¿Qué relación hay entre amenazas, vectores de ataque y vulnerabilidades?

Una amenaza es cualquier suceso capaz de dañar tus sistemas o tu información. Una vulnerabilidad es la debilidad que permite que ese daño ocurra. Un vector de ataque es la ruta que recorre el atacante para llegar hasta ella. Los tres se combinan sobre un activo concreto y producen lo único que se gestiona de verdad en una empresa: riesgo.

Puntos clave

La amenaza existe siempre; la vulnerabilidad es tuya. No puedes eliminar la primera, sí reducir la segunda.
El orden correcto es: actor de amenaza → vector de ataque → vulnerabilidad → impacto. El vector es el camino, no la consecuencia.
Vulnerabilidad y exploit no son lo mismo: una es la debilidad, el otro es el código o la técnica que la aprovecha.
El riesgo combina probabilidad e impacto sobre un activo. Sin activo no hay riesgo que valorar.
En 2025 se publicaron más de 48.000 vulnerabilidades con identificador CVE, pero solo alrededor del 1 % se ha confirmado explotada en el mundo real. Priorizar no es opcional: es la única forma de que la gestión sea viable.

Qué es una amenaza en ciberseguridad

Una amenaza es cualquier circunstancia o suceso con capacidad de causar un daño a un sistema, a una red o a la información que contienen. Es un potencial, no un hecho: existe aunque nunca llegue a materializarse.

Las amenazas se agrupan en tres familias:

Deliberadas. Alguien quiere hacer daño o sacar provecho: ransomware, robo de datos, fraude del CEO, sabotaje interno.
Accidentales. Nadie tiene intención: un empleado envía un fichero al destinatario equivocado, un administrador borra una copia de seguridad, una actualización mal probada tumba un servicio.
Ambientales. El entorno falla: incendio, inundación, corte eléctrico prolongado, caída del proveedor cloud.

Amenaza no es lo mismo que actor de amenaza. El actor de amenaza es quién: un grupo de ransomware, un competidor, un empleado descontento, un Estado. La amenaza es qué puede pasar. Distinguirlos importa porque cada actor tiene motivaciones, recursos y métodos distintos, y eso cambia qué defensas tienen sentido.

Un punto que suele sorprender a la dirección: las amenazas no se eliminan. Existen con independencia de lo que hagas. Lo que sí está en tu mano es reducir la probabilidad de que se materialicen y limitar el daño cuando lo hagan.

Qué es una vulnerabilidad

Una vulnerabilidad es una debilidad en un sistema, un proceso o una configuración que puede ser aprovechada para comprometer la seguridad de la información. A diferencia de la amenaza, la vulnerabilidad sí es tuya, está dentro de tu perímetro y es sobre lo que puedes actuar.

No todas son fallos de programación. En una empresa mediana conviven cuatro tipos:

Tipo	Ejemplo real
Técnica	Un servidor con una versión sin parchear de su gestor de contenidos
De configuración	Un bucket de almacenamiento en la nube accesible públicamente
De proceso	Nadie revoca los accesos cuando un proveedor termina el contrato
Humana	El equipo no distingue un correo de phishing de uno legítimo

Las dos últimas se subestiman de forma sistemática. Se invierte en parchear servidores mientras la cuenta de un consultor que se fue hace ocho meses sigue activa.

Vulnerabilidad y exploit no son lo mismo

La vulnerabilidad es la debilidad: la cerradura defectuosa. El exploit es la técnica o el código que la aprovecha: la ganzúa fabricada específicamente para esa cerradura.

La distinción tiene consecuencias prácticas. Una vulnerabilidad sin exploit conocido es un problema teórico y probablemente no urgente. La misma vulnerabilidad con un exploit público, funcional y disponible en internet es un problema inmediato, aunque su puntuación técnica no haya cambiado. Es exactamente el criterio que separa una lista de parches inabarcable de un plan de trabajo realista.

Qué es una vulnerabilidad de día cero

Una vulnerabilidad de día cero (zero day) es aquella que se explota antes de que el fabricante disponga de una corrección. El nombre viene del tiempo que ha tenido el fabricante para reaccionar: cero días.

Son las que acaparan titulares, pero conviene la proporción: la inmensa mayoría de los incidentes que sufre una empresa mediana no llega por un día cero, sino por una vulnerabilidad conocida desde hace meses y sin parchear, o por una credencial robada. El día cero es el escenario contra el que no puedes protegerte parcheando; los demás sí.

