Las empresas latinoamericanas han reforzado sus defensas con firewalls, copias de seguridad y redes privadas virtuales (VPN), pero continúan teniendo dificultades para saber qué ocurre realmente dentro de sus sistemas. El ESET Security Report Latinoamérica 2026 muestra esa contradicción: el 73 % de las organizaciones consultadas señala al phishing como vector de ataque y solo el 23 % utiliza plataformas de inteligencia de amenazas para anticiparse a nuevas campañas.
Las claves de la ciberseguridad en Latinoamérica en 20 segundos
- ESET ha recogido respuestas de 1.563 profesionales pertenecientes a 962 organizaciones de 10 países.
- El phishing afectó al 73 % de las empresas consultadas y supera el 80 % en algunos sectores.
- El 85 % utiliza firewalls y el 82 % dispone de backups, pero solo el 57 % aplica autenticación multifactor.
- Un 39,2 % todavía no dispone de normas internas para utilizar inteligencia artificial.
El estudio dibuja un escenario en el que las organizaciones han incorporado buena parte de las herramientas tradicionales de seguridad, pero esa inversión no siempre se ha traducido en una mayor capacidad para detectar incidentes, proteger identidades o adelantarse a los atacantes.
La encuesta tiene además un marcado componente técnico: el 80 % de los participantes trabaja en áreas relacionadas con la seguridad, mientras que el 20 % restante corresponde a perfiles no técnicos.
Uno de los datos más reveladores no está relacionado directamente con malware o ransomware. Es la cantidad de empresas que sencillamente no saben si han sido atacadas.
Cuatro de cada diez empresas tienen problemas para conocer su exposición
El 52,7 % de las organizaciones participantes detectó intentos de ataque durante el último año. Sin embargo, otro 15,4 % reconoce que no puede confirmar si sufrió algún incidente.
La situación resulta todavía más significativa cuando se analiza a las empresas que aseguran no haber detectado ataques. Entre ellas, un 25,1 % admite que podría haber sufrido incidentes sin descubrirlos debido a que no dispone de tecnología suficiente.
A partir de estos resultados, ESET estima que cuatro de cada diez organizaciones carecen de la capacidad analítica necesaria para conocer con precisión su exposición.
Esta falta de visibilidad introduce un problema para cualquier estrategia de ciberseguridad. Una organización puede disponer de firewall, antivirus, VPN y sistemas de backup y seguir teniendo dificultades para descubrir movimientos sospechosos dentro de su infraestructura.
Los datos del estudio muestran precisamente esa diferencia entre disponer de herramientas y alcanzar un nivel mayor de madurez.
El 85 % utiliza firewalls, el 82 % dispone de sistemas de backup y el 73 % emplea VPN. Son porcentajes elevados que muestran una adopción considerable de tecnologías consolidadas.
Las cifras bajan cuando se observan otros controles.
Solo el 57 % utiliza autenticación multifactor (MFA), el 36 % dispone de soluciones DLP (Data Loss Prevention) para prevenir fugas de información y únicamente el 23 % utiliza plataformas de Threat Intelligence o inteligencia de amenazas.
Estas últimas permiten recopilar y analizar información sobre campañas, vulnerabilidades, indicadores de compromiso, infraestructura maliciosa y comportamiento de grupos atacantes. Su utilización no evita por sí misma los incidentes, pero puede ayudar a pasar de una seguridad centrada principalmente en reaccionar a otra con mayor capacidad de anticipación.
El phishing sigue funcionando, también en empresas protegidas
Pese a la evolución de las herramientas ofensivas, el principal vector señalado por las organizaciones continúa siendo uno de los más antiguos: el phishing.
El 73 % de las empresas encuestadas afirma haberse visto afectada por este tipo de campañas.
La incidencia es todavía superior en determinados sectores. Educación alcanza el 81,4 %, seguida muy de cerca por Manufactura, con un 81,1 %, y Banca, con un 79,6 %.
El dato ayuda a explicar por qué la protección de la identidad se ha convertido en una parte cada vez más importante de la seguridad empresarial.
Un atacante no necesita encontrar necesariamente una vulnerabilidad sofisticada si consigue que un empleado entregue sus credenciales, autorice un acceso o ejecute una acción aparentemente legítima.
Las campañas también están evolucionando. El ESET Threat Report correspondiente al primer semestre de 2026 señala, por ejemplo, niveles récord de phishing mediante códigos QR o quishing. La telemetría de la compañía registró una media de unas 100.000 detecciones mensuales, con un máximo en abril, y los códigos QR aparecieron aproximadamente en el 11 % de los correos de phishing detectados.
