Bastó con escribir un número de teléfono para ver el CURP, el RFC y el correo de millones de mexicanos: así de expuesta está hoy tu identidad digital

Imagina un formulario público, sin usuario ni contraseña, donde lo único que hace falta para ver el nombre completo, el CURP, el RFC y el correo electrónico de cualquier persona es teclear su número de celular. No es un escenario hipotético: es exactamente lo que el periodista Ignacio Gómez Villaseñor documentó el 9 de enero de 2026 en el portal oficial de Telcel, apenas horas después de que entrara en vigor el registro obligatorio de líneas móviles en México.

La falla permitía consultar datos personales de millones de clientes sin ningún código de verificación. Este caso no fue un hecho aislado: es el síntoma más visible de un año en el que, según cifras oficiales, México acumuló más de 43,000 incidentes de ciberseguridad y vio comprometidas instituciones tan distintas como la UNAM, el IMSS y el SAT.

Un número de teléfono, la única llave que hacía falta

Según la denuncia pública de Gómez Villaseñor, el portal de Telcel exponía datos de identidad, CURP, RFC y correo electrónico con solo introducir un número telefónico, sin solicitar contraseña ni código de verificación adicional.

La primera respuesta de la empresa fue un comunicado ambiguo que aseguraba que los datos estaban protegidos. Horas después, Renato Flores, subdirector de comunicación de Telcel, reconoció en una entrevista de radio que “hubo una vulnerabilidad técnica” y que se corrigió de inmediato.

La empresa sostuvo que los usuarios solo podían consultar su propia información, pero el periodista publicó un video que, según él, demostraría lo contrario.

Más allá de quién tenga la razón técnica final, el episodio expone un problema de diseño que cualquier empresa con una plataforma de atención a clientes debería tomarse personalmente: un sistema de verificación de identidad que depende únicamente de un dato público y fácil de obtener, como un número telefónico, no es realmente una verificación.

La UNAM, 380,000 cuentas expuestas y una factura que nunca se pagó

Apenas unos días antes, entre el 31 de diciembre de 2025 y el 1 de enero de 2026, la UNAM sufrió lo que terminaría siendo uno de los incidentes más comentados del año.

La universidad confirmó oficialmente un acceso no autorizado a 5 de sus más de 100,000 sistemas informáticos y aseguró que no se había extraído información personal. Sin embargo, de acuerdo con la investigación del mismo periodista, un atacante identificado como “ByteToBreach” habría accedido a datos de más de 380,000 estudiantes y académicos, incluidas matrículas, correos institucionales y contraseñas cifradas. También se reportó la exposición de denuncias de acoso laboral, presuntos casos de plagio académico y comunicaciones internas de la oficina del rector.

Es importante distinguir lo confirmado de lo que no lo está: estas cifras provienen del trabajo periodístico, no de un reconocimiento oficial de la UNAM.

El ataque habría explotado una vulnerabilidad crítica conocida, identificada como CVE-2025-66478, en servidores Next.js, y no fue el primero: la universidad ya había detectado un acceso ilícito previo el 13 de marzo de 2025 y presentó una denuncia ante la Fiscalía General de la República que, según los reportes, no avanzó.

Un detalle adicional, documentado en una carta interna de septiembre de 2025, añade una capa incómoda a la historia: los ingenieros y desarrolladores responsables de la infraestructura tecnológica llevaban meses sin cobrar su salario debido a “procesos de auditoría” internos, justo en el periodo previo al ataque definitivo.

Ya sea causa, coincidencia o simplemente un síntoma más de instituciones que subestiman a su propio equipo técnico, la lección es la misma: la ciberseguridad de una organización no depende solo de qué tan buena sea su tecnología, sino también de qué tan bien cuidada esté la gente que la mantiene funcionando.

El negocio detrás de las filtraciones: un comerciante que no distingue de fronteras

Según la firma de inteligencia de amenazas SOCRadar, “ByteToBreach” opera como comerciante de bases de datos robadas desde al menos junio de 2025 y está vinculado a filtraciones en aerolíneas, bancos, instituciones gubernamentales y sistemas de salud de varios países.

En México se le atribuye, además del caso de la UNAM, un ataque a la aplicación Factura SAT Móvil en diciembre de 2025, que el SAT negó públicamente, pese a las pruebas técnicas presentadas por el propio atacante.

