Así opera el CERT de GMV que protege a empresas e instituciones 24x7

El ataque de ransomware WannaCry, en mayo de 2017, marcó un punto de inflexión en la historia de la ciberseguridad. En cuestión de horas, infectó a más de 200.000 equipos en 150 países, incluyendo instituciones críticas como el Servicio Nacional de Salud británico. “No era un ataque especialmente sofisticado, pero sí una señal de alarma”, explica Óscar Riaño, ingeniero informático y responsable del GMV-CERT. “A partir de ahí las organizaciones empezaron a entender que la ciberseguridad ya no era solo un problema técnico, sino un asunto estratégico” destaca el experto.

En sus más de 20 años de experiencia, Riaño ha visto cómo la ciberseguridad ha pasado de ser una cuestión meramente técnica a ocupar un lugar central en la estrategia empresarial. La aceleración tecnológica y la digitalización han convertido la ciberseguridad en un elemento estructural para economías, empresas, infraestructuras críticas y ciudadanos.

Según ENISA, los ciberataques en Europa han crecido de forma sostenida en los últimos años. En España, se gestionaron 122.223 incidentes de ciberseguridad en 2025, un 26 % más que el año anterior, según el último Balance de Ciberseguridad publicado por el INCIBE.

Este escenario ha reforzado notablemente el papel de centros especializados como el GMV-CERT, cuya misión es ayudar a las organizaciones a anticiparse, resistir y recuperarse ante posibles ciberataques. En la práctica, opera como un centro de vigilancia permanente que monitoriza, analiza y responde a incidentes en tiempo real para evitar que un problema de seguridad acabe paralizando el negocio ante la creciente sofisticación del cibercrimen.

La figura del hacker solitario hace tiempo que dejó de representar la realidad del cibercrimen. Hoy las amenazas proceden de organizaciones altamente profesionalizadas que funcionan como auténticas empresas. Como explica Óscar Riaño, “el ecosistema ha mutado hacia estructuras empresariales tan complejas que cuentan con sus propios departamentos de Recursos Humanos para reclutar talento, tablas salariales para sus programadores de malware e incluso centros de atención al cliente para gestionar el cobro de los rescates”, explica Riaño. Esta evolución ha dado lugar al denominado "Crime as a Service", un modelo basado en el alquiler de herramientas e infraestructura de malware para terceros. "Cualquiera con recursos económicos podría contratar estos servicios y lanzar un ataque", advierte.

Estos grupos profesionalizados están además a la vanguardia tecnológica. “Ya están utilizando, por ejemplo, la inteligencia artificial para acelerar, personalizar y hacer más precisos sus ataques”, explica el responsable del GMV-CERT. Gracias a estas herramientas, campañas de phishing lanzadas desde el otro lado del mundo pueden llegar en un castellano perfecto y con un conocimiento detallado de la actividad de la empresa objetivo, haciendo cada vez más difícil distinguir el engaño de una comunicación legítima.

Ante esta amenaza automatizada, la defensa tampoco puede quedarse atrás. Y centros de respuesta ante emergencias informáticas como el de GMV ya están utilizando la IA para “acelerar los procesos de validación de agujeros de seguridad y entender mucho más rápido el impacto de un ataque”, señala Riaño. Porque el trabajo del equipo que lidera no se limita únicamente a reaccionar cuando detecta una amenaza.

Del análisis a la intervención inmediata

Un CERT como el de GMV ofrece una protección integral que cubre todo el ciclo de la ciberseguridad, desde la prevención hasta el análisis forense.

Para las labores preventivas, el equipo liderado por Óscar Riaño simula ataques reales mediante técnicas como el pentesting o los ejercicios de red team. El objetivo es detectar vulnerabilidades, comprobar hasta dónde podría llegar un atacante y corregir esas debilidades antes de que puedan ser explotadas. Esta labor preventiva se complementa con una unidad de trabajo de Threat Intelligence que monitoriza espacios ocultos de Internet como la Dark Web y foros clandestinos para detectar tendencias del cibercrimen y posibles amenazas dirigidas contra las organizaciones con las que trabaja GMV. “El objetivo es anticiparnos y diseñar medidas de protección antes de que el ataque llegue a producirse”, explica Riaño.

Todo este trabajo exige una capacidad operativa permanente. El CERT de GMV funciona 24x7 monitorizando amenazas y respondiendo a incidentes en tiempo real. “Los atacantes aprovechan precisamente las noches y los festivos, cuando saben que se baja la guardia”, explica Riaño. Mantener ese nivel de vigilancia constante supone también un reto humano. “Trabajamos continuamente bajo presión y preservar la energía y el foco del equipo es fundamental”, reconoce.

Las organizaciones están expuestas a riesgos de forma permanente y necesitan sistemas capaces de detectar anomalías antes de que un incidente paralice su actividad. En ese sentido, el CERT actúa como un centro de vigilancia continua que monitoriza el estado de seguridad de una compañía y responde ante cualquier desviación crítica”. Cuando el ataque llega a producirse entra en acción el equipo forense del CERT, una de las áreas más especializadas dentro de la ciberseguridad. Su trabajo consiste en recopilar evidencias, reconstruir el origen del incidente y determinar cómo se produjo el acceso del atacante. “El objetivo es entender exactamente qué ha ocurrido para cerrar la brecha y evitar que vuelva a repetirse”, explica Riaño.

Las amenazas son cada vez más diversas: desde el robo de datos y el ciberespionaje industrial hasta el secuestro de sistemas mediante ransomware.