El mapa que cualquiera puede descargar: superficie de ataque de las grandes cotizadas españolas

QuantumSec Intelligence — Informe de exposición digital Reconocimiento externo pasivo · 30 cotizadas · 8.460 subdominios · junio-julio de 2026

Nota sobre las empresas analizadas. Este informe no nombra a ninguna compañía, ni da un solo dominio, subdominio o dirección IP. La razón no es legal, es de responsabilidad: describe puntos débiles de organizaciones reales, y señalarlas sería facilitar el trabajo que el informe denuncia que ya es demasiado fácil. Las empresas aparecen como descriptores sectoriales, y los sectores representados por una sola compañía en la muestra se han fusionado en una categoría común — porque un sector único acompañado de una cifra exacta identifica igual de bien que un nombre. Todo el análisis que sigue es agregado, y ese es precisamente su valor.

Índice#

1. La pregunta#

Cuando una gran empresa evalúa su riesgo digital, lo hace mirando hacia dentro: inventarios de activos, escaneos autorizados, auditorías de sus proveedores. Es un ejercicio necesario y, en nuestra experiencia, sistemáticamente incompleto — porque un atacante no mira desde dentro.

Así que hicimos el ejercicio contrario. Tomamos treinta de las mayores empresas cotizadas españolas y reconstruimos su superficie de ataque exclusivamente desde fuera, con información pública, sin enviar un solo paquete a sus sistemas. Ni escaneo de puertos no autorizado, ni fuerza bruta, ni datos de pago. Solo lo que ya está publicado.

El resultado son 8.460 nombres de dominio corporativos, y tres hallazgos que ninguna de esas treinta empresas puede ver desde su propio panel de control.

2. Todo esto se obtuvo gratis, sin tocar un solo sistema#

Empecemos por lo más incómodo.

El 100% de los 8.460 registros procede de una única fuente: los registros públicos de transparencia de certificados. Treinta empresas de treinta, sin una sola excepción.

Conviene entender qué son. Cada vez que una organización solicita un certificado TLS —el que hace que un navegador muestre el candado— la autoridad certificadora está obligada a publicar ese nombre en un registro append-only, público y consultable por cualquiera. El sistema existe por una buena razón: permite detectar certificados emitidos fraudulentamente para un dominio ajeno. Es una pieza fundamental de la seguridad de internet.

Su efecto secundario es que cualquier organización que haya emitido certificados durante la última década ha publicado, involuntariamente, el inventario de sus nombres de servidor.

La consecuencia práctica: el mapa completo de la superficie de ataque de las mayores empresas del país es reconstruible sin coste, sin herramientas especializadas y sin dejar traza en los sistemas de la víctima. Un escaneo de puertos deja registros en un cortafuegos. Una consulta a un registro de transparencia no deja absolutamente nada, porque no toca a la empresa: consulta un tercero.

No hay asimetría defensiva posible aquí. El atacante ve exactamente lo mismo que el defensor, lo ve al mismo tiempo y lo ve gratis. Cualquier planteamiento de seguridad que dependa de que el inventario de activos sea difícil de obtener está roto de partida.

3. Dos tercios de la superficie ya no existe (y eso es peor)#

De los 8.460 subdominios descubiertos, solo 3.093 resuelven a una dirección IP. Los otros 5.367 —el 63,4%— no apuntan a nada.

La reacción intuitiva es tranquilizadora: si no resuelve, no hay nada que atacar. Es exactamente al revés.

Un nombre huérfano es un registro para el que en algún momento existió un servicio, se emitió un certificado, y después el servicio se apagó — pero el nombre sigue siendo de la empresa y sigue delegando hacia algún sitio. Cuando ese "algún sitio" es un recurso de nube que se liberó (un contenedor de almacenamiento, un espacio de una plataforma de publicación, una instancia dada de baja), cualquiera puede reclamar ese recurso y empezar a servir contenido bajo el nombre de la compañía. Con certificado válido, porque el nombre le pertenece legítimamente a quien controla el recurso.

Es el ataque conocido como secuestro de subdominio, y su uso típico no es espectacular: alojar una página de phishing con un dominio que supera cualquier filtro de reputación porque es el dominio real de la empresa.

Cinco mil trescientos sesenta y siete cheques en blanco pendientes de cobro.