Entre septiembre de 2025 y enero de 2026 se documentó, según reportes periodísticos, al menos una decena de incidentes graves en instituciones mexicanas, con indicios de filtraciones en el IMSS, el Servicio Nacional de Empleo, la Secretaría de Educación de Chiapas y la Comisión Federal de Electricidad, entre otras.

A esto se suma el caso de Aeroméxico, anunciado el 20 de septiembre de 2026 por la Secretaría Anticorrupción y Buen Gobierno: más de 15 millones de registros fueron ofrecidos en un canal de Telegram, de los cuales se logró analizar una muestra de 100,092.

La magnitud del problema, en números duros

De acuerdo con cifras del INEGI citadas por la firma Salles Sainz Grant Thornton, México acumuló 43,116 incidentes de ciberseguridad en los últimos dos años, de los cuales el 79% ocurrió en el sector privado.

El 95.4% de las 5.47 millones de unidades económicas del sector privado y empresas estatales del país son microempresas, según los Censos Económicos 2024 del INEGI. Esto significa que una gran parte del tejido empresarial tiene recursos limitados para absorber las consecuencias de un incidente de este tipo.

El costo promedio de recuperación de un ataque de ransomware en México, sin contar el pago del rescate, se ubica en 1.35 millones de dólares, según el reporte State of Ransomware 2025 de Sophos.

A nivel regional, el Banco Mundial documentó que los incidentes cibernéticos graves y divulgados públicamente en América Latina y el Caribe han crecido un 25% anual durante la última década.

Por qué esto debería importarte aunque no seas la UNAM ni Telcel

Tu empresa quizá no administra los sistemas de una universidad con más de cien mil servidores ni gestiona el registro de líneas móviles de todo un país. Pero el patrón detrás de ambos casos también se repite, a menor escala, en miles de negocios mexicanos todos los días: sistemas de verificación de clientes que dependen de un solo dato fácil de adivinar, vulnerabilidades conocidas que pasan meses sin corregirse y equipos técnicos que operan sin el respaldo ni los recursos que necesitan.

La diferencia entre que un atacante como “ByteToBreach” toque la puerta de tu negocio y se vaya con las manos vacías, o se lleve la base de datos completa de tus clientes, casi nunca está en la sofisticación del atacante.

Está en si alguien, dentro de tu empresa, se tomó el tiempo de cerrar esa puerta antes de que la tocaran.

Si quieres hablar con un especialista sobre qué tan sólida es realmente la verificación de identidad de tus clientes y qué tan actualizados están los parches de tus sistemas, podemos conversarlo.

En un país donde los incidentes de ciberseguridad ya se cuentan por decenas de miles, la pregunta no es si alguien intentará atacar a tu empresa, sino qué tan fácil se lo pondrías.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Filtración de datos en México: el caso Telcel y la exposición de tu identidad digital se publicó primero en Care Telecom.

El 7 de octubre de 2026, a las 3:40 de la madrugada, hora de Japón, un atacante dejó un mensaje dentro de la consola de administración de IDC Frontier, el brazo de infraestructura en la nube de SoftBank: “Exactly seven minutes is what it took to turn your entire East Japan Region one into ciphertext” (“Exactamente siete minutos fue lo que tomó convertir toda tu Región Este de Japón en texto cifrado”).

Siete minutos después, cerca de 500 empresas y gobiernos locales se quedaron sin sistemas, sin sitios web y, en algunos casos, sin poder despachar mercancía. Muchas de estas organizaciones nunca habían contratado directamente a IDC Frontier. Dependían de sus servicios a través de otros proveedores.

Ninguna de esas 495 organizaciones parecía estar preparada para algo así, porque ninguna imaginaba que la continuidad de sus operaciones dependiera de una empresa cuyo nombre probablemente ni siquiera conocía.

Cuando cae un proveedor, caen cientos de empresas que nunca lo supieron

IDC Frontier reportó que el ataque de ransomware dejó inoperable la región “East Japan Region 1” de su servicio de infraestructura en la nube (IaaS), utilizada para alojar servidores virtuales, almacenamiento y redes de clientes corporativos y gubernamentales.

Según la propia empresa, el incidente afectó a cerca de 495 empresas y gobiernos locales que utilizaban ese servicio. Entre las víctimas colaterales confirmadas se encuentra Nissui Logistics, que perdió su sistema logístico en 17 sedes, y el sitio web oficial de la prefectura de Ibaraki, que quedó fuera de línea.

