La IA está transformando las herramientas de los ciberdelincuentes al ayudarlos a redactar señuelos más convincentes, escalar campañas de ingeniería social y acelerar las tareas de reconocimiento. Las organizaciones hacen bien en prestar atención a esta tendencia, debido a que las brechas de seguridad ya existentes son una prueba urgente de la necesidad de preparación cibernética. ESET, compañía líder en detección proactiva de amenazas, asegura que los primeros puntos de falla siguen siendo familiares y suelen involucrar: un enlace de phishing en el que un empleado hace clic o una vulnerabilidad que no se ha corregido a tiempo. A diferencia del malware verdaderamente impulsado por IA (que sigue siendo poco frecuente), estos continúan siendo algunos de los más importantes para las empresas que buscan mejorar su nivel de preparación.
“Afortunadamente las amenazas que siguen provocando la mayoría de los incidentes también cuentan con medidas de mitigación probadas que pueden ayudar a mantener segura a su empresa. La IA y los conceptos básicos”, menciona Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica.
Según el ESET SMB Cyber Readiness Index 2026, el “malware impulsado por IA” es señalado como la principal preocupación de las pymes a nivel global para el próximo año. En Norteamérica, la cifra es incluso mayor (33 %). Sin embargo, si se entiende este concepto como malware que utiliza IA de forma automatizada y en tiempo real, se trata más de un tema para la comunidad investigadora que para los profesionales de la ciberseguridad.
ESET descubrió el primer ejemplo de Ransomware escrito por IA en 2025 y sostiene que incluso en ese caso, es probable que se haya tratado de una prueba de concepto (PoC). Por otro lado, PromptSpy, descubierto por ESET a principios de este año, fue el primer malware conocido para Android que utilizó IA generativa (GenAI) dentro de su flujo de ejecución para lograr persistencia.
“Los investigadores de amenazas han realizado relativamente pocos descubrimientos similares, si es que ha habido alguno. Asimismo, el servicio MDR de ESET no cuenta con evidencia de incidentes en los que la IA generativa haya desempeñado un papel significativo. Los actores de amenazas sí se benefician del apoyo de la IA, pero pocos están implementando esta tecnología en tiempo real para tareas verdaderamente automatizadas.”, agrega el investigador de ESET.
Según ESET, un enfoque más rentable para los líderes de pymes sería prestar mayor atención a las causas reales de los incidentes. En muchas pymes, el primer punto de falla sigue siendo mucho más familiar: un mensaje de phishing que logra su objetivo, una vulnerabilidad sin corregir, una alerta que nadie ve o una contraseña que nunca debió reutilizarse. No son los riesgos más llamativos de la ciberseguridad, pero continúan siendo algunos de los más importantes para las empresas que buscan mejorar su nivel de preparación.
En este sentido, ESET señala las siguientes amenazas como las principales para las pequeñas empresas:
- Phishing (26 %): La telemetría de ESET revela que el phishing fue la amenaza más detectada durante la segunda mitad de 2025 (30,8%), y los volúmenes continúan aumentando. La ingeniería social siempre ha sido una táctica predilecta de los actores de amenazas, y tanto los mensajes de phishing por SMS (smishing) como las llamadas telefónicas fraudulentas (vishing) están ganando popularidad. La tecnología puede desempeñar un papel importante en la defensa, pero la capacitación y concientización del personal también son fundamentales, y suelen ser más difíciles de implementar correctamente.
- Vulnerabilidades de seguridad sin parchear (23 %): Incluso las organizaciones más pequeñas pueden operar una amplia variedad de software, y no todo puede mantenerse actualizado simplemente activando las actualizaciones automáticas. Comprender qué sistemas están en funcionamiento y qué datos y activos críticos podrían estar expuestos es el primer desafío. El enorme volumen y la frecuencia con que hoy se descubren nuevas vulnerabilidades, sumados a la limitada experiencia disponible para probar e implementar actualizaciones críticas, también pueden representar obstáculos importantes.
