América Latina vive una paradoja digital preocupante. Por un lado, el Informe de Ciberseguridad 2025 elaborado por el Banco Interamericano de Desarrollo (BID), la Organización de los Estados Americanos (OEA) y el Global Cyber Security Capacity Centre de la Universidad de Oxford confirma que los países de la región han logrado avances sostenidos en sus marcos normativos, políticas públicas y estrategias nacionales de ciberseguridad entre 2020 y 2025.

Por otro lado, la telemetría global de Kaspersky posiciona a América Latina como la región más golpeada por el ransomware en todo el planeta, con un 8,13 % de organizaciones afectadas en el último año, superando a Asia-Pacífico (8 %), África (7,62 %), Medio Oriente (7,27 %), la Comunidad de Estados Independientes (5,91 %) y Europa (3,82 %).

Esta doble realidad refleja una contradicción estructural: la región invierte en infraestructura defensiva básica, pero continúa expuesta a graves fisuras operativas, hábitos inadecuados en el factor humano y una persistente falta de visibilidad en sus redes corporativas.

Cuatro de cada diez empresas de América Latina pelean con los ojos vendados

El ESET Security Report 2026, construido con 1.563 respuestas de profesionales de 962 organizaciones en 10 países, entre ellos Argentina, Brasil, Chile, Colombia y México, trae un dato que parece tranquilizador y no lo es. El 52,7% de las empresas detectó al menos un intento de ataque en el último año. El problema es la otra mitad, un 15,4% admite que no sabe si lo atacaron y entre quienes creen que no les pasó nada, un 25,1% reconoce que pudo pasar sin que sus sistemas se enteraran.

Si se suman las dos cosas, el retrato es brutal. Cuatro de cada diez organizaciones latinoamericanas no tienen con qué auditar su propia seguridad. No es que estén a salvo, es que no están mirando. Y la ceguera tiene favoritos. Educación es el caso más crudo, la mitad de las instituciones fue atacada (50,6%) y aun así, el 21,2% no sabe si lo fue.

La tasa de incertidumbre más alta de toda la muestra. Manufactura encabeza los ataques detectados, con un 62,7%. La banca, que uno imaginaría intocable, es el segundo blanco con un 57,8%, aunque al menos responde: es el sector más maduro de la región, con EDR desplegado en el 69,1% de las entidades.

El ataque no es sofisticado, los descuidados somos nosotros

Aquí conviene bajar el mito del hacker genial. En América Latina no hace falta. El phishing y la ingeniería social golpean al 73% de las organizaciones y son el vector dominante en casi todos los sectores. Dejó de ser artesanal, hoy se fabrica con kits automatizados y se disfraza de plataformas de uso cotidiano como DocuSign, WeTransfer y Telegram. El engaño se industrializó mientras nosotros seguíamos creyendo que un correo falso se nota a simple vista.

Lo demás es pura falta de higiene. Los accesos no autorizados afectan al 40% de las empresas, casi siempre con credenciales robadas por infostealers que se alquilan como servicio. La infección por malware llega al 31,6%, y en Salud se dispara al 52,9%. Pero el dato que debería avergonzarnos es el de las vulnerabilidades: según la telemetría regional, más del 81,8% de los incidentes de explotación se concentra en apenas dos fallas de Microsoft Office divulgadas en 2017. Es decir, nos siguen entrando por agujeros que llevan casi una década abiertos y que un parche a tiempo habría cerrado.

Y después pedimos explicaciones al Estado. El 54,5% de las instituciones de gobierno reportó actividad maliciosa, con el phishing como puerta en el 72,6% de los casos. Sin embargo, solo el 41,6% implementó la doble autenticación. Menos de la mitad de los organismos que custodian los datos de millones de ciudadanos usa la medida más barata y efectiva que existe. No es un problema de plata, es de voluntad.