Según cifras que el propio atacante publicó en la consola de IDC Frontier, pero que no han sido verificadas de forma independiente, el ataque habría cifrado 225 bases de datos —unos 3.6 petabytes de información—, comprometido 239 servidores de virtualización, bloqueado 16,000 discos de máquinas virtuales y borrado más de 554,000 copias de seguridad o snapshots.

IDC Frontier no confirmó esas cifras, pero sí advirtió a sus clientes que podría ser difícil recuperar sus datos y les recomendó preparar un entorno separado y reconstruir sus sistemas. En otras palabras, algunas empresas podrían tener que empezar prácticamente desde cero.

Lo más inquietante de este caso no es la velocidad del ataque, sino la cantidad de empresas afectadas que ni siquiera eran clientes directas de IDC Frontier.

Varias organizaciones dependían de este servicio a través de otros proveedores: revendedores, integradores de sistemas y plataformas de software que, a su vez, operaban sobre esa nube. Es decir, la empresa final podía no tener idea de dónde se alojaban realmente sus sistemas hasta que todo dejó de funcionar.

Un informe de Google sobre tendencias de ransomware encontró que la infraestructura de virtualización fue el objetivo en aproximadamente el 43% de las intrusiones de ransomware documentadas en 2025, frente al 29% del año anterior. Los atacantes ya no buscan únicamente comprometer una computadora o un servidor: también pueden atacar la infraestructura que sostiene las operaciones de cientos de clientes al mismo tiempo.

Japón declaró, de facto, una emergencia cibernética nacional

El caso de IDC Frontier no ocurrió de forma aislada.

Según reportes de Financial Times y Associated Press, más de 20 grandes empresas japonesas —entre ellas la plataforma de autos compartidos Times Car, la operadora ferroviaria JR East, la casa de bolsa Daiwa Securities, la cadena de conveniencia Lawson y la tienda de segunda mano BookOff— revelaron ataques o filtraciones de datos durante las últimas semanas.

En el caso de Times Car, se informó que unas 6.6 millones de cuentas podrían haber quedado expuestas, incluidos escaneos de licencias de conducir. Por su parte, JR East reportó la filtración de 1.67 millones de direcciones de correo electrónico.

La policía nacional japonesa registró 123 incidentes de ransomware durante el primer semestre de 2026, la cifra más alta para ese periodo en su historia.

Masaaki Taira, citado por Associated Press y Financial Times, calificó la situación como un “estado de emergencia en el ciberespacio”. El ministro de ciberseguridad, Toshiharu Furukawa, reconoció públicamente que los ataques son cada vez más sofisticados, mientras que el gobernante Partido Liberal Democrático convocó una reunión de emergencia sobre ciberseguridad.

El gobierno japonés también advirtió sobre un riesgo especialmente preocupante: algunos atacantes se hacen pasar por proveedores legítimos de ciberseguridad que supuestamente buscan protegerte de otras amenazas, cuando en realidad intentan infiltrarse todavía más en tus sistemas.

Es importante distinguir entre lo confirmado y lo que todavía no está demostrado. Especialistas consultados por The Japan Times no encontraron evidencia firme de que la inteligencia artificial hubiera dirigido estos ataques específicos en Japón. El equipo nacional de respuesta a incidentes, JPCERT/CC, tampoco identificó malware desconocido ni una vulnerabilidad de día cero detrás de la ola de ataques, sino una campaña coordinada de intrusión que opera a escala industrial.

Lo que sí ha señalado el gobierno japonés, sin atribuirlo a un incidente específico, es que la inteligencia artificial puede hacer que las amenazas sean más difíciles de contener. Permite analizar redes en busca de debilidades a gran velocidad y redactar mensajes de phishing con una calidad lingüística mucho más convincente.

Para tu empresa, esto significa que ya no basta con confiar en que los ataques serán fáciles de reconocer o que tus proveedores sabrán detenerlos a tiempo.

México no es ajeno a esta dependencia invisible de un solo proveedor

En México no existe, hasta el momento, un caso documentado y confirmado de una falla en cascada de la magnitud del incidente de IDC Frontier. Es importante decirlo con claridad, sin inventar paralelismos que no se han comprobado.

Sin embargo, el escenario de dependencia tecnológica que hizo posible un impacto de esta magnitud también existe en nuestro país.

Según datos citados por El Ecosistema Startup el 20 de abril de 2026, el 84% de las PyMEs mexicanas y el 93% de las grandes empresas del país ya tienen presencia digital diaria. Esto significa que una gran parte del sector empresarial depende de proveedores externos de nube, hosting o software como servicio para mantener sus operaciones.

