Los últimos ciberataques confirmados contra empresas, hospitales, ayuntamientos y organismos de España: dónde y cuándo ocurrieron, de qué tipo fueron y a qué sectores afectan. Toca un punto del mapa para ver la ficha con su fuente, o una comunidad para filtrar la lista.
26 ataques
-
Ayuntamiento de San Cristóbal de La Laguna San Cristóbal de La Laguna · Intrusión
El ayuntamiento confirmó un grave incidente de ciberseguridad que afectó a su web, la sede electrónica y las aplicaciones de expedientes, tributos y contabilidad; no ha confirmado robo de datos.
-
Servicio Extremeño de Salud (SES) Mérida · Robo de datos
El SES detectó un acceso no autorizado a información clínica a través de la app Centro de Salud Online que afectó a 18.416 usuarios; la Policía Nacional detuvo al presunto responsable.
-
Renfe (y Adif) Madrid · Robo de datos
Un acceso no autorizado a sistemas corporativos, incluidos los de venta de billetes, pudo exponer datos identificativos, de viaje y credenciales cifradas de clientes; Adif suspendió sus webs de forma preventiva sin afectar a la circulación.
-
Ayuntamiento de Collado Villalba Collado Villalba · Intrusión
Un ciberataque a mediados de septiembre dejó sin servicio la sede electrónica y paralizó trámites hasta su restablecimiento, sin evidencias por el momento de fuga de datos personales.
-
Universitat de Barcelona Barcelona · Intrusión
La UB investiga un ciberataque contra parte de sus sistemas, renovó credenciales y suspendió temporalmente algunos servicios web, sin afectación detectada a datos institucionales.
-
Ayuntamiento de Moià Moià · Intrusión
El ayuntamiento confirmó intrusiones en varios archivos municipales y aplazó un pleno por falta de garantías técnicas mientras se determinaba si hubo extracción de información.
-
TuLotero Madrid · Robo de datos
Un acceso no autorizado entre el 13 y el 15 de julio a los sistemas de verificación de identidad expuso imágenes de DNI y selfies de alrededor del 2% de los usuarios, sin afectar a contraseñas ni datos bancarios.
-
Universidad de Alicante San Vicente del Raspeig · Intrusión
La detección de malware en servidores obligó a desconectar preventivamente servicios como UACloud y la administración electrónica; la universidad afirma que no hubo fuga de datos.
-
Universitat de València Valencia · Intrusión
La universidad confirmó el acceso a un servidor obsoleto de un grupo de investigación y negó que se vieran afectados datos de estudiantes o personal; no pagará rescate al disponer de copias de seguridad.
-
Ayuntamiento de Valdemoro Valdemoro · Intrusión
El ayuntamiento detectó una incidencia que afectó a sus servidores, los desconectó de forma preventiva y tramitó registros en papel; el grupo Kairos afirmó haber sustraído 1,8 TB de datos, extremo no confirmado.
-
Naturgy Madrid · Robo de datos
Naturgy confirmó un acceso no autorizado a una base de datos de un proveedor con información de parte de sus clientes en España, sin afectar a contraseñas del área de cliente.
-
Inditex Arteixo · Robo de datos
Inditex detectó un acceso no autorizado a bases de datos alojadas en un antiguo proveedor tecnológico con información comercial de clientes, sin afectar a sus operaciones ni a datos de pago.
-
Cegasa Energía Vitoria-Gasteiz · Intrusión
La empresa confirmó un incidente de ciberseguridad que calificó de menor y resuelto de inmediato; el grupo LockBit 5.0 lo reivindicó días después sin que se haya confirmado robo de datos.
-
Autoridad Portuaria de Vigo Vigo · Ransomware
Un ataque con petición de rescate bloqueó servidores de gestión del tráfico de mercancías y obligó a operar parte de la logística con procedimientos manuales, sin detener la actividad física del puerto.
-
Ministerio de Ciencia, Innovación y Universidades Madrid · Robo de datos
El ministerio cerró parcialmente su sede electrónica y reconoció un acceso no autorizado, que calificó de limitado, a datos personales de solicitantes de homologaciones de títulos.
-
Consell Insular de Formentera Sant Francesc Xavier · Intrusión
El Consell confirmó un ciberataque contra sus servidores corporativos que obligó a desconectar la oficina virtual y los servicios electrónicos mientras se investigaba su alcance.
-
Endesa Energía Madrid · Robo de datos
Endesa Energía informó de un acceso no autorizado a su plataforma comercial que pudo exponer datos identificativos, DNI, datos de contrato e IBAN de clientes, sin comprometer contraseñas.
-
Iberia Madrid · Robo de datos
La aerolínea comunicó un acceso externo no autorizado a un repositorio gestionado por un tercero que expuso nombres, correos, teléfonos y números de Iberia Club de clientes, sin afectar a la seguridad de los vuelos.