Qué es un vector de ataque

Un vector de ataque es la ruta o el método que utiliza un atacante para alcanzar una vulnerabilidad y explotarla. Es el cómo llega hasta ahí.

Vector de ataque no es lo mismo que superficie de ataque. La superficie de ataque es el conjunto de todos los puntos por los que alguien podría intentar entrar: cada servidor publicado, cada aplicación, cada cuenta, cada integración con un tercero. El vector es el camino concreto que el atacante elige dentro de esa superficie. Reducir la superficie reduce el número de vectores disponibles, y por eso apagar lo que no se usa es una de las medidas más rentables que existen.

Los vectores de ataque más frecuentes hoy

El informe Data Breach Investigations Report (DBIR) 2026 de Verizon, publicado el 19 de mayo de 2026 con datos de incidentes ocurridos entre noviembre de 2024 y octubre de 2025, ordena así las vías de entrada:

Explotación de vulnerabilidades: 31 % de las brechas. Primera posición por primera vez en la historia del informe.
Phishing: 16 %.
Abuso de credenciales: 13 % como vía de entrada, aunque aparece en el 39 % de las brechas cuando se analiza la cadena completa del ataque, lo que lo convierte en la técnica más presente del conjunto de datos.
Compromiso a través de terceros: 48 % de las brechas, con un crecimiento interanual del 60 %.

Traducción para un responsable de IT: el atacante entra cada vez más por un sistema sin parchear, pero lo primero que busca al entrar sigue siendo una credencial válida. Y casi la mitad de las veces, el punto débil no está en tu empresa, sino en un proveedor.

Cómo se relacionan: el orden importa

Aquí es donde se produce la confusión más habitual, incluso en textos técnicos. La secuencia correcta es esta:

Un actor de amenaza utiliza un vector de ataque para alcanzar y explotar una vulnerabilidad de un activo, materializando una amenaza que produce un impacto.

El vector va antes que la vulnerabilidad, no después. Primero se recorre el camino, luego se aprovecha la debilidad que hay al final de ese camino.

La analogía doméstica funciona bien:

El activo es tu casa y lo que guardas dentro.
La amenaza es que te roben.
La vulnerabilidad es la ventana del patio que no cierra bien.
El vector de ataque es saltar la valla del jardín trasero para llegar hasta esa ventana.
El exploit es la palanca con la que fuerzan el marco.
El impacto es lo que pierdes, más el tiempo sin poder usar la casa.
El riesgo es la probabilidad de que todo eso ocurra multiplicada por lo que te costaría.

Instalar una reja en la ventana elimina la vulnerabilidad. Poner una valla más alta cierra un vector. Ninguna de las dos cosas hace desaparecer a los ladrones: la amenaza sigue ahí.

La pieza que falta: el riesgo

Los tres conceptos anteriores no sirven de mucho por separado. Lo que se gestiona en una empresa, y lo que se reporta a dirección, es el riesgo:

Riesgo = probabilidad de que la amenaza se materialice × impacto sobre el activo

Donde la probabilidad depende de lo expuesta que esté la vulnerabilidad y de lo accesible que sea el vector, y el impacto depende del valor del activo: datos personales, continuidad de la operación, obligaciones contractuales, reputación.

Dos ideas que conviene tener claras antes de cualquier conversación con el comité de dirección:

Riesgo residual es el que queda después de aplicar los controles. Nunca llega a cero, y pretender lo contrario lleva a inversiones desproporcionadas.
Apetito de riesgo es cuánto riesgo residual está dispuesta a aceptar la organización de forma consciente y documentada. Esa decisión es de dirección, no del departamento de IT.

Una misma vulnerabilidad puede ser urgente en un servidor publicado en internet con datos de clientes e irrelevante en un equipo de laboratorio aislado. El activo cambia el riesgo, aunque la vulnerabilidad sea idéntica.

