La IA está transformando las herramientas de los ciberdelincuentes. Puede ayudar a los atacantes a redactar señuelos más convincentes, escalar campañas de ingeniería social y acelerar las tareas de reconocimiento mientras reduce la barrera de entrada para actores menos sofisticados. Las organizaciones hacen bien en prestar atención a esta tendencia, especialmente porque el uso malicioso de la IA convierte las brechas de seguridad ya existentes en una prueba aún más urgente de la preparación cibernética de una organización.
Mientras tanto, los primeros puntos de falla siguen siendo familiares y suelen involucrar a los sospechosos de siempre: un enlace de phishing en el que un empleado hace clic o una vulnerabilidad que no se ha corregido a tiempo. A diferencia del malware verdaderamente impulsado por IA (que sigue siendo poco frecuente), estos no son los riesgos más llamativos de la ciberseguridad, pero continúan siendo algunos de los más importantes para las empresas que buscan mejorar su nivel de preparación.
Afortunadamente, las amenazas que siguen provocando la mayoría de los incidentes también cuentan con medidas de mitigación probadas que pueden ayudar a mantener segura a su empresa.La IA y los conceptos básicos
Según el ESET SMB Cyber Readiness Index 2026, el “malware impulsado por IA” es señalado como la principal preocupación de las pymes a nivel global para el próximo año. En Norteamérica, la cifra es incluso mayor (33 %). Sin embargo, si se entiende este concepto como malware que utiliza IA de forma automatizada y en tiempo real, se trata más de un tema para la comunidad investigadora que para los profesionales de la ciberseguridad.
ESET descubrió el primer ejemplo de ansomware escrito por IA en 2025. No obstante, incluso en ese caso, es probable que se haya tratado de una prueba de concepto (PoC). Por otro lado, PromptSpy, descubierto por ESET a principios de este año, fue el primer malware conocido para Android que utilizó IA generativa (GenAI) dentro de su flujo de ejecución para lograr persistencia.
Los investigadores de amenazas han realizado relativamente pocos descubrimientos similares, si es que ha habido alguno. Asimismo, el servicio MDR de ESET no cuenta con evidencia de incidentes en los que la IA generativa haya desempeñado un papel significativo. Los actores de amenazas sí se benefician del apoyo de la IA, pero pocos están implementando esta tecnología en tiempo real para tareas verdaderamente automatizadas.
Las ciberamenazas reales para las empresas
Un enfoque más rentable para los líderes de pymes sería prestar mayor atención a las causas reales de los incidentes. En muchas pymes, el primer punto de falla sigue siendo mucho más familiar: un mensaje de phishing que logra su objetivo, una vulnerabilidad sin corregir, una alerta que nadie ve o una contraseña que nunca debió reutilizarse. No son los riesgos más llamativos de la ciberseguridad, pero continúan siendo algunos de los más importantes para las empresas que buscan mejorar su nivel de preparación.
En este sentido, los datos de ESET resultan esclarecedores. Señalan las siguientes amenazas como las principales para las pequeñas empresas:
- Phishing (26 %): La telemetría de ESET revela que el phishing fue la amenaza más detectada durante la segunda mitad de 2025 (30,8%), y los volúmenes continúan aumentando. La ingeniería social siempre ha sido una táctica predilecta de los actores de amenazas, y tanto los mensajes de phishing por SMS (smishing) como las llamadas telefónicas fraudulentas (vishing) están ganando popularidad. La tecnología puede desempeñar un papel importante en la defensa, pero la capacitación y concientización del personal también son fundamentales, y suelen ser más difíciles de implementar correctamente.
- Vulnerabilidades de seguridad sin parchear (23 %): Incluso las organizaciones más pequeñas pueden operar una amplia variedad de software, y no todo puede mantenerse actualizado simplemente activando las actualizaciones automáticas. Comprender qué sistemas están en funcionamiento y qué datos y activos críticos podrían estar expuestos es el primer desafío. El enorme volumen y la frecuencia con que hoy se descubren nuevas vulnerabilidades, sumados a la limitada experiencia disponible para probar e implementar actualizaciones críticas, también pueden representar obstáculos importantes.
