La mitad de todos los zero-days de 2025 apuntaron a tecnología empresarial con fallas críticas
El Google Threat Intelligence Group (GTIG) publicó su informe anual sobre vulnerabilidades de día cero —conocidas como zero-days— y los datos son contundentes: aproximadamente la mitad de todos los exploits rastreados durante 2025 tuvieron como objetivo principal el software empresarial. Firewalls, redes privadas virtuales (VPNs) y plataformas de virtualización se convirtieron en los blancos predilectos de actores maliciosos sofisticados, tanto grupos patrocinados por estados-nación como vendedores de spyware comercial.
Para los founders de startups tecnológicas que dependen de infraestructura empresarial —ya sea propia o de sus proveedores— este informe no es una advertencia lejana: es una señal directa de que la superficie de ataque en el ecosistema tech se está expandiendo con rapidez.
¿Qué es un zero-day y por qué importa tanto?
Un zero-day es una vulnerabilidad de seguridad desconocida para el fabricante del software, lo que significa que no existe ningún parche disponible en el momento en que es explotada. Para los atacantes, representa una ventana de oportunidad irresistible: las defensas tradicionales son casi inútiles contra amenazas que nadie conoce todavía.
A diferencia de los exploits comunes —que aprovechan vulnerabilidades ya conocidas y con parche disponible—, los zero-days exigen una respuesta diferente: detección basada en comportamiento, segmentación de red y una higiene digital rigurosa como primeras líneas de defensa.
El giro hacia el software empresarial: datos del informe GTIG 2025
El informe de Google GTIG para 2025 marca una tendencia que ya se venía gestando: el foco de los atacantes se ha desplazado desde los navegadores y dispositivos móviles hacia el software empresarial crítico. Este cambio no es accidental. Los dispositivos de seguridad y redes —firewalls, VPNs, plataformas de virtualización— tienen características que los hacen extremadamente atractivos para los atacantes:
- Alta conectividad: están en el perímetro de la red, expuestos a internet.
- Ciclos de actualización lentos: muchas organizaciones tardan semanas o meses en aplicar parches.
- Acceso privilegiado: comprometer un firewall o VPN puede otorgar acceso a toda la red corporativa.
- Múltiples clientes por dispositivo: un proveedor de seguridad atacado puede comprometer a decenas de organizaciones simultáneamente.
Para contextualizar la magnitud: el informe previo de GTIG —que cubrió 2024— documentó 75 zero-days explotados en la naturaleza, de los cuales ya un 44% apuntó a productos empresariales. En 2025, esa proporción escaló hasta aproximadamente el 50%, confirmando una tendencia estructural, no una anomalía.
Los vendedores más afectados: de Ivanti a Palo Alto Networks
Entre los fabricantes de tecnología empresarial con mayor exposición, los informes de GTIG han identificado consistentemente a empresas como Ivanti, Palo Alto Networks y Cisco como objetivos frecuentes. Ivanti fue especialmente afectado con múltiples zero-days en sus productos de gestión de endpoints y VPN. Microsoft, con su enorme cuota de mercado en soluciones empresariales, acumuló decenas de vulnerabilidades explotadas.
El patrón común: los atacantes priorizan productos que están desplegados de forma masiva en infraestructura crítica, especialmente cuando saben que los equipos de TI tardan en aplicar actualizaciones por temor a interrupciones operativas.
¿Quiénes están detrás de estos ataques?
Según el análisis de GTIG, los principales actores detrás de la explotación de zero-days en tecnología empresarial son:
Grupos patrocinados por estados-nación
Actores vinculados a China han sido identificados explotando decenas de zero-days en dispositivos de borde —routers, firewalls, VPNs— de múltiples fabricantes, con un enfoque claro en espionaje corporativo y gubernamental. Rusia y Corea del Norte también mantienen capacidades activas de explotación de zero-days, con motivaciones que van desde la inteligencia hasta el robo financiero.
Vendedores de spyware comercial
Un actor a menudo subestimado: las empresas que desarrollan y venden spyware comercial a gobiernos y entidades privadas. Estas organizaciones invierten activamente en descubrir y explotar zero-days, creando un mercado paralelo de vulnerabilidades que alimenta tanto el espionaje estatal como el corporativo.
Qué significa esto para founders y equipos tech
Si lideras una startup tecnológica, esta información tiene implicaciones muy concretas, independientemente de si tu empresa es el objetivo directo o si simplemente usa las herramientas afectadas:
1. La seguridad de tus proveedores es parte de tu superficie de ataque
Si tu infraestructura depende de un firewall de Palo Alto Networks, una VPN de Ivanti o una plataforma de virtualización común, un zero-day en esos productos puede comprometer tu operación sin que hayas hecho nada mal. La gestión de riesgos de terceros es ya una responsabilidad operativa para cualquier founder serio.