Qilin manda, y ya ni necesita cifrar

El ransomware es una fracción pequeña del volumen total de amenazas, pero concentra el daño que de verdad duele. Y el adversario cambió de libreto. Kaspersky anticipa para 2026 la extorsión sin cifrado, el uso de criptografía postcuántica para blindar lo robado y el auge de los EDR killers, herramientas diseñadas para apagar las defensas antes de ejecutar el golpe. Las autoridades desmantelaron foros clave como RAMP, en enero de 2026 y LeakBase, en marzo, pero el negocio simplemente se mudó a canales de Telegram y a los Initial Access Brokers que venden la puerta de entrada al mejor postor.

En la cúspide del negocio hoy manda Qilin, operador dominante bajo el modelo ransomware-as-a-service tras la caída de RansomHub, seguido por Clop y Akira. La noticia esperanzadora, porque alguna hay, la pone también la telemetría de ESET más del 85% de los eventos de ransomware mitigados en la región fueron bloqueos preventivos. Cuando la defensa está encendida, funciona. El desastre ocurre cuando está apagada.

El reloj, además, corre más rápido que nunca. Fortinet contabilizó 122 mil millones de intentos de explotación a escala global en 2025, y advierte que el tiempo entre que se publica una vulnerabilidad y empieza a explotarse bajó de semanas a horas. La inteligencia artificial le puso turbo al crimen: el 56,3% de los profesionales de la región ya teme los ataques automatizados por IA, y un 19,6% señala a los deepfakes como su peor pesadilla. La amenaza no descansa, se reorganiza y acelera.

Tenemos el arsenal, lo dejamos en la vitrina

Conviene desmontar la excusa cómoda, esa de que a la región le faltan herramientas. Mentira. El arsenal básico está comprado y pagado, el problema aparece justo donde empieza a incomodar:

• Lo perimetral, bien surtido: Firewall en el 85% de las empresas, Backup en el 82%, VPN en el 73%.
• Lo que de verdad detecta, a medias o ausente: doble autenticación en el 57%, EDR en el 52%, prevención de fuga de datos (DLP) en el 36% y threat intelligence en apenas el 23%.

Traducido: levantamos murallas pero casi nadie vigila lo que ya está adentro. Es un modelo reactivo, bueno para la foto y malo para la noche en que algo entra. El factor humano lo confirma sin piedad, aunque el 81,4% de los colaboradores usa antivirus en su computadora de trabajo, solo el 52,2% activa el segundo factor en sus cuentas laborales, y apenas uno de cada dos lo hace en las personales. El teléfono corporativo es el gran olvidado, uno de cada cuatro empleados (26,9%) admite que no usa ninguna medida de seguridad en el celular con el que trabaja.

Lo que cuesta cerrar la puerta es casi nada

Los diagnósticos de ESET, Kaspersky, Fortinet y el BID coinciden en lo mismo: a América Latina no le falta mercado, le falta ejecución. Y salir del hoyo no exige un presupuesto heroico, exige decidir tres cosas:

• Activar el segundo factor en todo: el 2FA obligatorio en correo, cuentas corporativas y móviles desarma de un plumazo la mayoría del phishing y del robo de credenciales.
• Parchear lo viejo antes que comprar lo nuevo: cerrar las fallas conocidas elimina la superficie favorita de los Initial Access Brokers, esas dos de Office que aún hoy nos cuestan caro.
• Pasar de prevenir a detectar: un esquema de detección y respuesta gestionada convierte ese 40% que "no sabe" en algo que por fin se mide y se corta a tiempo.

Ninguna de las tres cuesta una fortuna. América Latina ya probó que sabe comprar tecnología, el 85% tiene firewall. Lo que todavía no decide es usarla: activar el segundo factor, tapar lo viejo, mirar su propia red. Mientras tanto seguimos encabezando el único ranking que a nadie le gusta liderar. Así que la pregunta ya no es si la región puede defenderse, porque los informes demuestran que tiene con qué. La pregunta incómoda es otra: ¿cuánto vale, exactamente, el clic que nadie se molestó en activar, cuando del otro lado ya hay alguien explotando una falla de 2017?