- Falta de supervisión de la seguridad (22 %): Puede que disponga de numerosas herramientas de seguridad, pero ¿cuenta con un único lugar centralizado para recopilar, correlacionar y destacar alertas? Un monitoreo eficaz es fundamental para acelerar la detección y respuesta ante amenazas. Sin embargo, incluso las empresas que ya cuentan con sistemas de monitoreo pueden verse desbordadas por la cantidad de alertas, lo que dificulta distinguir entre falsos positivos y amenazas reales.
- Contraseñas débiles (20 %): Un desafío de seguridad tan antiguo como la propia informática. A pesar de los avances del sector hacia la autenticación multifactor (MFA) resistente al phishing y el uso de passkeys, muchas organizaciones siguen dependiendo de contraseñas estáticas para proteger sus activos más importantes. Además, los empleados suelen reutilizarlas, lo que incrementa el riesgo de compromisos de seguridad. Crear una política sólida de contraseñas es el primer paso; hacerla cumplir es el siguiente.
Soluciones probadas y contrastadas para amenazas de siempre
Esto no significa que las pymes deban ignorar las amenazas habilitadas por IA. La clave está en reconocer que muchos de los riesgos anteriores se ven agravados por la IA, en lugar de que esta tecnología esté creando amenazas completamente nuevas. Por ejemplo, los atacantes están utilizando IA para:
Esto no quiere decir que las pymes deban ignorar las amenazas impulsadas por la IA. La clave está en reconocer que muchos de los riesgos mencionados anteriormente se ven agravados por la IA, más que en que la tecnología se utilice para crear amenazas completamente nuevas. Por ejemplo, los atacantes están utilizando la IA para:
- Mejorar la calidad de los mensajes de phishing (incluido el uso de deepfakes) y escalar y gestionar campañas.
- Reducir el tiempo necesario para explotar vulnerabilidades al identificar y convertir rápidamente nuevas fallas en herramientas de ataque.
- Analizar grandes volúmenes de datos para identificar contraseñas de uso frecuente.
- Realizar tareas de reconocimiento sobre los objetivos para determinar rutas de ataque con mayor rapidez.
También puede reducir el tiempo disponible para que las empresas respondan. Si los ciberdelincuentes logran identificar sistemas vulnerables más rápidamente, desarrollar código de explotación con mayor facilidad o automatizar parte de sus procesos, la ventana entre la divulgación de una vulnerabilidad, su explotación y el ataque efectivo podría estrecharse aún más. Para una pyme que ya enfrenta dificultades con el inventario de activos y la priorización de parches, esto es especialmente relevante. Una de las principales lecciones es que aumenta el costo de descuidar los fundamentos.
Entonces, ¿cuál es la respuesta? La buena noticia es que las mejores prácticas siguen siendo efectivas para mejorar la postura de seguridad. La gestión de vulnerabilidades y parches es un buen punto de partida. Analice de forma continua los sistemas operativos y las aplicaciones en busca de CVE conocidas para identificar exposiciones y luego implemente actualizaciones automáticamente según las políticas y el nivel de riesgo.
La seguridad de las identidades es cada vez más crítica. Los gestores de contraseñas pueden generar y almacenar credenciales sólidas y únicas para los empleados, pero aun así, la autenticación multifactor (MFA) es hoy una línea de defensa imprescindible. Utilice herramientas de gestión de cuentas privilegiadas (PAM) para reducir la superficie de ataque y proteger las cuentas de mayor riesgo.
Aborde la escasez de personal especializado en seguridad y mejore el monitoreo mediante la externalización de la detección y respuesta a un proveedor de confianza. Utilizar un servicio de de detección y respuesta gestionadas (MDR) también puede reducir la complejidad y los desafíos de integración que un 21% de las pymes identifica como su principal barrera para mejorar la postura de seguridad.
Objetivo: preparación y resiliencia
En definitiva, ninguna organización es demasiado pequeña para convertirse en objetivo de un ataque, por lo que adoptar un enfoque proactivo de la ciberseguridad es esencial. Una verdadera preparación cibernética implica la capacidad de prevenir, detectar y responder a las amenazas, un hito fundamental en el camino hacia la resiliencia empresarial.
Y puede alcanzarse mucho más rápido si se tiene una visión realista de las amenazas que enfrenta la organización. No las que generan los titulares más impactantes, sino aquellas que están causando daños reales.