Un matiz metodológico que otros informes omiten. 538 de esos registros (el 6,4%) son entradas comodín —certificados que cubren cualquier subdominio— presentes en 27 de las 30 empresas. Por definición no resuelven, y contarlas como "nombres huérfanos" infla el problema. Descontándolas, la superficie real de nombres baja a 7.922 y la tasa de resolución sube al 39,0%. En dos compañías las comodín suponen el 25% y el 19% de su superficie declarada: cualquier ranking que no las descuente las penaliza injustamente.

4. Cuanta más presencia digital, peor higiene#

El reparto de la superficie entre las treinta empresas es extremadamente desigual.

La media es de 282 subdominios por empresa y la mediana de 190, pero la compañía mayor aporta ella sola el 12,2% del total, las cinco primeras el 46,2% y las diez primeras el 72,8%. Las quince de la mitad inferior suman entre todas menos del 9%.

Por sector, la superficie media por empresa dibuja un orden claro:

Y al cruzar tamaño con higiene aparece la relación que da título a este apartado:

Los sectores con más presencia digital son sistemáticamente los que peor retiran sus nombres antiguos. El bloque de mayor superficie media resuelve apenas el 19,9% de sus nombres; las telecomunicaciones, el 28,4%; la energía, el 25,1%. En el extremo opuesto, el sector inmobiliario —el de menor huella— resuelve el 91,6%.

En una de las compañías con mayor superficie del conjunto, más del 93% de los nombres detectados están muertos: por cada nombre vivo arrastra catorce fantasmas.

Parte de esto es aritmética inevitable: quien emite certificados durante una década acumula más residuo que quien empezó hace tres años. Pero es precisamente por eso por lo que la gestión del ciclo de vida DNS debería escalar con el tamaño de la organización, y estos datos muestran que no lo hace. Las empresas que más nombres crean son las que menos los retiran.

5. El hallazgo: 28 de 30 comparten red con un competidor#

Este es el resultado central de la investigación, y describe un riesgo que ninguna de las treinta compañías puede detectar desde dentro.

Los 3.093 subdominios activos se apoyan en 1.892 direcciones IP distintas, agrupadas en 1.002 bloques de red /24. Por IP individual la concentración es moderada, pero al agregar por bloque el cuadro cambia:

Poco más de cien segmentos de red, de mil dos, sostienen el 54,8% de la presencia digital operativa de las mayores empresas del país.

Y ahora la parte que importa. Al contar cuántas compañías distintas conviven en cada bloque:

Existen 75 bloques /24 en los que conviven activos de dos o más cotizadas, y por ellos pasan 531 subdominios. Veintiocho de las treinta empresas analizadas —el 93%— tienen al menos un activo en un bloque compartido con otra cotizada.

Los casos extremos mezclan sectores sin ninguna relación operativa entre sí:

• Un único bloque /24 aloja activos de seis grandes empresas de seis sectores distintos: dos farmacéuticas, una aseguradora, un grupo de infraestructuras, una tecnológica y una petrolera.
• Otro bloque aloja cinco: una telco, una siderúrgica, un banco, una empresa de consumo y un operador de infraestructura de telecomunicaciones.
• Y una única dirección IP —no un bloque, una IP— responde por 25 subdominios pertenecientes a cinco cotizadas distintas.

Por qué esto es riesgo sistémico y no una curiosidad

Estas compañías no comparten red porque hayan acordado nada. Comparten red porque cada una contrató por separado al mismo proveedor de red de distribución de contenidos, de alojamiento gestionado o de plataforma de marketing, y ese proveedor las colocó en la misma infraestructura multiinquilino.

Ninguna de ellas tiene visibilidad de con quién comparte. No aparece en ningún contrato, no lo detecta ninguna auditoría interna y no figura en ningún registro de riesgos.

La implicación es directa: un incidente en ese proveedor —una degradación de servicio, un error de enrutado, un compromiso del plano de control, o incluso un bloqueo de red dirigido contra uno solo de los inquilinos— se propaga simultáneamente a seis grandes empresas de seis sectores distintos de la economía española. Los planes de continuidad de negocio de esas seis compañías están escritos asumiendo que sus riesgos son independientes. No lo son.

La exposición a esta dependencia cruzada es muy desigual: un grupo de infraestructuras aparece en 26 bloques compartidos distintos, una aseguradora en 22 y una constructora en 17, mientras la mayoría de las cotizadas aparece en menos de cinco. Cuanto más se externaliza la presencia digital a plataformas gestionadas, mayor es la superficie de correlación con terceros que nadie eligió.