-
Madrileña Red de Gas Madrid · Robo de datos
La distribuidora detectó una brecha en su infraestructura informática que expuso datos de contacto, identificativos y códigos CUPS de parte de sus clientes, sin afectar a datos bancarios ni contraseñas.
-
Ayuntamiento de Elche Elche · Ransomware
El cifrado de archivos obligó a desconectar toda la red municipal y paralizó la atención presencial y los trámites administrativos durante días.
-
Ayuntamiento de La Vila Joiosa La Vila Joiosa · Ransomware
Un ataque que el propio ayuntamiento calificó de ransomware dejó fuera de servicio los sistemas municipales, con más de 300 equipos infectados y atención al público en modo manual.
-
Consejería de Educación de la Junta de Castilla y León Valladolid · Robo de datos
La Junta reconoció que un acceso no autorizado a finales de mayo a su web educativa expuso más de un millón de registros personales de alumnos y familias, y señaló a un estudiante como posible responsable.
-
Ciudad Autónoma de Melilla Melilla · Ransomware
Un ataque de ransomware dejó caídos durante días los sistemas informáticos de la administración melillense, con robo de entre 3 y 4 TB de datos y petición de rescate que la ciudad rechazó pagar.
-
Ayuntamiento de Níjar Níjar · Ransomware
Un programa malicioso cifró y sustrajo datos y archivos del ayuntamiento en la noche del 24 al 25 de mayo; el consistorio restableció los servicios y la Guardia Civil investiga.
-
Telefónica Madrid · Robo de datos
Telefónica confirmó un acceso no autorizado a su sistema interno de gestión de incidencias (Jira) tras la publicación en un foro de unos 2,3 GB de datos atribuidos a la compañía.
-
Amadeus IT Group Madrid · Robo de datos
Amadeus confirmó que, usando credenciales de una cuenta de sistema, se accedió a un entorno de consulta de reservas. Japan Airlines, Cathay Pacific, Singapore Airlines, Finnair y otras aerolíneas han comunicado datos de pasajeros expuestos (nombres, itinerarios y, en algunos casos, pasaportes); según Amadeus, no hubo acceso a datos de pago.
Ningún ataque con estos filtros.
Según la fecha en que ocurrió o se hizo público. Cambia con los filtros.
Las cifras oficiales: incidentes que gestiona INCIBE
Son los casos que llegan a INCIBE (ciudadanos y empresas), no todos los que ocurren. En 2025 fueron 122.223, un 26 % más que en 2024, el máximo de la serie. Ojo: en 2023 INCIBE cambió la forma de contar, así que la bajada de ese año no significa que hubiera menos ataques.
Ver los datos
| Periodo | Valor |
|---|---|
| 133.155 incidentes en 2020 | 133.155 |
| 109.126 incidentes en 2021 | 109.126 |
| 118.820 incidentes en 2022 | 118.820 |
| 83.517 incidentes en 2023 | 83.517 |
| 97.348 incidentes en 2024 | 97.348 |
| 122.223 incidentes en 2025 | 122.223 |
Qué hubo detrás de los incidentes de 2025
Ataques: noticias de medios y comunicados oficiales enlazados en cada ficha; solo se incluyen los confirmados por la organización afectada, un organismo público o un medio fiable. Mapa: © Instituto Geográfico Nacional (CC BY 4.0).
Cómo leer este mapa
- Solo ataques confirmados. Cada punto es un ataque que ha reconocido la organización afectada, un organismo público o un medio fiable. Cada ficha enlaza a su fuente.
- No son todos los ataques. La mayoría no salen en las noticias. El mapa enseña los más relevantes, no el total: para eso están las cifras oficiales de más abajo.
- La fecha es la del ataque cuando se conoce y, si no, la del día en que se hizo público. La ficha dice cuál de las dos es.
- Los colores agrupan los ataques en tres familias: ransomware (secuestran los sistemas y piden rescate), robo de datos y el resto (caídas por saturación, intrusiones, fraudes, sabotajes).
¿Y yo qué hago con esto?
Si eres cliente de una empresa atacada, lo más probable es que después te lleguen correos, SMS o llamadas que se hacen pasar por ella. Desconfía de cualquier mensaje que te meta prisa, cambia la contraseña si te lo piden por un canal oficial y activa la verificación en dos pasos. Para el resto, algunas lecturas:
- El post que explica los mapas: qué ataques se repiten y qué aprender de ellos
- Kit de seguridad: test de 10 preguntas y comprobador de contraseñas filtradas
- ¿Me han robado la contraseña? Qué hacer en 15 minutos
- Estafas con IA: voces clonadas y vídeos falsos
- Google Hacking y OSINT: cómo usarlos para protegerte
- Seguridad digital para torpes