Un ejemplo completo, de principio a fin

Una empresa industrial de 200 empleados. Sigue la secuencia:

Activo: el servidor de ficheros donde están los diseños de producto y la base de datos de clientes.
Actor de amenaza: un grupo de ransomware con motivación económica.
Vulnerabilidad 1 (humana): un responsable de compras no reconoce un correo que suplanta a un proveedor habitual.
Vector de ataque: phishing dirigido. El correo lleva a una página de acceso falsa donde el usuario introduce sus credenciales.
Vulnerabilidad 2 (de configuración): la VPN corporativa no exige segundo factor, así que la credencial robada basta para entrar.
Vulnerabilidad 3 (técnica): un servidor interno sin parchear permite escalar privilegios hasta administrador de dominio.
Amenaza materializada: cifrado de los servidores y extracción previa de los datos.
Impacto: cinco días de parón productivo, notificación a la autoridad de protección de datos, comunicación a clientes y coste de recuperación.

Fíjate en el detalle importante: hubo tres vulnerabilidades distintas y un solo vector. Cerrar cualquiera de las tres habría detenido la cadena. Esa es la lógica de la defensa en profundidad, y la razón por la que ninguna herramienta aislada resuelve el problema.

Tabla resumen: los cuatro conceptos de un vistazo

Concepto	Qué es	Ejemplo	Qué puedes hacer
Amenaza	Suceso capaz de causar daño	Ransomware, fuga de datos, incendio	No eliminarla; conocerla y prepararte
Vulnerabilidad	Debilidad que permite el daño	Servidor sin parchear, cuenta sin MFA	Corregirla o mitigarla: es lo que controlas
Vector de ataque	Ruta usada para llegar a ella	Phishing, VPN expuesta, proveedor comprometido	Reducir la superficie y vigilar los accesos
Riesgo	Probabilidad × impacto sobre un activo	Parón de producción de cinco días	Medirlo, priorizarlo y decidir cuánto aceptas

Por qué no puedes corregir todas las vulnerabilidades (y cómo priorizar)

El volumen hace inviable el enfoque de «parchearlo todo». Durante 2025 el programa CVE publicó 48.185 vulnerabilidades nuevas, un récord que supone unas 131 al día. Distintas fuentes ofrecen recuentos ligeramente diferentes según cómo eliminen duplicados, pero el orden de magnitud es el mismo.

Frente a esa cifra, el dato que cambia la perspectiva: solo alrededor del 1 % de las vulnerabilidades publicadas se ha confirmado explotada en el mundo real. El trabajo, por tanto, no consiste en cerrarlas todas, sino en identificar cuáles importan. Tres instrumentos ayudan:

CVE (Common Vulnerabilities and Exposures). El identificador único de cada vulnerabilidad pública. Sirve para que todo el mundo hable del mismo fallo.
CVSS (Common Vulnerability Scoring System). Puntúa la gravedad técnica de 0 a 10. Responde a «cómo de grave sería si la explotan», no a «cómo de probable es que la exploten».
EPSS (Exploit Prediction Scoring System), mantenido por FIRST. Estima la probabilidad de que una vulnerabilidad sea explotada en los próximos 30 días. Complementa a CVSS justo donde este se queda corto.
Catálogo KEV de CISA. Recoge las vulnerabilidades con explotación confirmada. A cierre de 2025 acumulaba 1.484 entradas, de las cuales 245 se añadieron durante ese año. Si algo tuyo está en esa lista, es prioridad absoluta.

Criterio práctico: primero lo que está en KEV y afecta a sistemas expuestos a internet; después lo que combina CVSS alto con EPSS alto; después el resto, por ventanas de mantenimiento. Y siempre valorando el activo: la misma puntuación no significa la misma urgencia.

Cómo se traduce esto en el día a día de una empresa

Inventario de activos. No puedes valorar el riesgo de algo que no sabes que tienes. Es el paso que más se salta y el que más caro sale.
Análisis de riesgos. Cruzar activos, amenazas plausibles y vulnerabilidades detectadas para obtener una lista ordenada, no un informe de 300 páginas.
Reducción de superficie. Apagar servicios sin uso, cerrar puertos, retirar versiones antiguas, revocar accesos caducados.
Gestión de vulnerabilidades. Escaneo recurrente, priorización con los criterios anteriores y plazos comprometidos por nivel de criticidad.
Pruebas ofensivas. Un escáner encuentra vulnerabilidades conocidas; una prueba de intrusión encuentra la combinación de tres fallos menores que juntos permiten llegar al dominio.
Monitorización y respuesta. Porque algunos vectores no se pueden cerrar, solo detectar a tiempo.

