Más de la mitad de las empresas de Latinoamérica detectó intentos de ciberataque durante el último año, según el ESET Security Report Latinoamérica 2026. El informe recoge respuestas de 1.563 profesionales vinculados a 962 organizaciones de diez países de la región.
Más de la mitad de las empresas detectó intentos de ataque
El dato principal es el 52,7% de organizaciones que afirmó haber detectado intentos de ataque contra sus sistemas. La cifra no cuenta toda la situación. El 15,4% no pudo confirmar si había sufrido un incidente, y entre las empresas que dijeron no haber detectado ataques, una de cada cuatro reconoció que pudieron haber ocurrido sin ser descubiertos por falta de tecnología suficiente.
No detectar un incidente no significa que no haya ocurrido
La lectura para cualquier empresa es sencilla: no detectar un ataque no siempre significa no haberlo sufrido. Puede significar que no existen herramientas, registros o controles suficientes para saber qué ha pasado dentro de la red, en el correo corporativo, en los dispositivos o en las cuentas de los empleados.
El phishing es la principal amenaza para las empresas
El phishing aparece como la amenaza más frecuente. Según ESET, el 73% de las organizaciones encuestadas en América Latina dijo haber sido objetivo de campañas de phishing durante 2025. Le siguieron los accesos no autorizados, con un 40%; las infecciones por malware, con un 31,6%; la explotación de vulnerabilidades, con un 29,2%; y el secuestro o filtración de información, con un 8,4%.
Cómo comienza un ataque de phishing empresarial
El phishing no afecta solo a grandes compañías. Puede empezar con un correo que aparenta venir de un proveedor, una falsa notificación de Microsoft, un archivo compartido, una factura pendiente, un mensaje de recursos humanos o una supuesta alerta bancaria. Si una persona introduce sus credenciales en una página falsa, el atacante puede acceder al correo, revisar conversaciones y preparar nuevos fraudes.
Educación, manufactura y banca, entre los sectores más afectados
El informe también señala diferencias por sectores. ESET menciona una incidencia alta del phishing en Educación, con un 81,4%; Manufactura, con un 81,1%; y Banca y Finanzas, con un 79,6%. En estos entornos circulan datos sensibles, pagos, credenciales, expedientes, facturas o comunicaciones internas que pueden ser usados en fraudes posteriores.
Las carencias de seguridad que facilitan los ciberataques
La autenticación multifactor todavía es insuficiente
Otro dato relevante está en la autenticación multifactor. ESET indica que solo el 57% de las organizaciones encuestadas utiliza este sistema. Entre empleados no técnicos, el porcentaje baja al 52,2%. Esto deja muchas cuentas laborales protegidas únicamente por contraseña o con medidas insuficientes frente a robo de credenciales.
Los móviles corporativos también pueden ser una vía de entrada
También preocupa el uso de móviles corporativos. El 26,9% de los colaboradores no técnicos reconoció que no aplica ninguna medida de seguridad en su teléfono de trabajo. En la práctica, un móvil sin bloqueo adecuado, sin actualizaciones o usado para abrir enlaces sospechosos puede ser una vía de entrada para acceder a cuentas, documentos o aplicaciones de empresa.
La inteligencia artificial permite ataques más creíbles
La inteligencia artificial aparece en el informe como otro factor a vigilar. El 56,3% de los profesionales consultados considera que la IA puede facilitar ataques más sofisticados, y el 19,6% identifica los deepfakes como una amenaza. El riesgo no está solo en una imagen o una voz falsa, sino en correos mejor redactados, suplantaciones más creíbles y mensajes adaptados al cargo o actividad de la víctima.
Cómo pueden protegerse las pymes frente a los ciberataques
Para las pequeñas y medianas empresas, muchas de estas amenazas empiezan por acciones muy simples. Un empleado abre un adjunto, copia un código, escanea un QR, responde a un supuesto proveedor o introduce la contraseña en una página que imita el inicio de sesión corporativo. Después, el atacante puede usar esa cuenta para leer correos, cambiar datos de pago o enviar mensajes a otros contactos.
Activar la autenticación multifactor y revisar los accesos
Una medida básica es activar la autenticación multifactor en correo, herramientas de trabajo, banca online, paneles de administración, redes sociales y sistemas de facturación. También conviene revisar permisos, cerrar cuentas que ya no se usan, actualizar equipos, hacer copias de seguridad y comprobar que esas copias se pueden restaurar.
Confirmar por otra vía cualquier cambio de cuenta bancaria
Las empresas deben prestar atención a los cambios de cuenta bancaria comunicados por correo. Si un proveedor pide modificar el IBAN, la confirmación debe hacerse por un canal ya conocido, no respondiendo al mismo email. Muchas estafas empresariales se apoyan en correos reales comprometidos o en mensajes que imitan conversaciones anteriores.
Enseñar al personal ejemplos reales de phishing
Otra práctica útil es enseñar ejemplos reales al personal. Un aviso general sobre “cuidado con el phishing” sirve poco si no se muestran correos, mensajes y páginas falsas parecidas a las que llegan cada semana. La formación debe incluir casos de facturas falsas, QR maliciosos, enlaces a Microsoft 365, supuestos documentos compartidos y llamadas que piden códigos.
Qué debe hacer una empresa si sospecha que ha sido atacada
Si una empresa sospecha que ha sufrido un ataque, no debería limitarse a cambiar una contraseña. Hay que revisar accesos recientes, dispositivos conectados, reglas extrañas en el correo, reenvíos automáticos, archivos compartidos, cambios en cuentas bancarias, facturas enviadas y mensajes remitidos desde la cuenta afectada. También conviene avisar al banco si pudo haber pagos comprometidos.
Cuándo puede ser necesario comunicar una brecha de datos
Cuando el incidente afecta a datos personales, debe valorarse si procede comunicarlo a la autoridad de protección de datos correspondiente y a las personas afectadas. La decisión depende del tipo de datos, del país, del riesgo y de la normativa aplicable. En España, por ejemplo, la Agencia Española de Protección de Datos tiene un canal específico para notificar brechas de seguridad.
Una empresa comprometida también puede poner en riesgo a sus clientes
Para los usuarios, esta noticia también deja una advertencia. Muchos fraudes que llegan a particulares empiezan dentro de una empresa comprometida: un correo real de un proveedor, una tienda, una academia, una asesoría o una entidad que ha perdido el control de una cuenta. Que el mensaje venga de una dirección conocida no garantiza que sea seguro.
Fuentes consultadas:
- ESET, “ESET Security Report 2026: el estado de la ciberseguridad en las empresas de Latinoamérica”.
- El Comercio Perú, “Más del 50% de empresas en Latinoamérica detectó ciberataques, muchas otras ni siquiera saben que han sido blanco”.
- WeLiveSecurity, “Por qué el phishing sigue funcionando: el 73% de las empresas en América Latina lo confirma”.
Sobre el autor
Joan Torras es fundador de InfoEstafas.com y responsable editorial del proyecto. Redacta y revisa contenidos sobre estafas online, fraudes digitales y prevención en internet.