La huella del proveedor común, por otra vía

Hay una segunda señal, independiente de la red, que apunta a lo mismo. Analizando los nombres de subdominio, treinta y cuatro prefijos distintos aparecen simultáneamente en cinco o más cotizadas.

Descartando los universales —el prefijo web canónico, el comodín, el correo—, quedan patrones que solo se explican por producto compartido: un prefijo de portal de marca idéntico en siete empresas distintas, prefijos de portal de empleo en seis cada uno, prefijos de descubrimiento y señalización de una misma suite de comunicaciones unificadas en nueve a once compañías, y un prefijo de informe anual corporativo en cinco.

Cuando siete grandes cotizadas nombran su portal de marca exactamente igual, es porque compran el mismo producto al mismo proveedor. La concentración de proveedores en el IBEX opera en capas —red, comunicaciones, portales corporativos— y ninguna de las empresas la mide como riesgo de concentración, porque cada contrato se evaluó por separado.

6. Entornos que no deberían estar en internet#

Aplicando una detección estricta de familias de prefijo —exigiendo separador o dígito tras la palabra clave, para no capturar falsos positivos del castellano como "prensa" o "premios"— encontramos 216 subdominios de entornos no productivos repartidos en 19 de las 30 cotizadas.

De ellos, 108 —exactamente la mitad— resuelven activamente. Y en la familia de desarrollo la proporción sube al 66%: dos de cada tres entornos de desarrollo detectados están vivos y accesibles desde internet abierto, en once grandes empresas cotizadas.

Por qué importa: un entorno de preproducción suele ser una réplica funcional de producción, con datos reales o realistas, controles de acceso relajados, versiones sin parchear y trazas de depuración activas. Su valor para un atacante no es servir de objetivo final, sino de puerta lateral y de fuente de inteligencia sobre la arquitectura del entorno real — la misma aplicación, la misma lógica de negocio, la décima parte de las defensas.

Mención aparte merece un hallazgo del análisis de nomenclatura: un prefijo de servidor de integración continua aparece 65 veces repartido en cinco cotizadas, con diez activos resolviendo. Los servidores de construcción de software concentran credenciales de despliegue, tokens de repositorio y acceso efectivo a la cadena de suministro del código. Que estén expuestos y nombrados de forma predecible es la condición previa de cualquier ataque a la cadena de construcción.

7. El mapa de puertas de entrada#

Sobre 8.460 registros hay 5.452 primeras etiquetas distintas — una nomenclatura muy poco normalizada. Pero dentro de esa dispersión, los nombres de la infraestructura sensible son sorprendentemente predecibles:

Pasarelas de API en dieciséis empresas, correo corporativo en doce, VPN en siete, intranets en siete, portales en siete, paneles de administración en cinco, autenticación única en cinco, transferencia de ficheros en cuatro.

Ninguno de estos nombres es un fallo por sí mismo. Una VPN tiene que estar publicada para poder usarse; una pasarela de API, también. Lo relevante es el conjunto: estos datos dibujan el mapa de puntos de entrada autenticados de cada organización con precisión suficiente para planificar una campaña de credenciales sin tocar un solo sistema — y, de nuevo, obtenidos de un registro público.

No es una amenaza de laboratorio. En la misma ventana de observación de este informe, el centro nacional de ciberseguridad del Reino Unido emitió una alerta internacional por una campaña activa de explotación contra cortafuegos y pasarelas VPN Fortinet — exactamente la categoría de activo que este análisis encuentra publicada de forma predecible en siete de las treinta cotizadas. No es una acusación contra ninguna de ellas ni una prueba de que estuvieran afectadas: es la constatación de que, mientras se recogían estos datos, ese tipo concreto de puerta de entrada estaba siendo atacado activamente en todo el mundo.

8. Qué asoma cuando se mira de cerca#

Para una submuestra de diez de las treinta compañías disponemos también de datos de servicios expuestos. El perfil general es sano —predominan los puertos web cifrados—, pero hay excepciones que merecen mención:

Acceso remoto por SSH en 21 activos de seis empresas. Transferencia de ficheros sin cifrar en 19 activos de ocho empresas. Interfaz de orquestación de contenedores expuesta en 17 activos de seis. Aparecen además once activos en cinco empresas con un puerto de base de datos relacional accesible y once en cinco con un puerto asociado a un protocolo de telecontrol industrial.

Este último dato lo señalamos con cautela expresa: la identificación por número de puerto sin verificación del servicio real produce falsos positivos con frecuencia. Léase como indicio que merece verificación, no como censo.