El mismo informe señala que el 86% de las empresas mexicanas planea aumentar su presupuesto de ciberseguridad en 2026 y que al 69% de los directivos les preocupa específicamente el malware potenciado por inteligencia artificial.

Además, el mercado mexicano de ciberseguridad alcanzó un valor estimado de 3,120 millones de dólares en 2026, con un crecimiento anual del 8%. Mientras tanto, el gobierno federal prepara un Plan Nacional de Ciberseguridad y una Ley General de Ciberseguridad para este año.

Pero, más allá de las cifras, hay una pregunta que cualquier director general debería hacerse hoy:

¿Sabes realmente de qué proveedores depende tu empresa para seguir operando mañana y qué pasaría si uno de ellos dejara de funcionar?

La mayoría de los empresarios conoce a su proveedor directo de hosting o software. Sin embargo, pocos saben sobre qué infraestructura opera ese proveedor o qué tan preparado está el tercer o cuarto eslabón de la cadena para resistir un ataque.

Tu empresa puede tener buenos sistemas de seguridad y aun así quedar expuesta si un proveedor crítico sufre un incidente que afecta tus operaciones.

Por eso, proteger tu negocio también significa conocer y evaluar a las empresas de las que dependes.

La lección que Japón le está dando al resto del mundo

Lo que distingue al caso japonés de otros incidentes de ransomware no es solamente su escala, sino lo que revela sobre la arquitectura invisible de la que depende casi cualquier negocio moderno.

Hablamos de una red de proveedores, subproveedores y plataformas interconectadas que muchas empresas nunca auditan porque ni siquiera saben que existen.

Cuando uno de esos nodos cae, no necesariamente cae una sola empresa. También pueden detenerse las operaciones de todas aquellas organizaciones que, sin saberlo, construyeron su actividad diaria sobre esa infraestructura.

Y cuando algunos atacantes se hacen pasar por quienes deberían protegerte, la confianza —uno de los pilares de cualquier relación comercial— también puede convertirse en un riesgo.

La pregunta ya no es únicamente si tienes un buen antivirus o si tus empleados saben reconocer un correo sospechoso.

La verdadera pregunta es si conoces todos los eslabones tecnológicos de los que depende tu negocio y si tienes un plan para seguir operando cuando alguno falle.

Porque no necesitas contratar directamente a un proveedor para sufrir las consecuencias de un ataque contra él.

Tu empresa podría estar a un solo proveedor de distancia de una interrupción crítica.

Si quieres conocer qué tan expuesta está realmente tu empresa ante la caída de un proveedor que nunca elegiste directamente, podemos analizarlo juntos.

Entender de qué depende tu negocio, hasta el último eslabón, ya no es un lujo técnico. Es una decisión estratégica que puede marcar la diferencia entre superar una crisis y detener tus operaciones durante días o semanas.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Ciberataque en Japón: 495 empresas afectadas por depender de un mismo proveedor de nube se publicó primero en Care Telecom.

Bastaron 20 segundos de un video tuyo en redes sociales para que un criminal clonara tu voz y llamara a tu familia

Imagina que tu teléfono suena a media mañana. Es un número desconocido. Al contestar, escuchas la voz de tu hijo o tu hija, llorando, diciendo que lo tienen secuestrado. De fondo hay gritos y ruido de tráfico. Exigen una transferencia inmediata o “ya no vas a poder hablar con él otra vez”.

Esa voz, que jurarías reconocer entre miles, pudo haberse generado con apenas 20 segundos de audio tomado de un video que tu propio hijo subió a redes sociales.

No es ciencia ficción. Es una amenaza que la industria de la ciberseguridad ya está documentando en México. Y la misma tecnología que hace posible este tipo de fraude también se está utilizando para atacar empresas mediante llamadas falsas de directores generales, directores financieros y otros ejecutivos.

La voz que tu familia reconocería en cualquier lugar, hecha con 20 segundos de audio

El 14 de septiembre de 2026, el diario La Razón de México, citando un análisis de ESET Latinoamérica, documentó cómo los criminales están utilizando tecnología de clonación de voz con inteligencia artificial para hacer más creíbles los secuestros virtuales, uno de los fraudes telefónicos más extendidos y dolorosos en el país.

El método es metódico y aterrador por su simplicidad.

Los delincuentes monitorean perfiles públicos en redes sociales para reunir información personal y familiar. Después identifican momentos en los que una posible víctima podría estar de viaje o incomunicada y utilizan apenas unos segundos de audio público —de un video, una nota de voz o una entrevista— para clonar la voz de un ser querido.

