Un incidente de ciberseguridad puede convertirse en un problema de caja antes de que una pyme comprenda qué cuenta fue comprometida. Una orden de pago alterada, una factura inaccesible o la suspensión del despacho conecta el riesgo digital con decisiones muy concretas: quién autoriza, cómo se confirma una instrucción y qué información permite seguir operando.
El 22 de septiembre de 2026, Kaspersky publicó resultados sobre el impacto de los ciberataques en pymes latinoamericanas. La noticia invita a revisar el recorrido completo entre correo, identidad, dinero y continuidad. Para una empresa en Colombia o México, el objetivo práctico es identificar dónde una solicitud aparentemente legítima puede superar los controles y qué servicio ayuda a comprobarlo.
Qué muestra el estudio y qué no demuestra
Según el comunicado, el 31 % de las pymes latinoamericanas consultadas señaló pérdidas económicas entre las consecuencias del incidente más grave; el 27 % mencionó interrupción de procesos y el 25 %, suspensión temporal de servicios a clientes. El phishing encabezó los incidentes considerados más dañinos, con el 12 %. Son respuestas de una encuesta, no probabilidades de sufrir un ataque.
La investigación global incluyó 1.800 entrevistas en 18 países, con 616 participantes del segmento pyme. Colombia, México y Brasil aparecen entre los países incluidos. El comunicado no detalla el tamaño de la submuestra latinoamericana ni publica resultados separados para cada país. Por ello, no corresponde atribuir esos porcentajes a las pymes colombianas, mexicanas o de una ciudad específica.
Estos son los datos del fabricante que sustentan la noticia. Las medidas que siguen constituyen recomendaciones editoriales de Insylux para evaluar exposición y preparar decisiones; no son conclusiones estadísticas adicionales ni una descripción de clientes afectados.
El recorrido que transforma un mensaje en una pérdida
Imagine un escenario de diagnóstico, no un incidente real atribuido a una empresa: una persona de compras recibe un aviso de cambio de cuenta bancaria de un proveedor. El mensaje conserva el tono de conversaciones anteriores. Se adjunta una factura y se solicita ejecutar el pago antes del cierre. Finanzas verifica el importe, pero nadie confirma por otro canal quién pidió cambiar el beneficiario.
El problema no se limita a detectar un enlace malicioso. Una cuenta legítima comprometida puede enviar instrucciones creíbles. También puede existir una suplantación externa o una conversación manipulada. El control decisivo depende del proceso: verificar cambios sensibles con datos de contacto ya conocidos, separar aprobación y ejecución, y registrar quién aceptó la modificación.
En este recorrido hay tres preguntas diferentes. ¿El mensaje proviene de quien dice enviarlo? ¿La identidad tiene autorización para pedir ese cambio? ¿El cambio tiene sentido para la operación? Resolver solo la primera deja espacios para errores y abuso interno. Un procedimiento claro debe combinar identidad, autorización y contexto, con una salida práctica cuando algo no encaje.
Cinco procesos que conviene revisar primero
Una revisión útil empieza por las actividades que pueden mover dinero, alterar datos o detener el negocio. No necesita examinar todos los sistemas con la misma profundidad desde el primer día. Elija procesos cuya interrupción obligaría a incumplir una entrega, retrasar un cobro o reconstruir información de forma manual.
| Proceso | Pregunta de diagnóstico | Evidencia útil |
|---|---|---|
| Cambio de cuenta de proveedor | ¿Se confirma por un canal previamente registrado? | Registro de verificación y segundo aprobador. |
| Recuperación de acceso al correo | ¿Quién valida la identidad del solicitante? | Procedimiento y trazabilidad del restablecimiento. |
| Pago urgente | ¿La urgencia permite saltarse un control? | Reglas de excepción y aprobación documentada. |
| Envío de documentos sensibles | ¿Se comprueba destinatario y necesidad? | Permisos, canal autorizado y registro de envío. |
| Facturación y despacho | ¿Puede continuar si el sistema no está disponible? | Alternativa operativa probada y conciliación posterior. |
La tabla es una propuesta de trabajo, no una lista de requisitos legales universales. Cada empresa debe ajustarla a su tamaño y actividad. Un negocio con dos personas en administración puede necesitar que la gerencia apruebe cambios de beneficiario; uno con varias sedes puede requerir delegaciones y suplencias para no convertir la verificación en un cuello de botella.
Qué debe comprobar una simulación de ingeniería social
Enviar un correo ficticio y contar clics ofrece una visión limitada. Si el riesgo prioritario está en pagos, el ejercicio debe comprobar si la persona reconoce una solicitud anómala, usa el canal correcto para reportarla y mantiene la verificación incluso ante presión. Debe existir autorización, alcance y límites que protejan a las personas y a la operación.
Los resultados deben conducir a decisiones. Una tasa de reporte puede mejorar mientras persiste una excepción que permite cambiar cuentas bancarias sin comprobación. Por eso conviene combinar escenarios, revisión del procedimiento y observación del tiempo que tarda el aviso en llegar al equipo responsable. El aprendizaje interesa más que señalar públicamente a quien cometió un error.
Formación que cambie una decisión, no solo una puntuación
Una capacitación genérica puede explicar qué es el phishing sin preparar a un empleado para una orden urgente de su aparente jefe. La formación debe usar situaciones relacionadas con cada función: pagos en finanzas, documentos de candidatos en recursos humanos o solicitudes de acceso en soporte. La respuesta esperada debe estar definida antes del ejercicio.