Este mecanismo intenta desplazar la interacción desde el ordenador corporativo hacia un teléfono, donde determinados controles tradicionales de correo o navegación pueden tener menos visibilidad.
Y ahí aparece otra debilidad reflejada por el Security Report.
Entre los trabajadores no técnicos encuestados, solamente el 52,2 % utiliza autenticación multifactor en sus cuentas laborales. Además, el 26,9 % reconoce no aplicar ninguna medida de seguridad en su teléfono corporativo.
La IA avanza más rápido que las políticas internas
La inteligencia artificial añade otra capa al problema.
Un 56,3 % de los profesionales consultados considera que la IA permitirá realizar ataques más sofisticados, mientras que el 19,6 % identifica específicamente los deepfakes como su principal preocupación relacionada con estas tecnologías.
Pero el dato probablemente más relevante para las empresas tiene que ver con su utilización interna.
El 39,2 % de las organizaciones todavía no dispone de ninguna regulación interna sobre IA, frente al 39,7 % que asegura haber establecido algún tipo de marco.
Esto deja a una parte considerable de las empresas en una situación complicada: sus trabajadores pueden tener acceso a herramientas de inteligencia artificial generativa antes de que existan políticas que determinen qué información puede introducirse, qué servicios están autorizados o cómo deben tratarse datos confidenciales.
La preocupación tampoco procede únicamente de encuestas sobre percepción.
El ESET Threat Report H1 2026 documenta una creciente utilización de IA dentro del propio ámbito ofensivo. La compañía analizó cerca de 900.000 habilidades o componentes destinados a agentes de IA y encontró decenas de miles considerados sospechosos y miles clasificados como maliciosos. ESET también señala la aparición de IA generativa utilizada directamente por malware.
La combinación introduce nuevos problemas tanto para los equipos de seguridad como para los administradores de sistemas.
Ya no basta con decidir qué software puede instalar un usuario. También hay que determinar qué agentes pueden acceder a información corporativa, qué herramientas pueden ejecutar, qué permisos reciben y qué datos pueden abandonar la infraestructura.
La seguridad reactiva continúa dominando
El informe de ESET deja finalmente una fotografía menos relacionada con la cantidad de herramientas disponibles que con la forma de utilizarlas.
Las organizaciones latinoamericanas han avanzado en controles básicos. Firewalls, backups y VPN están presentes en una mayoría considerable de empresas.
Sin embargo, la adopción de MFA, DLP, inteligencia de amenazas y medidas de seguridad para dispositivos móviles sigue estando bastante por debajo.
El problema resulta especialmente visible cuando una parte de las propias organizaciones admite que podría haber sufrido ataques sin detectarlos.
Para administradores de sistemas y responsables de seguridad, la diferencia es importante. Tener un backup permite recuperarse de determinados incidentes. Un firewall ayuda a controlar comunicaciones. Una VPN protege conexiones remotas. Pero ninguna de esas medidas permite por sí sola conocer todo lo que sucede dentro de una infraestructura.
El siguiente paso pasa por relacionar identidad, endpoints, red, logs, vulnerabilidades y comportamiento para detectar anomalías antes de que un incidente termine convertido en una interrupción o una fuga de información.
Los resultados de 2026 muestran que muchas empresas de Latinoamérica todavía se encuentran recorriendo ese camino.
Preguntas frecuentes
¿Cuál es el ciberataque más frecuente contra empresas latinoamericanas?
Según el ESET Security Report Latinoamérica 2026, el phishing continúa siendo el principal vector y afectó al 73 % de las organizaciones consultadas.
¿Qué porcentaje de empresas latinoamericanas utiliza MFA?
El 57 % de las organizaciones encuestadas utiliza autenticación multifactor. Entre los participantes no técnicos, el porcentaje que declara utilizar MFA en sus cuentas laborales baja al 52,2 %.
¿Están las empresas regulando internamente el uso de inteligencia artificial?
La situación está prácticamente dividida. Un 39,7 % declara disponer de marcos internos para la IA, mientras que el 39,2 % todavía no cuenta con regulación interna.
¿Qué medidas de ciberseguridad están más extendidas?
Los controles más utilizados entre las organizaciones encuestadas son los firewalls, presentes en el 85 %, los backups, con un 82 %, y las VPN, utilizadas por el 73 %.
vía: welivesecurity
