La IA está cambiando el ciberdelito, pero la preparación cibernética de las PYMES todavía depende en gran medida de cerrar las brechas familiares
03 de julio de 2026
•
,
5 min. leer
La IA está cambiando las herramientas de los atacantes. Puede ayudar a los delincuentes a crear mejores señuelos, escalar la ingeniería social y acelerar el reconocimiento, al tiempo que, en general, reduce la barrera de entrada para los atacantes menos capacitados. Las organizaciones tienen razón al prestar atención, especialmente porque el uso malicioso de la IA hace que las viejas brechas sean una prueba más urgente de la preparación cibernética de una organización.
Mientras tanto, los primeros puntos de falla siguen siendo sorprendentemente familiares y generalmente involucran a los sospechosos habituales, como un enlace de phishing en el que un empleado hace clic o una vulnerabilidad que no se repara a tiempo. A diferencia del malware verdaderamente impulsado por IA (que sigue siendo poco común), estos no son los riesgos más llamativos en ciberseguridad, pero siguen estando entre los más importantes para las empresas que intentan mejorar su preparación.
Afortunadamente, las amenazas que siguen causando la mayoría de los incidentes también cuentan con mitigaciones probadas que deberían ayudar a mantener su empresa segura.
IA y lo básico
El «malware impulsado por IA» se cita como la principal preocupación de las PYMES globales para el próximo año, según el Índice de preparación cibernética para PYMES de ESET 2026. Es incluso mayor (33%) en América del Norte. Sin embargo, si tomamos la definición en el sentido de malware que utiliza IA de forma automatizada y en tiempo real, es más un tema para la comunidad de investigación que para los profesionales de la ciberseguridad.
ESET descubrió el primer ejemplo de ransomware escrito por IA en 2025. Sin embargo, es probable que incluso esto haya sido una prueba de concepto (PoC). Mientras tanto, PromptSpy, que ESET descubrió a principios de este año, fue el primer malware de Android conocido que abusó de la IA generativa (GenAI) en su flujo de ejecución para lograr persistencia.
Ha habido relativamente pocos descubrimientos similares, si es que hubo alguno, por parte de investigadores de amenazas. También es cierto que el servicio MDR de ESET no tiene evidencia de incidentes en los que GenAI haya jugado un papel importante. Los actores de amenazas se benefician del soporte de la IA, pero pocos están poniendo en práctica la tecnología en tiempo real para tareas verdaderamente automatizadas.
Las verdaderas ciberamenazas a tu negocio
Un enfoque más rentable para los líderes de las PYMES sería prestar más atención a las causas reales de los incidentes. Para muchas PYMES, el primer punto de falla sigue siendo mucho más familiar: un mensaje de phishing que funciona, una vulnerabilidad que no se ha corregido, una alerta que nadie ve o una contraseña que nunca debería haberse reutilizado. Estos no son los riesgos más llamativos en ciberseguridad, pero siguen estando entre los más importantes para las empresas que intentan mejorar su preparación.
En este sentido, los datos de ESET son instructivos. Señala las siguientes como las principales amenazas que enfrentan las empresas más pequeñas:
- Phishing (26%): La telemetría de ESET revela que el phishing fue la principal amenaza detectada en la segunda mitad de 2025 (30,8%) y los volúmenes siguen aumentando. La ingeniería social siempre ha sido una táctica favorita de los actores de amenazas, con mensajes de texto de phishing (smishing) e incluso llamadas de voz (vishing) cada vez más populares. La tecnología puede desempeñar un papel en la defensa, pero también debe hacerlo la capacitación y la concientización del personal, que pueden ser más difíciles de lograr.
- Vulnerabilidades de seguridad sin parches (23%): Incluso las organizaciones más pequeñas pueden estar ejecutando una amplia gama de software, y no todos pueden parchearse simplemente activando las actualizaciones automáticas. Comprender lo que está ejecutando y qué datos y sistemas críticos pueden estar expuestos es el primer desafío. El gran volumen y la frecuencia del descubrimiento de vulnerabilidades en estos días, y la experiencia limitada para probar y aplicar actualizaciones críticas, también pueden ser obstáculos.
