Ciberataques en LatAm: el 60% no resiste

Un ciberataque no solo te puede dejar sin sistemas durante unas horas. También puede frenar ventas, cortar la operación logística, bloquear pagos, disparar reclamos de clientes y hacerte perder contratos. Por eso el dato de que el 60% de las empresas latinoamericanas no sobrevive a un ciberataque en 2025 no debería leerse como una alerta técnica, sino como una señal de negocio.

En la práctica, la pregunta ya no es si tu empresa tiene antivirus, firewall o un proveedor de nube. La pregunta es cuánto tiempo puedes seguir operando si el correo cae, si el ERP se bloquea, si te cifran archivos críticos o si un tercero comprometido te arrastra al incidente. En LatAm, donde muchas compañías trabajan con márgenes ajustados y procesos todavía muy dependientes de personas, la ciberresiliencia dejó de ser un tema del área de TI.

Qué significa que el 60% no sobreviva

Cuando un estudio dice que el 60% de las empresas no sobrevive a un ciberataque, no está hablando necesariamente de cierre inmediato. Puede significar pérdida de liquidez, caída de ingresos por semanas, incumplimientos contractuales o una recuperación tan cara que el negocio queda debilitado por meses. En empresas medianas, una interrupción de pocos días puede tener un efecto que se siente durante todo el trimestre.

La palabra clave aquí es continuidad operativa. Si tu operación depende de facturación electrónica, inventario en tiempo real, integraciones con bancos, atención por canales digitales o sistemas de producción, un incidente de seguridad puede convertirse en un problema de caja. Y cuando el flujo de caja se rompe, el área de TI deja de ser la protagonista: entran finanzas, legal, operaciones, compras y dirección general.

El contexto regional empeora el panorama. En América Latina conviven empresas con equipos de seguridad muy maduros y otras que todavía no tienen inventario de activos, respaldo probado ni un plan de respuesta. Esa brecha hace que el impacto de un ataque no sea homogéneo. Una empresa con backups verificados y procesos manuales de contingencia puede seguir vendiendo. Otra, con todo amarrado a un solo ERP y sin pruebas de restauración, puede quedar paralizada.

Por qué el problema no se limita al ransomware

Cuando se habla de ciberataques, mucha gente piensa solo en ransomware. Sí, el cifrado de datos sigue siendo una amenaza seria, pero no es la única. También están el robo de credenciales, el fraude por correo, la manipulación de pagos, el compromiso de proveedores y los ataques a la cadena de suministro.

Un ejemplo realista: si un atacante toma control del correo de cuentas por pagar, puede cambiar una cuenta bancaria en una factura y desviar un pago. No ves un pantallazo rojo ni un archivo cifrado, pero igual pierdes dinero. Otro caso: si el proveedor de software que usas para nómina sufre una intrusión, tu empresa puede quedar expuesta aunque internamente tengas controles razonables.

Por eso la supervivencia no depende solo de evitar la intrusión. Depende de detectar rápido, aislar, responder, recuperar y volver a operar con el menor daño posible. Esa capacidad es lo que hoy separa a las empresas que absorben el golpe de las que pasan meses apagando incendios.

El impacto real en ingresos, reputación y seguros

El primer golpe casi siempre se siente en ingresos. Si no puedes facturar, cobrar o despachar, el dinero entra más lento o no entra. En retail, eso puede significar tiendas con sistemas caídos. En logística, entregas retenidas. En servicios profesionales, horas no facturadas y clientes esperando respuestas. En manufactura, líneas detenidas o producción manual más lenta y más cara.

El segundo golpe es reputacional. Hoy un incidente serio no tarda mucho en hacerse público. Clientes, proveedores y socios quieren saber si sus datos estuvieron expuestos, si el servicio volverá pronto y si la empresa tiene control de la situación. Una mala comunicación puede agravar el daño técnico. Una buena comunicación no arregla el incidente, pero sí evita que el problema se convierta en una crisis de confianza.

El tercer golpe es el acceso a seguros. Las aseguradoras cibernéticas están pidiendo más evidencia de control. No basta con decir que tienes respaldo. Te van a preguntar si haces MFA, si segmentas la red, si tienes EDR, si pruebas restauración y si cuentas con respuesta a incidentes. Si no puedes demostrar madurez mínima, el costo sube o directamente te rechazan la póliza.

Lo que miran hoy las aseguradoras

Las pólizas no se están vendiendo como hace unos años. Las aseguradoras quieren saber si tu empresa tiene prácticas básicas y repetibles, no solo declaraciones en un documento. Entre las señales que suelen revisar están:

1. Autenticación multifactor en accesos críticos.
2. Backups offline o inmutables y pruebas de restauración.
3. Inventario de activos y software actualizado.
4. Segmentación de red para limitar movimiento lateral.
5. Plan de respuesta a incidentes con responsables asignados.
6. Capacitación contra phishing y fraude por correo.

Si quieres revisar el enfoque de referencia sobre controles y gobierno, la documentación de NIST sobre gestión de riesgos es un buen punto de partida: https://www.nist.gov/cyberframework . También puedes revisar buenas prácticas de respuesta a incidentes en CISA: https://www.cisa.gov/resources-tools/resources/incident-response .

La consecuencia es clara: ciberseguridad y seguro ya no se pueden tratar como temas separados. Si tu postura de seguridad es débil, no solo aumentas el riesgo de incidente. También encareces la cobertura, limitas el monto asegurado o haces más difícil que te acepten como cliente.