Hay un dato estructural en esta submuestra que refuerza todo el apartado 5: 129 activos están etiquetados como infraestructura de nube y 126 como red de distribución de contenidos, sobre un total de 667. Más de un tercio de los activos observables de estas diez cotizadas no está en su propia infraestructura.

9. La paradoja del ransomware#

Cruzamos la superficie medida con los datos de víctimas de ransomware publicadas entre mayo y julio de 2026: 2.295 organizaciones a escala global, de las que 49 son españolas.

El resultado es contraintuitivo. Las 49 víctimas españolas se concentran en servicios a empresas, manufactura, agroalimentario, servicios al consumidor y hostelería. No hay ni una sola víctima española en energía, banca, seguros ni telecomunicaciones — precisamente los cuatro sectores que concentran la mayor superficie expuesta.

La lectura correcta no es que esos sectores estén seguros. Es que la extorsión con publicación de datos golpea al tejido empresarial medio, mientras la superficie de ataque se acumula en la gran cotizada. Las explicaciones plausibles no se excluyen entre sí: las grandes negocian y pagan sin aparecer en los muros de filtración; tienen capacidad de contención que evita la exfiltración masiva; o son objetivo de actores con otros fines —espionaje, preposicionamiento— que por definición no publican nada.

Las limitaciones de este cruce son severas y las declaramos: se compara superficie española con víctimas globales, las taxonomías sectoriales de ambas fuentes no son homologables, once de las 49 víctimas españolas no tienen sector clasificado, y la ausencia de un sector en un muro de extorsión nunca es evidencia de ausencia de incidentes. El cruce es sugerente, no concluyente.

10. Cómo leer estos rankings sin equivocarse#

Cuatro precisiones necesarias antes de citar cualquier cifra de este informe fuera de contexto.

No hay ninguna puntuación de riesgo por activo. Los campos de nivel y puntuación de riesgo del conjunto están completamente vacíos para las treinta cotizadas. Los pocos registros puntuados del índice pertenecen a dominios propios y de prueba que hemos excluido del análisis. Calcular percentiles de riesgo sobre el índice completo habría producido un gráfico atractivo que en realidad describiría activos internos, no al IBEX. No lo hemos hecho.

No hay serie temporal. Cada empresa fue escaneada exactamente una vez, en un único día, en un rango que va del 19 de junio al 30 de julio de 2026. Hay hasta seis semanas de desfase entre las primeras y las últimas mediciones, y ninguna conclusión sobre evolución es posible.

No sabemos qué tecnologías ni qué versiones usan. Era uno de los ángulos que nos propusimos y sencillamente no hay datos: los índices de inteligencia web, tecnologías y descubrimiento de activos cubren exclusivamente dominios propios y de prueba. Preferimos declararlo a fabricarlo.

Los datos de vulnerabilidades no son utilizables. Existen dieciocho registros para seis empresas, con cuarenta identificadores de vulnerabilidad de los cuales la mayoría son de entre 2007 y 2013. Ese patrón es la firma característica de la inferencia por banner —atribuir todas las vulnerabilidades históricas de una rama de producto a partir de una cadena de versión—, no de una verificación real. No hemos derivado nada de ahí.

La superficie medida es un suelo, no un total. El 99,7% de los registros tiene exactamente un nivel de subdominio, y no hay ni uno solo de dos o más niveles. Eso no es un patrón real de internet: los registros de transparencia devuelven habitualmente nombres profundos generados por redes de distribución y correo transaccional. La ausencia total indica que nuestro proceso de ingesta trunca los nombres. Efecto positivo: el conjunto está limpio de ruido automático. Efecto negativo: la superficie real es con casi total seguridad mayor que la medida.

Y la limitación que más condiciona cualquier comparación entre empresas: la cobertura del escaneo es desigual. Ocho cotizadas tienen menos de 25 subdominios detectados y cuatro menos de diez. Un gran operador de infraestructura de telecomunicaciones aparece con siete, frente a los más de mil de otra compañía del mismo sector. Un factor de 145 entre empresas comparables no es una diferencia de higiene: es un artefacto de medición.

La prueba que lo confirma es la tasa de resolución invertida. Las empresas con muchos subdominios resuelven poco porque acumulan décadas de residuo; las que tienen pocos resuelven mucho (82-100%). Si la cifra baja reflejase buena higiene real, veríamos también residuo histórico en proporción. No lo hay: lo que hay es enumeración superficial, casi con seguridad porque el escaneo se hizo contra el dominio del holding y no contra los dominios operativos y de marca donde vive la presencia real de esas compañías.