- Falta de monitoreo de seguridad (22%): Es posible que tenga muchas herramientas de seguridad, pero ¿tiene un lugar único y centralizado para recopilar, correlacionar y marcar alertas? El monitoreo efectivo es de vital importancia para acelerar la detección y respuesta a las amenazas. Pero incluso las empresas que cuentan con monitoreo pueden verse abrumadas con alertas, lo que dificulta distinguir los positivos falsos de los verdaderos.
- Contraseñas débiles (20%): Un desafío de seguridad tan antiguo como el tiempo. A pesar de los movimientos de la industria hacia la autenticación multifactor (MFA) y las claves de acceso resistentes al phishing, muchas organizaciones todavía dependen de contraseñas estáticas para proteger sus activos principales. Y los empleados tienden a reutilizarlos, lo que agrava el riesgo de que se vean comprometidos. Crear una política de contraseñas sólida es el primer paso. Hacerlo cumplir es el siguiente.
Soluciones probadas para amenazas antiguas
Esto no quiere decir que las PYMES deban ignorar las amenazas habilitadas por la IA. La clave es reconocer que muchos de los riesgos mencionados anteriormente se ven exacerbados por la IA, en lugar de por la tecnología que se utiliza para crear amenazas completamente novedosas. Por ejemplo, los atacantes utilizan la IA para:
- Mejorar la calidad de los mensajes de phishing (incluido el uso de deepfakes) y escalar y gestionar campañas.
- Colapse la ventana de explotación de vulnerabilidades al encontrar y convertir rápidamente en armas nuevas fallas
- Analizar grandes conjuntos de datos para determinar las contraseñas más utilizadas.
- Realice reconocimientos de objetivos para determinar rutas de ataque más rápido
También puede reducir el tiempo que tienen las empresas para responder. Si los ciberdelincuentes pueden identificar sistemas vulnerables más rápido, producir códigos de explotación más fácilmente o automatizar partes de su flujo de trabajo, entonces la ventana entre la divulgación, el uso de armas y la explotación puede reducirse aún más. Para una PYME que ya tiene dificultades con el inventario de activos y la priorización de parches, eso es importante. Una lección es que esto aumenta el costo de dejar lo básico sin terminar.
Entonces, ¿cuál es la respuesta? La buena noticia es que las mejores prácticas aún pueden ayudar a mejorar su postura de seguridad. La gestión de vulnerabilidades y parches es un buen punto de partida. Escanee continuamente los sistemas operativos y las aplicaciones en busca de CVE conocidos para detectar exposiciones superficiales y luego implemente actualizaciones automáticamente de acuerdo con la política y el riesgo.
La seguridad de la identidad es cada vez más crítica. Los administradores de contraseñas pueden crear y almacenar credenciales seguras y únicas para los empleados, pero aun así, MFA es una línea de defensa no negociable en estos días. Utilice herramientas de administración de cuentas privilegiadas (PAM) para reducir la superficie de ataque y proteger las cuentas de alto riesgo.
Aborde la escasez de habilidades de seguridad y mejore el monitoreo subcontratando la detección y la respuesta a un tercero confiable. El uso de un servicio de detección y respuesta administradas (MDR) también puede reducir la complejidad y los desafíos de integración que una quinta parte (21%) de las PYMES cita como su mayor barrera para mejorar la postura de seguridad.
Destino: preparación y resiliencia
La conclusión es que ninguna organización es demasiado pequeña para ser atacada, por lo que es esencial adoptar un enfoque proactivo en materia de ciberseguridad. La verdadera preparación cibernética significa ser capaz de prevenir, detectar y responder a las amenazas, un hito crucial en el camino hacia la resiliencia empresarial.
Puede alcanzarlo mucho más rápido si tiene una visión clara de las amenazas que enfrenta su organización. No los que forman una buena historia, sino los que causan un impacto real.
Acerca del autor