Por qué LatAm está más expuesta

LatAm tiene una combinación incómoda: digitalización rápida, madurez desigual y mucha dependencia de terceros. Muchas empresas crecieron conectando herramientas en la nube, plataformas de pago, ERPs, CRMs y servicios externos sin rediseñar su arquitectura de seguridad al mismo ritmo. Eso acelera el negocio, pero también amplía la superficie de ataque.

A eso súmale que en varias industrias todavía hay sistemas heredados, equipos pequeños de TI y poca visibilidad sobre activos reales. Si no sabes cuántos servidores, cuentas privilegiadas, aplicaciones expuestas y proveedores críticos tienes, tampoco puedes protegerlos bien. La seguridad termina siendo reactiva: se compra una herramienta después del incidente.

También pesa la brecha de talento. No todas las empresas pueden contratar un equipo interno completo de seguridad, y muchas dependen de proveedores administrados. Eso no es un problema por sí mismo, pero sí lo es cuando no hay gobierno claro, métricas ni ejercicios de crisis. Externalizar no equivale a delegar la responsabilidad.

Sectores con más presión operativa

No todos los sectores sienten el mismo impacto. En algunos, la caída de sistemas por pocas horas ya genera pérdidas directas. En otros, el costo aparece después, cuando toca reconstruir confianza o responder a reguladores.

En Ecuador y otros mercados de la región, muchas empresas medianas operan con equipos reducidos y alta dependencia de proveedores locales o regionales. Eso hace que un incidente en un tercero también pueda convertirse en incidente propio. Si tu operación depende de un software de facturación, un integrador de pagos o un proveedor logístico, necesitas tratar ese vínculo como parte de tu perímetro de seguridad.

Qué cambia cuando piensas en continuidad operativa

Pensar en continuidad operativa cambia las prioridades. Ya no preguntas solo cómo impedir que entre un atacante. También preguntas qué pasa si entra, qué sistema se cae primero, cómo sigues facturando y quién decide cuándo desconectar un servicio para contener el daño. Esa mirada es mucho más útil para dirección general.

La continuidad operativa obliga a mapear procesos críticos. Si tu empresa no puede operar sin correo, ERP, CRM y plataforma de pagos, entonces esos sistemas necesitan prioridad de protección, respaldo y recuperación. No todos los activos tienen el mismo valor. Proteger todo por igual suele ser una forma elegante de no proteger bien lo que realmente importa.

También cambia la conversación sobre presupuesto. En vez de discutir solo licencias de seguridad, puedes hablar de tiempo de caída tolerable, costo por hora de indisponibilidad y pérdida esperada por incidente. Ese lenguaje le sirve a finanzas y a la gerencia, porque conecta seguridad con dinero y con operación.

Tres preguntas que tu empresa debería responder hoy

1. ¿Cuánto cuesta una hora sin facturar, despachar o cobrar?
2. ¿Qué sistema no puede caer más de 4 horas sin afectar ingresos o contratos?
3. ¿Cuándo fue la última vez que restauraste un backup completo en un entorno de prueba?

Si no tienes respuestas claras, tu empresa no está midiendo resiliencia. Está esperando que nada pase.

La otra pregunta clave es quién toma decisiones durante el incidente. Si cada área espera instrucciones de otra, pierdes tiempo valioso. Un buen plan define responsables, umbrales de escalamiento y canales de comunicación. No necesitas un documento de 80 páginas. Necesitas un proceso que la gente pueda ejecutar bajo presión.

Qué hacer para no quedar en ese 60%

La ciberresiliencia no se compra con una sola herramienta. Se construye con controles básicos, disciplina operativa y pruebas. El objetivo no es ser invulnerable. El objetivo es resistir, recuperarte y seguir operando con el menor daño posible.

Empieza por lo que más reduce el riesgo. La mayoría de los incidentes graves no requieren técnicas exóticas. Se aprovechan de contraseñas débiles, accesos sin MFA, equipos sin parches, backups no probados y usuarios que hacen clic donde no deben. Si corriges eso, ya estás por delante de muchas empresas de la región.

Prioridades prácticas para los próximos 90 días

1. Activa MFA en correo, VPN, ERP, nube y herramientas financieras.
2. Revisa privilegios y elimina cuentas que ya no se usan.
3. Verifica que tus backups se puedan restaurar y no solo almacenar.
4. Segmenta redes para que un incidente no se mueva libremente.
5. Define un plan de respuesta con roles, contactos y pasos de contención.
6. Simula un incidente con dirección, finanzas, legal y operaciones.
7. Mide el tiempo de recuperación de los sistemas críticos.

Si necesitas una guía más estructurada, el enfoque de NIST puede ayudarte a ordenar el trabajo por funciones: identificar, proteger, detectar, responder y recuperar. La ventaja de ese marco es que no te obliga a empezar por una herramienta específica, sino por capacidades.

También conviene revisar la gestión de identidades. Muchas intrusiones se escalan porque una cuenta comprometida tiene demasiado acceso. Menos privilegios, mejor segmentación y revisiones periódicas de acceso suelen dar más retorno que comprar otra solución de moda.

Tabla resumen

La lectura útil de este dato no es el miedo. Es la prioridad. Si el 60% no resiste, la diferencia entre sobrevivir y quedar fuera no está en tener más software, sino en operar mejor bajo presión. Y eso se logra antes del incidente, no durante.