Por Anhtony Chavarría
Hace unos años, vulnerar la infraestructura de una empresa exigía conocimiento técnico real: entender redes, leer código, conocer vulnerabilidades y saber encadenarlas. Ese filtro ya no existe. Hoy una persona sin formación técnica puede pedirle a un modelo de inteligencia artificial que le explique cómo explotar un servicio expuesto, que le escriba el malware, que le redacte el correo de phishing en un español impecable y que le diga qué hacer después de entrar. La barrera de entrada al cibercrimen bajó, y las cifras de 2025 y 2026 lo confirman.
Lo que dicen los números
313 millones
Intentos de ciberataque en Costa Rica durante el primer semestre de 2026.
Costa Rica recibió 225,7 millones de intentos de ciberataque durante 2025, según la telemetría de FortiGuard Labs recogida en su Reporte sobre el Panorama de Amenazas 2026. Solo en el primer semestre de 2026 la cifra ya iba por 313 millones, lo que indica que el ritmo de este año supera con holgura al anterior.
86%
De las pymes latinoamericanas sufrió al menos un incidente de ciberseguridad en el último año.
El mismo informe registra 7.831 víctimas confirmadas de ransomware a nivel global, un aumento de 389% interanual, y un dato que nos parece todavía más relevante para quien administra infraestructura: el tiempo entre que una vulnerabilidad crítica se publica y empieza a explotarse bajó de 4,7 días a entre 24 y 48 horas. Ya no hay margen para «parchear la próxima semana».
US$4,65 M
Costo promedio estimado de una filtración de datos en América Latina.
En América Latina, el informe Cost of a Data Breach 2026 de IBM estima que una filtración de datos cuesta en promedio 4,65 millones de dólares, y que cerca del 19% de los ataques maliciosos analizados fueron generados con inteligencia artificial. Kaspersky, por su parte, reporta que el 86% de las pymes de la región sufrió al menos un incidente de ciberseguridad en el último año, con el phishing como el vector más frecuente (24%).
La región, además, va con desventaja en lo básico: según IBM, solo el 31% de las organizaciones latinoamericanas cifraba de forma integral sus datos sensibles.
A nivel global, el Data Breach Investigations Report 2026 de Verizon encontró que el factor humano estuvo presente en el 62% de las brechas, que el phishing representó el 44% de los accesos iniciales asistidos por IA, y que el texto generado por IA en correos maliciosos se duplicó respecto a años anteriores. El mismo reporte describe otro riesgo que crece dentro de las empresas: el 45% de los empleados ya usa herramientas de IA en dispositivos corporativos, y el 6 % de ellos lo hace con cuentas personales, fuera de cualquier control de la organización.
El dato que mejor resume el cambio de época viene del análisis que Anthropic publicó en junio de 2026 sobre el uso malicioso de sus propios modelos: 832 cuentas bloqueadas entre marzo de 2025 y marzo de 2026, 13.873 acciones mapeadas al marco MITRE ATT&CK y 482 técnicas distintas. La proporción de actores de riesgo medio o alto pasó de 33% a 56% en un año, y la conclusión de los investigadores es directa: la IA ya puede ejecutar actividades de post-compromiso (movimiento lateral, volcado de credenciales, despliegue de web shells) en nombre de atacantes menos sofisticados. Un atacante con poca habilidad técnica, pero con un buen «andamiaje» de IA y herramientas, obtuvo la puntuación de riesgo máxima del estudio.
Cómo cambió nuestra forma de trabajar
En Arkkosoft desarrollamos y operamos software para clientes que confían sus datos y sus procesos a nuestra infraestructura. Esa responsabilidad nos obligó a replantear la seguridad no como un proyecto, sino como una práctica continua del Departamento de Seguridad. Estos son los cambios de fondo.
Asumimos que el atacante es rápido y persistente. Si una vulnerabilidad crítica se explota en 48 horas, nuestra gestión de vulnerabilidades tiene que correr a esa velocidad. Pasamos de escaneos periódicos a análisis continuo de vulnerabilidades sobre toda la infraestructura en la nube, con remediación organizada por olas y priorizada por criticidad y exposición real, no por volumen de hallazgos.
Reducimos el radio de impacto. Segmentamos nuestras cuentas en la nube por cliente y por proyecto, de modo que un acceso comprometido no abre la puerta a todo. Una cuenta de seguridad independiente centraliza la telemetría, los tableros y las alertas, y la infraestructura se define como código: cada cambio queda versionado, revisado y auditable, y la configuración no depende de la memoria de una persona.
Centralizamos la visibilidad. Operamos una plataforma de detección y respuesta (SIEM) que correlaciona eventos de servidores, aplicaciones, identidad y nube. Un atacante asistido por IA se mueve rápido, pero deja rastro; nuestro trabajo es verlo antes de que importe.
Tratamos la identidad como el nuevo perímetro. La mayoría de los incidentes en la nube, según Fortinet, nacen de credenciales robadas o expuestas. Por eso aplicamos autenticación multifactor, inicio de sesión único con un proveedor de identidad central, principio de mínimo privilegio y revisiones periódicas de accesos en todas las plataformas críticas: repositorios, gestión de proyectos, nube y suite de colaboración. También revisamos y restringimos las aplicaciones de terceros que piden acceso a los datos corporativos mediante OAuth, un canal que los atacantes usan cada vez más y que muchas empresas ni siquiera monitorean.
Entrenamos a las personas con ataques reales. Si el 62% de las brechas pasa por una persona, la capacitación anual no alcanza. Ejecutamos simulaciones de phishing periódicas con escenarios que imitan lo que la IA permite hoy: correos sin errores, contexto creíble y urgencia bien construida. Medimos quién reporta, quién hace clic y mejoramos a partir de eso, sin castigar.
Gobernamos el uso de la IA dentro de la empresa. El riesgo no es solo el atacante externo. Definimos un catálogo de tecnologías permitidas, criterios para evaluar herramientas de IA antes de adoptarlas y reglas claras sobre qué información puede y no puede salir hacia un modelo externo. Y usamos la IA a nuestro favor: nos asiste en el análisis de registros, en la generación de infraestructura como código y en la investigación de incidentes, siempre con una persona que revisa y decide.
Probamos nuestras propias defensas. Hacemos pruebas de penetración sobre nuestras aplicaciones, respondemos a los incidentes con un proceso documentado y convertimos cada lección en un control nuevo. Los marcos de referencia (ISO 27001, NIST CSF, CIS, PCI DSS en los entornos que lo requieren) nos sirven de mapa, pero la prueba real es si el control funciona cuando alguien intenta pasar.
Lo que esto significa para nuestros clientes
La IA no cambió los principios de la seguridad: visibilidad, identidad, segmentación, parches y personas preparadas. Lo que cambió es el costo de equivocarse y el tiempo disponible para corregir. Una empresa que hoy sigue confiando en que «nadie se va a fijar en nosotros» está apostando contra 313 millones de intentos en seis meses.
En Arkkosoft decidimos que la seguridad sea parte de cómo construimos y operamos software, no un anexo. Es una decisión que se revisa todos los días, porque el adversario también aprende todos los días.