Qué dicen las normas: ISO 27005, MAGERIT y NIS2

Estos conceptos no son terminología de marketing: están definidos en los marcos que usan auditores y reguladores.

ISO/IEC 27005 es la norma internacional de gestión del riesgo de seguridad de la información. Estructura precisamente esta cadena: activo, amenaza, vulnerabilidad, consecuencia y riesgo.
MAGERIT es la metodología de análisis y gestión de riesgos elaborada por la Administración española, referencia habitual en proyectos del Esquema Nacional de Seguridad y soportada por la herramienta PILAR del Centro Criptológico Nacional.
La Directiva NIS2 (Directiva UE 2022/2555) exige en su artículo 21 políticas de análisis de riesgos y de gestión de vulnerabilidades, y responsabiliza al órgano de dirección de aprobar y supervisar esas medidas. En España la transposición se ha producido de forma parcial mediante el Real Decreto-ley 7/2025, mientras la Ley de Coordinación y Gobernanza de la Ciberseguridad sigue su tramitación [VERIFICAR el estado en la fecha de publicación].

Cuando un auditor pregunta por tu análisis de riesgos, lo que espera ver es esta cadena documentada y actualizada.

Preguntas frecuentes

¿Cuál es la diferencia entre amenaza y riesgo? La amenaza es el suceso que podría causar daño; existe con independencia de tu empresa. El riesgo mide qué probabilidad hay de que esa amenaza te afecte a ti y cuánto te costaría, teniendo en cuenta tus vulnerabilidades y el valor del activo. La amenaza es universal, el riesgo es tuyo.

¿Una vulnerabilidad es lo mismo que un exploit? No. La vulnerabilidad es la debilidad del sistema; el exploit es el código o la técnica que la aprovecha. Una vulnerabilidad sin exploit conocido suele ser un problema teórico; la misma con exploit público y funcional es una prioridad inmediata, aunque su puntuación de gravedad no haya variado.

¿Cuál es el vector de ataque más común actualmente? Según el DBIR 2026 de Verizon, la explotación de vulnerabilidades encabeza la lista con el 31 % de las brechas, seguida del phishing con el 16 %. El abuso de credenciales cae al 13 % como vía de entrada, pero aparece en el 39 % de las brechas si se analiza toda la cadena del ataque.

¿Se pueden eliminar todas las vulnerabilidades de una empresa? No, y perseguirlo es contraproducente. Cada día se publican más de un centenar de vulnerabilidades nuevas y siempre existirá riesgo residual. El objetivo realista es priorizar las que tienen explotación confirmada o afectan a activos críticos expuestos, y decidir de forma consciente qué riesgo se acepta.

¿Qué es una vulnerabilidad de día cero? Es una vulnerabilidad explotada antes de que exista una corrección del fabricante. No se puede prevenir parcheando, solo mitigar reduciendo la superficie expuesta, segmentando la red y detectando comportamientos anómalos. En la práctica, la mayoría de los incidentes empresariales llega por fallos conocidos y no parcheados.

¿Por dónde empieza una empresa que no tiene nada de esto? Por el inventario de activos y una evaluación del estado real de la seguridad. Sin saber qué tienes, qué está expuesto y qué valor tiene, cualquier inversión en herramientas se hace a ciegas. A partir de ahí, priorización y plazos comprometidos.

Fuentes

Verizon, 2026 Data Breach Investigations Report, publicado el 19 de mayo de 2026 (incidentes entre el 1 de noviembre de 2024 y el 31 de octubre de 2025). [VERIFICAR: enlazar a la página oficial del informe antes de publicar]
Programa CVE / National Vulnerability Database: 48.185 vulnerabilidades publicadas en 2025. Los recuentos varían ligeramente entre fuentes según los criterios de deduplicación.
CISA, Known Exploited Vulnerabilities Catalog: 1.484 entradas acumuladas a cierre de 2025, con 245 incorporaciones durante el año.
FIRST, Exploit Prediction Scoring System (EPSS) y Common Vulnerability Scoring System (CVSS).
ISO/IEC 27005, gestión del riesgo de seguridad de la información.
MAGERIT, metodología de análisis y gestión de riesgos de los sistemas de información, y herramienta PILAR del Centro Criptológico Nacional.
Directiva (UE) 2022/2555 (NIS2), artículo 21, y Real Decreto-ley 7/2025 de transposición parcial en España.