Mario Micucci, investigador de seguridad de ESET Latinoamérica, explicó que los criminales aprovechan datos personales, profesionales, familiares y de amistad disponibles en línea para construir narrativas de ingeniería social mucho más convincentes.

La voz clonada puede utilizarse durante apenas unos segundos y combinarse con sonidos de llanto, tráfico y otros ruidos de fondo. El objetivo es generar una situación de emergencia que no te dé tiempo para cuestionar lo que estás escuchando.

El mismo análisis documentó que los fraudes de este tipo representaron pérdidas por 139,000 millones de pesos mexicanos entre 2024 y 2025. Además, el 12% de los adultos mexicanos se enfrenta a este tipo de estafas varias veces por semana.

A nivel internacional, el 25% de los ciudadanos estadounidenses recibió al menos una llamada con voz clonada por inteligencia artificial durante los últimos 12 meses, mientras que el 24% de las personas no logra distinguir una voz genuina de una voz clonada.

La misma tecnología, apuntando ahora a tu empresa

Lo que hace especialmente relevante esta amenaza para cualquier dueño de negocio es que la tecnología utilizada para clonar la voz de un familiar es prácticamente la misma que puede utilizarse para suplantar a un ejecutivo de una empresa.

Imagina que alguien del área de finanzas recibe una llamada.

La voz es la del director general.

Le pide realizar una transferencia urgente y le explica que se trata de una operación confidencial que no puede esperar.

El colaborador reconoce la voz, escucha una instrucción aparentemente legítima y actúa.

El problema es que el director general nunca hizo esa llamada.

Este tipo de fraude aprovecha exactamente la misma vulnerabilidad que los secuestros virtuales: nuestra tendencia natural a confiar en una voz que reconocemos.

Los ataques de ingeniería social mediante voz, conocidos como vishing, representan una amenaza cada vez más relevante para las organizaciones. Cuando además se incorpora inteligencia artificial para clonar voces, el atacante puede construir escenarios mucho más convincentes.

La pérdida económica puede ser considerable. Una sola llamada puede ser suficiente para conseguir que un colaborador autorice una transferencia de cientos de miles o incluso millones de pesos.

El caso que demuestra hasta dónde puede llegar el fraude

Uno de los casos más conocidos a nivel internacional involucra al director financiero de Ferrari.

El ejecutivo recibió una llamada de una voz que parecía ser la de su director general. Durante la conversación, supuestamente le solicitaron realizar una transferencia de 25.6 millones de euros relacionada con una adquisición.

La voz sonaba auténtica.

Sin embargo, el director financiero tuvo una sospecha y decidió realizar una comprobación adicional.

Le hizo una pregunta personal relacionada con un libro que su jefe le había recomendado días antes.

La voz clonada no pudo responder correctamente.

La conversación terminó revelando el intento de fraude.

La lección es especialmente importante para cualquier empresa: la voz ya no puede considerarse una prueba suficiente de identidad.

México empieza a legislar, pero la tecnología avanza rápidamente

El 23 de abril de 2026, el Senado de la República presentó una iniciativa relacionada con la suplantación de identidad maliciosa mediante inteligencia artificial, incluyendo medidas relacionadas con el contenido generado por IA y la atención de este tipo de delitos.

La iniciativa también contempla consecuencias relacionadas con la exposición de datos personales y posibles sanciones conforme al marco de protección de datos personales.

Mientras el marco legal continúa evolucionando, los criminales no están esperando.

La tecnología ya está disponible y puede utilizarse para atacar tanto a personas como a organizaciones.

Por eso, la seguridad de tu empresa no puede depender únicamente de que existan nuevas leyes o herramientas tecnológicas de detección.

Por qué ni tu oído ni tu instinto son ya suficientes

Lo más preocupante de esta amenaza no es únicamente la tecnología.

Es lo que implica para nuestra propia capacidad de verificar una identidad.

Durante toda la historia humana, reconocer la voz de alguien cercano ha sido una de las formas más confiables de identificarlo a distancia.

Si alguien te llamaba y escuchabas la voz de tu hijo, de tu pareja, de tu jefe o de un compañero de trabajo, tu cerebro utilizaba esa voz como una señal de autenticidad.

Eso está cambiando.

Hoy, escuchar la voz de una persona conocida ya no significa necesariamente que esa persona esté al otro lado del teléfono.