La empresa necesita además un canal de reporte sencillo y una cultura que no castigue el aviso temprano. Si quien sospecha un fraude teme una reprimenda, puede esperar hasta tener certeza y perder tiempo valioso. Conviene agradecer el reporte, dar instrucciones claras y comunicar cuándo se ha resuelto el caso, sin exponer datos innecesarios.
Un programa como HumanShield, formación y gestión del riesgo humano puede conectar diagnóstico, aprendizaje y medición. Su alcance debe precisar participantes, escenarios e indicadores. Completar módulos no equivale por sí solo a reducir pérdidas; el cambio debe observarse en decisiones y controles comprobables.
Qué hacer cuando la solicitud ya fue atendida
Si se realizó una transferencia sospechosa, contacte cuanto antes a la entidad financiera mediante sus canales oficiales y comunique los hechos verificados. En paralelo, active al responsable de incidentes. No espere a terminar una investigación para intentar detener una operación pendiente. La posibilidad de recuperación depende del caso y no puede garantizarse.
Si se entregaron credenciales, el equipo técnico debe revisar sesiones, métodos de autenticación y permisos, además de cambiar la contraseña. Si se descargó un archivo, debe valorar el aislamiento del equipo y preservar información útil. Reenviar indiscriminadamente el mensaje sospechoso o borrar evidencias puede ampliar la exposición o dificultar la reconstrucción.
Conserve el correo original, sus encabezados cuando estén disponibles, registros de acceso y una cronología de acciones. El Análisis Forense Digital ayuda a investigar origen y alcance a partir de evidencia. La organización y sus asesores deben determinar por separado qué comunicaciones, notificaciones o actuaciones corresponden.
Cómo preparar la continuidad sin un proyecto desproporcionado
Seleccione una operación esencial y pregunte cuánto tiempo puede detenerse antes de afectar compromisos reales. Identifique aplicación, datos, personas, proveedor y credenciales necesarios para retomarla. Después pruebe una alternativa acotada: consultar pedidos desde una copia autorizada, registrar temporalmente operaciones o contactar clientes con un directorio protegido.
La alternativa necesita controles. Una hoja compartida improvisada puede exponer información o duplicar pagos. Defina quién registra, quién aprueba y cómo se reconcilian las operaciones al restablecer el sistema. Una prueba breve con datos ficticios permite descubrir dependencias sin interrumpir la actividad ni utilizar información personal innecesaria.
En empresas con equipos distribuidos entre Medellín, Bogotá o Barranquilla, la revisión puede centrarse en quién tiene autoridad durante una contingencia y cómo se coordinan sedes. La referencia geográfica describe una posible forma de operar; no implica incidentes registrados allí ni presencia física de Insylux en todas esas ciudades.
Un plan de treinta días con responsables claros
Durante la primera semana, identifique los procesos sensibles, sus responsables y los canales de verificación. En la segunda, cierre excepciones evidentes: accesos de antiguos colaboradores, cuentas compartidas y cambios de beneficiario sin comprobación. Priorice según exposición e impacto, documentando qué queda pendiente y quién acepta temporalmente el riesgo.
En la tercera semana, ejecute un ejercicio de mesa con finanzas, operaciones y tecnología. Use un escenario ficticio que obligue a decidir: correo comprometido, pago solicitado y sistema de facturación inaccesible. En la cuarta, revise las decisiones, ajuste procedimientos y repita únicamente el paso que falló. Así se obtiene evidencia de mejora sin montar una simulación innecesariamente compleja.
Los indicadores pueden ser sencillos: cambios bancarios verificados, accesos revisados, tiempo hasta el reporte y operaciones esenciales con alternativa probada. Fije el punto de partida antes de comparar. No convierta una sola simulación en prueba de seguridad total ni interprete la ausencia de reportes como ausencia de ataques.
Preguntas frecuentes de las empresas
¿Debemos contratar formación o una simulación de phishing?
Depende de la pregunta que se quiere responder. La simulación evalúa conductas en un escenario definido; la formación desarrolla capacidades y refuerza procedimientos. Pueden combinarse, pero el alcance debe partir del proceso expuesto y del resultado esperado, no de la cantidad de correos enviados.
¿La autenticación multifactor evita cualquier fraude?
No. Refuerza el acceso, pero no sustituye la verificación de pagos ni la autorización de cambios. Una solicitud engañosa puede dirigirse a una persona que ya está correctamente autenticada. También deben revisarse sesiones, permisos y mecanismos de recuperación.
¿Estos datos permiten calcular cuánto perderá mi empresa?
No. La encuesta no ofrece una predicción individual. Para estimar exposición deben analizarse transacciones, procesos críticos, dependencia de sistemas y controles propios. El valor de la noticia es orientar preguntas, no asignar automáticamente una pérdida esperada.
Valide el proceso antes del siguiente pago urgente
Fuentes y alcance del análisis
- Kaspersky: resultados sobre pérdidas e interrupciones en pymes latinoamericanas, publicados el 22 de septiembre de 2026. Fuente de las cifras y límites de muestra.
- NIST: Small Business Cybersecurity Corner, recursos de contexto sobre riesgo, phishing, formación y respuesta. No constituye corroboración independiente de los porcentajes.
La encuesta procede de un fabricante. Las recomendaciones, ejemplos y secuencia de trabajo son análisis editorial de Equipo Insylux; no describen un incidente real ni garantizan resultados.
