Julio y agosto, temporada alta del cibercrimen: la IA ya clona la voz de tu jefe para pedirte una transferencia urgente

El 69% de los ciberataques a empresas entre junio y agosto de 2025 llegaron por correo electrónico, según el Informe de Siniestros Cibernéticos 2025 de Stoïk. El email se consolida como el principal vector estival, por delante del compromiso de activos expuestos a internet (8%), el ransomware (6%) y el robo de datos (6%).

El estudio recoge los incidentes del período vacacional entre los más de 11.000 asegurados europeos de Stoïk, la insurtech especializada en ciberseguros para empresas de hasta 1.000 millones de euros de facturación. Los datos muestran un patrón sistemático: el verano amplífica tanto el volumen como la sofisticación de los ataques en unas empresas que se sienten preparadas pero no lo están tanto.

Julio y agosto son los dos meses del año con mayor concentración de siniestros cibernéticos, según los datos de Stoïk. Ignacio Ramallo, Country Manager de Stoïk en España, señala que los atacantes explotan la relajación de controles que traen las ausencias vacacionales. “Los atacantes se aprovechan de las caídas previsibles de supervisión de las compañías, la sobrecarga en los procesos y los periodos de fatiga, para atacar a los departamentos administrativos y financieros, maximizando su impacto”, añade.

El turismo acapara 7 de cada 10 ataques

El turismo concentró el 70% de los ciberataques del verano de 2025. Las empresas de alojamiento vacacional fueron el blanco más frecuente, con el 51% de los incidentes. Las agencias de viajes y servicios de reservas sumaron el 21%, la hostelería el 15%, y el transporte terrestre y el ocio y entretenimiento añadieron un 6% cada uno.

La hostelería fue el subsector turístico con mayor crecimiento proporcional. Subió del 6% de los incidentes estivales en 2024 al 15% en 2025, lo que supone multiplicar su tasa de siniestros por 2,5 en un solo año. En el verano anterior ocupaba la posición más baja del sector; en 2025 se convirtió en el tercer subsector más afectado.

La IA industrializó el fraude por email en 2025

El 2025 marcó la industrialización de la IA aplicada al fraude por correo, según Ramallo. Mientras que 2024 fue el año de la irrupción de la IA generativa, en 2025 los ciberdelincuentes ya producían en masa operaciones de BEC capaces de imitar entornos corporativos legítimos a la perfección.

La técnica más documentada fue la clonación de voz de directivos o proveedores para presionar a empleados hacia transferencias urgentes. El ataque simula urgencia bajo la apariencia de una autoridad reconocida. Stoïk prevé que estas tácticas sigan creciendo, con foco en entornos con equipos bajo presión y validaciones débiles de pagos o accesos.

La IA también opera antes del ataque, y es que los ciberdelincuentes analizan perfiles en redes sociales para seleccionar víctimas, extraen patrones de facturación de buzones comprometidos y elaboran secuencias conversacionales en varios pasos.

Siniestros cibernéticos: +143% en el año completo

Los datos del verano son coherentes con la tendencia de todo 2025. La frecuencia de siniestros cibernéticos de los asegurados de Stoïk creció hasta casi el 11%, frente al 4,34% de 2024, un incremento del 143%. El compromiso de cuentas de correo fue la categoría dominante del año, con el 59% de todos los casos registrados entre más de 11.000 asegurados europeos.