Conclusión operativa: los rankings de este informe miden superficie descubierta, no superficie existente. Para las quince empresas de la mitad superior las cifras son razonablemente representativas. Para las de la cola son un límite inferior sin valor comparativo, y cualquier lectura del tipo "la empresa X tiene mejor higiene que la Y porque tiene menos subdominios" sería sencillamente incorrecta.

11. Ocho conclusiones#

1. El inventario de activos de cualquier gran empresa es público. El 100% de la superficie analizada se obtuvo de registros de transparencia de certificados: gratis, sin herramientas y sin dejar traza. Cualquier estrategia que dependa de que ese inventario sea difícil de obtener está rota.

2. Nueve de cada diez cotizadas comparten infraestructura de red con otra cotizada. Un solo bloque /24 aloja a seis grandes empresas de seis sectores distintos. Es una dependencia invisible desde dentro de cada una y ausente de todos los planes de continuidad.

3. Cien segmentos de red sostienen más de la mitad de la presencia digital operativa del IBEX. La concentración de proveedores es un riesgo sistémico para la economía española, no un asunto de cada compañía.

4. El 63% de los nombres descubiertos ya no resuelve. Son 5.367 registros huérfanos, el sustrato exacto del secuestro de subdominios. Un nombre muerto no es un nombre inocuo.

5. Las empresas que más nombres crean son las que menos los retiran. La relación entre superficie y tasa de resolución es inversa y consistente por sectores. La gestión del ciclo de vida DNS no escala con el tamaño, y debería.

6. Doscientos dieciséis entornos de desarrollo, pruebas y preproducción en diecinueve cotizadas, con la mitad vivos en internet abierto. En desarrollo, dos de cada tres. Son réplicas de producción con la décima parte de las defensas.

7. Servidores de integración continua expuestos y con nombre predecible en cinco cotizadas. Es la condición previa de un ataque a la cadena de construcción de software.

8. Superficie y victimización pública se distribuyen de forma inversa. Los cuatro sectores con más exposición no registran ni una víctima entre las 49 españolas del trimestre. Eso no significa que estén seguros: significa que a las grandes no las extorsionan en público.

Qué haríamos mañana por la mañana

Si dirigiésemos la seguridad de cualquiera de estas treinta compañías, el orden sería este:

1. 01Consultar los registros de transparencia del propio dominio. Es gratis, tarda minutos y devuelve exactamente lo que ve el atacante. Si el resultado sorprende, ese es el tamaño del problema.
2. 02Revisar cada nombre que no resuelve y determinar si su registro DNS sigue delegando hacia un recurso reclamable. Es la corrección de mayor retorno por hora invertida de toda la lista.
3. 03Sacar los entornos no productivos de internet, o ponerlos tras autenticación. La mitad de los detectados no lo están.
4. 04Preguntar a los proveedores de CDN y alojamiento con quién se comparte infraestructura. No aparecerá en el contrato, pero es una pregunta legítima, y la respuesta cambia el análisis de continuidad de negocio.

12. Metodología y una nota final#

Este mapa se construyó con reconocimiento externo estrictamente pasivo: todos los nombres de subdominio proceden de registros públicos de transparencia de certificados, sin enviar tráfico no solicitado a ningún sistema ni verificar ninguna vulnerabilidad. El universo analizado son 8.460 subdominios de 30 cotizadas españolas, ninguna nombrada: los sectores con una sola compañía se fusionan en "otros" y los prefijos poco comunes se describen de forma funcional, precisamente para que nada de esto sirva para reidentificar a nadie. Es una foto fija de un escaneo entre el 19 de junio y el 30 de julio, no una vigilancia continua — esa es, precisamente, la diferencia con lo que sigue.

Todos los datos usados eran ya públicos antes de este trabajo. El informe no señala ninguna vulnerabilidad concreta de ninguna empresa concreta, y no hemos notificado de forma individual a las treinta compañías: lo que sí recomendamos es que cada una repita el primer paso del apartado 11 sobre sí misma. Hacerlo una vez, a mano, lleva minutos; mantenerlo vigilado es otra conversación, y es la que tenemos con las empresas que nos escriben después de leer esto.

QuantumSec Intelligence — Vemos lo que se mueve antes de que te alcance.