestra haciendo tecnología barata", añadió.

Horne instó a las organizaciones a invertir adecuadamente en su tecnología, a dejar de conectar sistemas a internet innecesariamente y a tratar la certificación Cyber Essentials del gobierno como el punto de partida de su seguridad y no como la meta final. Advirtió que los líderes que no actúen podrían tener que explicar a inversionistas, empleados y clientes por qué "no hay comida en los estantes, no hay luces y los negocios han quebrado".

La advertencia llegó días después de que el gobierno anunciara 60 millones de libras (unos 80 millones de dólares) para la primera fase de un Cyber Shield nacional y 70 millones de libras (93 millones de dólares) para un nuevo Centro Nacional de Exposición y Vulnerabilidades en Tiempo Real, que identificará debilidades en toda la infraestructura crítica. Un nuevo Centro de Excelencia en Ciberseguridad de IA, operado por el NCSC, tendrá su sede en Manchester. Los dos plazos ahora avanzan en paralelo, y la velocidad con la que el nuevo centro y el Cyber Shield tomen forma —junto con la adopción por las organizaciones de medidas como Cyber Essentials— será uno de los indicadores visibles a medida que se acerca el horizonte de 2028 que describe el NCSC.

IA y ciberataques

La advertencia sigue a una evidencia creciente de que los atacantes ya están poniendo la IA a trabajar. En mayo, el Grupo de Inteligencia de Amenazas de Google informó que ciberdelincuentes habían usado un modelo de IA para encontrar y weaponizar una falla desconocida hasta entonces —un zero-day— que les permitió eludir la autenticación de dos factores en una popular herramienta de administración de código abierto. La empresa dijo que era la primera vez que confirmaba el desarrollo de zero-days asistido por IA en la práctica.

Un estudio de la Universidad de Cambridge sobre más de 90.000 hilos de foros de ciberdelincuencia, publicado el mismo mes, encontró, sin embargo, que la mayoría de los delincuentes usaban la IA para spam y phishing en lugar de ataques sofisticados.

Los funcionarios británicos ya han advertido sobre los riesgos que plantea la inteligencia artificial. En julio, la secretaria de Exteriores, Yvette Cooper, advirtió que los gobiernos deben acordar salvaguardas de IA antes de que los sistemas frontera transformen la guerra, el crimen y la sociedad.

"No podemos permitirnos esperar un equivalente de Hiroshima por la IA antes de actuar", escribió.