Aunque las amenazas cibernéticas evolucionan cada año, muchas empresas peruanas siguen siendo vulnerables por un problema complejo. Es que según la data de ESET, Perú concentró un importante número de detecciones de malware para robar credenciales de acceso a nivel de Latinoamérica, alcanzando así la mayor participación entre los países de la región. ¿Qué está fallando?
Para la firma de ciberseguridad, la respuesta está en una deuda tecnológica que persiste en numerosas organizaciones, las cuales continúan utilizando infraestructura con vulnerabilidades conocidas hace varios años. “Del total de detecciones de este tipo de códigos maliciosos en Latinoamérica, cerca del 18% están en Perú. Hay una gran concentración de estas amenazas en el país”, señaló Camilo Gutiérrez, Field CISO de ESET Latinoamérica, a Gestión.
El especialista explicó que estos programas maliciosos suelen distribuirse mediante campañas de phishing que suplantan la identidad de bancos, entidades públicas, comercios o billeteras digitales para engañar a los usuarios y obtener sus credenciales. Una vez robada esa información, puede utilizarse para acceder a sistemas corporativos o comercializarse entre grupos criminales para ejecutar ataques más sofisticados.
LEA TAMBIÉN: Incidente de ciberseguridad en Sunafil: ¿Y ahora qué hacemos?
"Se estima que, en lo que va de este año, se pueden haber robado alrededor de 2.6 millones de credenciales“, agregó Gutiérrez, al advertir sobre la magnitud que ha alcanzado este tipo de amenazas en Latinoamérica.
La deuda tecnológica abre la puerta a los ataques
La alta incidencia de este tipo de malware, sostiene Gutiérrez, no responde únicamente a que los atacantes sean más sofisticados, sino también a que muchas empresas siguen dejando abiertas vulnerabilidades conocidas hace años.
La propia telemetría de ESET muestra que casi el 10% de las detecciones registradas en Perú aprovechan estas vulnerabilidades conocidas desde 2017, pese a que desde hace años existen actualizaciones para corregirlas. "Si seguimos viendo que los atacantes intentan explotar vulnerabilidades de hace siete u ocho años es porque todavía existen empresas que mantienen esa tecnología“, afirmó Gutiérrez.
LEA TAMBIÉN: Ciberseguridad: ¿entidades financieras invierten lo suficiente para enfrentar amenazas?
A juicio del ejecutivo, esto evidencia una deuda tecnológica derivada de la postergación de inversiones para renovar infraestructura o actualizar sistemas, situación que amplía la superficie de ataque y facilita el trabajo de los ciberdelincuentes.
Más que incorporar nuevas herramientas, consideró que las empresas deben identificar qué vulnerabilidades están siendo más utilizadas por los atacantes para priorizar las inversiones que realmente reduzcan el riesgo.
La IA multiplica el alcance de los ataques
Sobre esa infraestructura rezagada ahora actúa un nuevo acelerador: la inteligencia artificial. Para Gutiérrez, la IA no está creando amenazas completamente nuevas, sino haciendo mucho más eficientes las ya conocidas. Su principal aporte para los ciberdelincuentes es permitir campañas de phishing mejor redactadas, mensajes personalizados, automatización de ataques y la creación de deepfakes de voz, imagen y video.
De hecho, más del 45% de las detecciones registradas por ESET hasta mayo estuvieron vinculadas a campañas de ingeniería social, phishing, scripts maliciosos y downloaders.
“Antes era relativamente sencillo identificar un correo fraudulento por errores de redacción. Hoy la inteligencia artificial permite elaborar mensajes mucho más convincentes y adaptados al contexto de cada usuario”, explicó.
Casi el 10% de las detecciones registradas en Perú aprovechan vulnerabilidades conocidas desde 2017, lo que evidencia que muchas organizaciones aún operan con sistemas desactualizados. (Foto referencial)
Además de aumentar la credibilidad de los engaños, según Gutiérrez, esta tecnología reduce significativamente el tiempo necesario para diseñar campañas masivas y adaptarlas a distintos idiomas, sectores económicos o perfiles de víctimas.
En paralelo, Gutiérrez señaló que ESET viene destinando US$ 40 millones al desarrollo de modelos propios de inteligencia artificial orientados exclusivamente a ciberseguridad. Explicó que el objetivo es contar con herramientas entrenadas específicamente para detectar amenazas, en lugar de depender de modelos de inteligencia artificial de propósito general.
A ello se suma el avance del ciberespionaje. Según Gutiérrez, ESET identificó un incremento de al menos 50% en la actividad de grupos patrocinados por Estados en Latinoamérica entre el segundo semestre del 2025 y el primer semestre del 2026, una tendencia que refuerza el carácter estratégico que ha adquirido la región para este tipo de actores.
Por ello, recomendó verificar siempre la autenticidad de solicitudes recibidas por correo electrónico, aplicaciones de mensajería o redes sociales antes de compartir información sensible o realizar transacciones.
LEA TAMBIÉN: Data center crece: empresa de ciberseguridad abrirá sede en Perú
El nuevo blanco son los proveedores
El especialista también advirtió un cambio en la estrategia de los atacantes. Cada vez es más frecuente que, en lugar de intentar vulnerar directamente a grandes corporaciones, busquen comprometer a pequeñas y medianas empresas que forman parte de su cadena de proveedores. Estas organizaciones suelen contar con menores recursos para invertir en ciberseguridad y, al mismo tiempo, mantienen conexiones con clientes de mayor tamaño.
“Muchas veces los atacantes no van contra la empresa grande porque está mejor protegida. Van contra un proveedor que tiene acceso a sus sistemas y desde allí logran ingresar”, indicó.
Esta modalidad, conocida como ataque a la cadena de suministro, se ha convertido en una vía cada vez más utilizada para acceder indirectamente a organizaciones con mayores niveles de protección.
Gutiérrez añadió que las pymes también suelen enfrentar menores exigencias regulatorias que sectores como el financiero o el público, lo que contribuye a que mantengan niveles de protección más bajos.
Más del 45% de las amenazas detectadas por ESET hasta mayo estuvieron asociadas a campañas de ingeniería social, phishing, scripts maliciosos y downloaders, principales vías para el robo de credenciales. (Foto referencial)
Frente a este escenario, estimó que una empresa mediana debería destinar entre 10% y 15% de su presupuesto de tecnologías de información (TI) a ciberseguridad. Sin embargo, subrayó que esa inversión no debe concentrarse únicamente en tecnología, sino también en fortalecer procesos internos y capacitar a los colaboradores.
“Cuando hablamos de ciberseguridad no hablamos solo de tecnología. También hablamos de procesos y de personas. Esos tres pilares son los que finalmente permiten responder mejor frente a un incidente”, concluyó.
En opinión de Gutiérrez, el desafío ya no pasa únicamente por incorporar nuevas herramientas de seguridad, sino por reducir la deuda tecnológica acumulada durante años. En un escenario donde la inteligencia artificial acelera la sofisticación de los ataques y los proveedores se convierten en una nueva puerta de entrada para los ciberdelincuentes, mantener los sistemas actualizados deja de ser únicamente una decisión tecnológica para convertirse en un factor clave para la continuidad del negocio.
LEA TAMBIÉN: Claro crece en ciberseguridad: IA y nueva solución para el punto más atacado de la banca