- Falta de supervisión de la seguridad (22 %): Puede que disponga de numerosas herramientas de seguridad, pero ¿cuenta con un único lugar centralizado para recopilar, correlacionar y destacar alertas? Un monitoreo eficaz es fundamental para acelerar la detección y respuesta ante amenazas. Sin embargo, incluso las empresas que ya cuentan con sistemas de monitoreo pueden verse desbordadas por la cantidad de alertas, lo que dificulta distinguir entre falsos positivos y amenazas reales.
- Contraseñas débiles (20 %): Un desafío de seguridad tan antiguo como la propia informática. A pesar de los avances del sector hacia la autenticación multifactor (MFA) resistente al phishing y el uso de passkeys, muchas organizaciones siguen dependiendo de contraseñas estáticas para proteger sus activos más importantes. Además, los empleados suelen reutilizarlas, lo que incrementa el riesgo de compromisos de seguridad. Crear una política sólida de contraseñas es el primer paso; hacerla cumplir es el siguiente.
Tendencia en la detección de correos electrónicos maliciosos en 2025 (fuente: ESET Threat Report H2 2025)
Entre las soluciones probadas y contrastadas para las amenazas comunes, desde ESET mencionan que la clave está en reconocer que muchos de los riesgos anteriores se ven agravados por la IA, en lugar de que esta tecnología esté creando amenazas completamente nuevas. Por ejemplo, los atacantes están utilizando IA para:
- Mejorar la calidad de los mensajes de phishing (incluido el uso de deepfakes) y escalar y gestionar campañas.
- Reducir el tiempo necesario para explotar vulnerabilidades al identificar y convertir rápidamente nuevas fallas en herramientas de ataque.
- Analizar grandes volúmenes de datos para identificar contraseñas de uso frecuente.
- Realizar tareas de reconocimiento sobre los objetivos para determinar rutas de ataque con mayor rapidez.
También puede reducir el tiempo disponible para que las empresas respondan. Si los ciberdelincuentes logran identificar sistemas vulnerables más rápidamente, desarrollar código de explotación con mayor facilidad o automatizar parte de sus procesos, la ventana entre la divulgación de una vulnerabilidad, su explotación y el ataque efectivo podría estrecharse aún más. Para una pyme que ya enfrenta dificultades con el inventario de activos y la priorización de parches, esto es especialmente relevante. Una de las principales lecciones es que aumenta el costo de descuidar los fundamentos.
“La buena noticia es que las mejores prácticas siguen siendo efectivas para mejorar la postura de seguridad. La gestión de vulnerabilidades y parches es un buen punto de partida. Analizar de forma continua los sistemas operativos y las aplicaciones en busca de CVE conocidas para identificar exposiciones y luego implementar actualizaciones automáticamente según las políticas y el nivel de riesgo.”, recomienda Micucci.
La seguridad de las identidades es cada vez más crítica. Los gestores de contraseñas pueden generar y almacenar credenciales sólidas y únicas para los empleados, pero la autenticación multifactor (MFA) es hoy una línea de defensa imprescindible. Utilizar herramientas de gestión de cuentas privilegiadas (PAM) para reducir la superficie de ataque y proteger las cuentas de mayor riesgo.
Abordar la escasez de personal especializado en seguridad y mejorar el monitoreo mediante la externalización de la detección y respuesta a un proveedor de confianza. Utilizar un servicio de detección y respuesta gestionadas (MDR) también puede reducir la complejidad y los desafíos de integración que un 21% de las pymes identifica como su principal barrera para mejorar la postura de seguridad.
“En definitiva, ninguna organización es demasiado pequeña para convertirse en objetivo de un ataque, por lo que adoptar un enfoque proactivo de la ciberseguridad es esencial. Una verdadera preparación cibernética implica la capacidad de prevenir, detectar y responder a las amenazas, un hito fundamental en el camino hacia la resiliencia empresarial. Y puede alcanzarse mucho más rápido si se tiene una visión realista de las amenazas que enfrenta la organización. No las que generan los titulares más impactantes, sino aquellas que están causando daños reales.”, concluye Mario Micucci de ESET Latinoamérica.
Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-corporativa/pymes-seguridad-empieza-por-lo-basico/
Por otro lado, ESET invita a conocer Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a: https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw
