La magnitud de la amenaza es tal que, en promedio, se detectan 9,000 intentos de ataques por semana, muy por encima de la media global. Uno de los casos más mediáticos fue el de Interbank, que implicó el robo de credenciales y datos financieros y alcanzó, además del banco, a las empresas del grupo Intercorp, incluyendo universidades y cadenas de farmacias. La filtración de bases de datos de más de 200 GB con información sensible expuso la fragilidad de muchas organizaciones y volvió a poner sobre la mesa una pregunta clave: ¿Cuánto es el costo real de un ciberataque para una empresa?
El costo de un incidente de este tipo varía drásticamente según el tamaño y la preparación de la compañía. Para una pyme, la recuperación puede superar fácilmente los US$ 10,000, pero en ataques más severos las cifras escalan. “Hay empresas que han pagado más de US$ 300,000 en recuperación, y a nivel global, un ransomware exitoso puede costar más de US$ 1.5 millones”, explicó Jesús Véliz a Gestión.
El especialista advierte que el impacto no se limita al gasto técnico: “Un incidente grave puede reducir hasta en un 70% el valor de la empresa. El golpe reputacional genera una reacción en cadena: pérdida de confianza de clientes, cancelación de contratos, retiro de inversiones y caída en ventas”. En Latinoamérica, una de cada cuatro empresas ha reportado daño directo a su reputación tras un ciberataque.
Para Alexander García, socio de Ciberseguridad y Consultoría Tecnológica en PwC Perú, el cálculo del costo real debe considerar varios frentes: “Ingresos perdidos por la interrupción de la operación, costos para recuperar el negocio, multas regulatorias, gastos de reforzamiento de la seguridad y la investigación forense”. Según sus estimaciones, este impacto puede representar entre el 3% y el 10% de los ingresos anuales de una empresa.
Sectores más atacados y errores que los vuelven vulnerables
En el Perú, los ataques más frecuentes incluyen phishing (62% de los casos), ransomware, troyanos bancarios, ataques de fuerza bruta y, más recientemente, suplantación de identidad con deepfake. Este último, apunta García, se ha convertido en el más común en el ámbito corporativo peruano. Los sectores más expuestos son servicios financieros, minería, salud, retail, transporte, manufactura y, cada vez más, el sector público. Véliz recuerda que “la infraestructura más vulnerable es la de los municipios, con un 30% de brechas reportadas, debido a la falta de protocolos y llaves de acceso caducas”. Incluso RENIEC ha sufrido filtraciones masivas de datos de ciudadanos.
Ambos expertos coinciden en que el eslabón más débil es el factor humano. Véliz lo llama “error de capa 8”: “El 70% de los ataques reportados se deben a fallas humanas, como clics en enlaces maliciosos, contraseñas débiles o falta de capacitación”. García añade otros factores críticos: la ausencia de una estrategia de ciberseguridad con enfoque en riesgos empresariales, la creencia de que la tecnología por sí sola es la solución y la falta de un responsable formal de ciberseguridad.
Baja inversión preventiva
La cultura preventiva sigue siendo deficiente, particularmente en este sector: solo 3 de cada 10 empresas peruanas invierten en ciberseguridad antes de un ataque, según un reporte de Cibertech. Además, una información paralela sostiene que menos de 100 empresas cuentan con pólizas de riesgo cibernético, un producto que, según García, “puede ayudar a gestionar el impacto, pero con la condición de que las coberturas y costos estén alineados a las necesidades reales de la organización”. En ese sentido, el presupuesto recomendado para ciberseguridad, según PwC, oscila entre el 5% y el 15% del presupuesto de TI, dependiendo del nivel de digitalización y del sector.
La entrada en vigor, en noviembre de 2024, del nuevo reglamento de protección de datos personales exige a las empresas peruanas adaptar sus procesos y tecnologías, lo que hace aún más urgente la inversión en ciberseguridad. Ante este escenario, los especialistas Véliz y García coinciden en que la preparación es la mejor defensa. La diferencia entre una crisis controlada y una catástrofe empresarial radica en el nivel de preparación y la rapidez de reacción. Como resume Véliz: “El ataque va a ocurrir; el asunto es qué tan desprotegido te encuentre”. El mensaje es claro: el ciberataque no es una cuestión de “si ocurrirá”, sino de cuándo.
Entre las medidas inmediatas que proponen para reducir el riesgo se encuentran: designar un responsable de ciberseguridad, interno o tercerizado; implementar un plan de respuesta a incidentes con niveles claros de escalamiento; realizar copias de seguridad periódicas y fortalecer la resiliencia con pruebas y simulacros; capacitar al personal para reconocer y reaccionar ante fraudes o phishing; y actualizar y parchear sistemas, redes y dispositivos IoT.
En paralelo, la Inteligencia Artificial (IA) se posiciona como un aliado clave contra el cibercrimen. Gracias a su capacidad para procesar enormes volúmenes de datos, correlacionar incidentes y anticipar escenarios, esta tecnología puede adelantarse a amenazas como phishing, ransomware, fraudes y estafas, reduciendo la exposición de las organizaciones a riesgos que antes parecían inevitables. En un contexto donde ningún usuario o empresa está completamente a salvo, la IA propone un salto cualitativo: detectar y frenar ataques antes de que se concreten.
De acuerdo con Cristian Ojeda, gerente general de Nubatech, la IA no solo automatiza procesos o mejora la gestión de datos, sino que también “puede ser aplicada en el área de ciberseguridad, debido a su alta capacidad de procesar información, correlacionar incidentes y predecir escenarios”.
Los modelos predictivos impulsados por inteligencia artificial se han vuelto imprescindibles frente al cibercrimen, que ahora utiliza herramientas de IA para perfeccionar sus ataques. Estos algoritmos superan la velocidad y el alcance de los equipos humanos de monitoreo, actuando como un “meteorólogo digital” que anticipa movimientos maliciosos en la red en lugar de tormentas. La consultora Gartner estima que para 2028, las empresas que integren sistemas avanzados de prevención con IA tendrán un 40% menos de incidentes relacionados con ataques cibernéticos.
Estos sistemas analizan millones de comportamientos en línea para identificar dominios falsos, preparativos de campañas de phishing o señales inusuales en la cadena de suministro. Como explica Ojeda, antes de ejecutar un ataque, los ciberdelincuentes suelen realizar pruebas y simulaciones que dejan un rastro digital. “La Inteligencia Artificial escanea en minutos toda la red a nivel mundial y detecta estos enjambres de actividad maliciosa”, precisa. Los nuevos algoritmos filtran el “ruido” informativo, detectan patrones inusuales y bloquean amenazas en tiempo real, blindando a las organizaciones incluso antes del primer intento de intrusión.
Las empresas que adopten este enfoque no solo estarán mejor protegidas, sino que obtendrán una ventaja competitiva. Además, la IA facilita una colaboración inédita entre organizaciones: si una compañía detecta una amenaza, puede compartirla automáticamente con su red de aliados y proveedores para que todos se resguarden de forma preventiva. Esta interconexión convierte a la ciberseguridad en un esfuerzo colectivo potenciado por la inteligencia artificial.
Comentarios 0
Súmate a la conversación
Tu comentario es anónimo, pero para evitar bots necesitamos que te registres. Es gratis y toma 30 segundos.
Crear cuenta para comentar Ya tengo cuenta