Resumen

  • El National KE-CIRT/CC de Kenia registró 2.696.335.021 eventos de ciberamenaza detectados en julio–septiembre de 2026, un 14,45% más que el trimestre anterior.
  • Emitió 20.258.111 avisos, un 2,36% menos; el informe no define la unidad de evento ni explica cómo pasa de una detección a un aviso.

El último informe de ciberseguridad de Kenia pone dos cifras enormes en la misma página. Los eventos de ciberamenaza detectados subieron a 2.696.335.021. Los avisos emitidos bajaron a 20.258.111. La primera cifra creció un 14,45% frente a abril–junio; la segunda cayó un 2,36%.

Las curvas se movieron en direcciones opuestas. Ahí está la pregunta útil. También es el punto en el que la aritmética del informe debería dar paso a su método operativo.

El National KE-CIRT/CC, adscrito a la Communications Authority of Kenya, llama a la primera medida “eventos de ciberamenaza detectados” y dice que los avisos se emitieron “en respuesta” a ellos. El informe de julio–septiembre no publica un diccionario de datos, una regla de deduplicación, el alcance de la recopilación ni un vínculo entre evento y aviso. Presenta los totales, no la maquinaria del contador.

El trimestre anterior vuelve más visible la diferencia. Entre abril y junio, el centro informó de 2.355.938.192 eventos detectados, un descenso del 30,03%, mientras los avisos subieron a 20.748.489, un 0,81%. En el trimestre siguiente se invirtieron los movimientos: más eventos, menos avisos. Cada serie puede ser útil por separado. El registro publicado no explica cómo se relacionan.

Los subtotales de eventos suman exactamente el total. “Ataques de sistema” representan 2.552.948.966 de los 2.696.335.021 eventos, alrededor del 94,7%. El resto incluye 70.800.154 eventos de malware, 44.949.518 de fuerza bruta, 27.435.527 de aplicaciones web, 177.732 de aplicaciones móviles y 23.124 ataques DDoS. El total puede reconstruirse a partir de la tabla.

Los subtotales de avisos también cuadran: 8.379.145 para ataques de sistema, 10.380.579 para aplicaciones web, 916.418 para fuerza bruta, 549.931 para malware, 18.837 para aplicaciones móviles y 13.201 para DDoS. El informe ofrece un libro mayor por categorías. No explica la regla que convierte una tabla en la otra.

Para un operador de red, la diferencia importa. Un evento detectado por un sensor, un ataque distinto, una intrusión confirmada, un incidente y un aviso son unidades de conteo diferentes. Una campaña puede tocar muchos sistemas; un sensor ruidoso puede repetir coincidencias; un aviso puede cubrir toda una familia de actividad. El informe no indica qué unidad alimenta el contador ni cómo trata esos casos.

Sin esa conexión, la subida trimestral puede preocupar, pero no permite saber a un responsable de seguridad si aumentó la exposición, mejoró la recopilación, cambió la clasificación o la misma actividad produjo más registros. El informe menciona parches, credenciales y debilidades en aplicaciones web; no relaciona los 2.700 millones de registros con operadores afectados ni con resultados en sus servicios.

La Autoridad ya trabaja en una plataforma nacional para compartir inteligencia de amenazas. El informe describe formación, revisión de los mecanismos existentes, planificación de un panel nacional de inteligencia de amenazas y un plan de acción inicial. Es el momento adecuado para diseñar los comprobantes del panel: qué entra en el contador, cómo se tratan los duplicados, cuándo cambia una categoría y qué avisos siguen a cada detección.

Kenia no necesita una cifra menor. Necesita una cifra que un operador pueda auditar. El informe ofrece un total preciso, pero no publica qué cuenta como un evento. Sirve para llenar una página; no para presupuestar una respuesta.

Fuentes