2. El tiempo de exposición es tu mayor enemigo
Los datos de la industria muestran que los atacantes más sofisticados pueden explotar un zero-day en cuestión de horas tras su descubrimiento. Contar con protocolos de respuesta rápida —actualizaciones de emergencia, segmentación de red, monitoreo de comportamiento— puede marcar la diferencia entre un incidente menor y una crisis operativa.
3. Zero Trust no es una buzzword, es una necesidad
El modelo de Zero Trust —que asume que ningún usuario ni dispositivo es confiable por defecto, aunque esté dentro de la red— es especialmente efectivo contra zero-days en dispositivos de perímetro. Si un atacante compromete tu VPN, Zero Trust limita su capacidad de moverse lateralmente por el resto de la red.
4. La detección basada en comportamiento supera a los parches
Dado que los zero-days no tienen firma conocida, los sistemas de EDR/XDR (Endpoint/Extended Detection and Response) que analizan patrones de comportamiento inusuales son más eficaces que los antivirus tradicionales basados en firmas. Para startups con recursos limitados, herramientas como Microsoft Defender for Endpoint, CrowdStrike Falcon Go o soluciones open-source como Wazuh ofrecen puntos de entrada razonables.
Recomendaciones prácticas para equipos de seguridad en 2026
Basándonos en las directrices de GTIG, CISA y las mejores prácticas de la industria, estas son las acciones más accionables para founders y CTOs:
- Subscríbete a alertas de vulnerabilidades de los fabricantes que usas (Cisco, Palo Alto, Ivanti, VMware) y de CISA Known Exploited Vulnerabilities (KEV).
- Implementa parches de emergencia en menos de 72 horas para vulnerabilidades críticas en dispositivos de seguridad y red.
- Segmenta tu red: asegúrate de que un dispositivo comprometido no tenga acceso directo a tus sistemas más críticos.
- Activa MFA en todos los accesos remotos, especialmente en VPNs y consolas de administración de plataformas de virtualización.
- Realiza auditorías periódicas de configuración en firewalls y dispositivos de red; muchos ataques explotan configuraciones inseguras que amplifican el impacto de un zero-day.
- Considera externalizar tu SOC si no tienes equipo de seguridad dedicado: servicios MSSP ofrecen monitoreo 24/7 a costos accesibles para startups en crecimiento.
La tendencia no va a revertirse
El desplazamiento del foco atacante desde consumidores individuales hacia infraestructura empresarial crítica refleja una realidad económica: comprometer un dispositivo de seguridad empresarial tiene un retorno de inversión mucho mayor para el atacante. Un solo firewall vulnerado puede abrir el acceso a cientos de organizaciones.
Para el ecosistema startup, esto también representa una oportunidad: las empresas que construyen soluciones de detección temprana, gestión de parches automatizada y arquitecturas Zero Trust tienen ante sí un mercado con demanda estructural creciente. La ciberseguridad en el segmento empresarial no es solo un problema operativo —es también un espacio de producto con tracción genuina.
Conclusión
El informe de Google GTIG sobre zero-days en 2025 confirma lo que muchos en la industria venían anticipando: los atacantes más sofisticados del mundo han movido su atención hacia el software empresarial, y especialmente hacia los dispositivos de seguridad y red que protegen —o deberían proteger— a las organizaciones. Firewalls, VPNs y plataformas de virtualización son hoy el nuevo campo de batalla de la ciberseguridad.
Para founders y equipos tech en LATAM, la lección no es entrar en pánico, sino actuar con criterio: conocer tu superficie de ataque, monitorear a tus proveedores, aplicar parches rápido y construir arquitecturas que asuman que la brecha eventualmente ocurrirá. La resiliencia, más que la impermeabilidad, es el objetivo alcanzable en 2026.
Profundiza estos temas con nuestra comunidad de founders y expertos en seguridad tech
Fuentes
- https://techcrunch.com/2026/03/05/google-says-half-of-all-zero-days-it-tracked-in-2025-targeted-buggy-enterprise-tech/ (fuente original)
- https://securitybrief.com.au/story/zero-day-hackers-shift-focus-to-enterprise-tech-in-google-s-report (fuente adicional)
- https://thehackernews.com/2025/04/google-reports-75-zero-days-exploited.html (fuente adicional)
- https://deepstrike.io/blog/zero-day-exploit-statistics-2025 (fuente adicional)
- https://www.kiteworks.com/cybersecurity-risk-management/google-zero-day-report-data-security-implications/ (fuente adicional)
- https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2025 (fuente adicional)
- https://www.fibratel.com/5-tendencias-clave-en-ciberseguridad-para-empresas-en-2026/ (fuente adicional)