Y esto aplica tanto a una familia que recibe una llamada de un supuesto secuestro como a una empresa cuyo departamento financiero recibe una instrucción urgente de transferencia.

En ambos casos, el ataque explota exactamente lo mismo: la confianza que depositamos en una voz conocida.

¿Cómo puedes proteger a tu empresa?

La respuesta no consiste únicamente en comprar una nueva herramienta de ciberseguridad.

Tu empresa necesita establecer procesos de verificación que no dependan exclusivamente de una llamada telefónica.

Por ejemplo, cualquier solicitud de transferencia extraordinaria, cambio de cuenta bancaria o pago urgente debería contar con un segundo mecanismo de autenticación.

Si un supuesto director general solicita una operación por teléfono, tu equipo debería tener la posibilidad de verificar la instrucción mediante otro canal independiente.

Una llamada no debería ser suficiente.

Una voz no debería ser suficiente.

Y mucho menos cuando hay millones de pesos de por medio.

La inteligencia artificial está haciendo que los ataques de ingeniería social sean más convincentes. Por eso, los protocolos internos de tu empresa también tienen que evolucionar.

Si quieres platicar con un especialista sobre cómo blindar los protocolos de verificación de pagos de tu empresa frente a este tipo de fraude, con gusto lo conversamos.

Entender que la voz, por sí sola, ya no es una prueba de identidad es el primer paso para proteger tu negocio y a las personas que más te importan.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Clonación de voz con IA: cómo los criminales pueden suplantar a tu CEO y vaciar las cuentas de tu empresa se publicó primero en Care Telecom.

Un grupo de ransomware descubierto apenas esta semana demostró exactamente por qué esa confianza, sin verificación, puede ser la puerta de entrada perfecta para perder el control completo de tu empresa.

El ransomware que se disfraza del técnico que ya conoces

El 17 y 18 de septiembre de 2026, los investigadores de la firma de ciberseguridad Huntress documentaron dos ataques del grupo detrás del ransomware SETTRA: uno contra una empresa de retail y servicios al consumidor en julio de 2026, y otro contra una compañía manufacturera en septiembre de 2026.

Lo que hace a este grupo particularmente inquietante no es la sofisticación de su malware —los propios investigadores lo describieron como “capaz, más que sofisticado”— sino la forma en la que se mueve dentro de la red de la víctima sin levantar sospechas.

Los atacantes obtienen acceso inicial mediante credenciales de VPN comprometidas y, una vez adentro, despliegan MeshAgent, una herramienta legítima de monitoreo y gestión remota del tipo que miles de proveedores de tecnología en todo el mundo utilizan todos los días para dar soporte a sus clientes.

En el primer ataque documentado, renombraron el programa como “mvtcs.exe” para camuflarlo; en el segundo, ni siquiera se molestaron en disfrazarlo.

En el ataque de septiembre contra la manufacturera, además, utilizaron una técnica conocida como BYOVD —“trae tu propio controlador vulnerable”, por sus siglas en inglés—: instalaron un controlador de sistema con una falla de seguridad conocida específicamente para apagar el antivirus y las herramientas de protección de la víctima antes de cifrar sus archivos.

Después del cifrado, el grupo mantiene un sitio de “vergüenza pública” donde publica los nombres de las empresas afectadas para presionarlas a pagar. Es la firma característica de la doble extorsión: no solo secuestran tus archivos, también amenazan con exhibir a tu empresa.

Por qué la manufactura está en la mira como nunca antes

Según el reporte Manufacturing Threat Landscape 2025 de Check Point Software, publicado el 17 de abril de 2026, los ataques de ransomware contra fabricantes crecieron 56% a nivel global, pasando de 937 casos documentados en 2024 a 1,466 en 2025.

El mismo reporte identifica a grupos como Akira —con ganancias estimadas de 244 millones de dólares a finales de 2025—, Qilin y Play como los operadores de ransomware como servicio que dominan los ataques contra infraestructura manufacturera.

México, entre los países donde este problema crece más rápido

El mismo reporte de Check Point ubica a México como el sexto país a nivel mundial con el mayor incremento anual de ciberataques semanales contra el sector manufacturero, con un aumento del 80% entre 2024 y 2025, superando en ese crecimiento a países como Perú, Suiza, Taiwán y Austria.

Un análisis de Kaspersky, publicado el 21 de julio de 2026 sobre incidentes atendidos en México y Colombia entre mayo y junio de ese año, documentó un caso específico en México atribuido a un grupo identificado como “XEntry Team”, que obtuvo acceso inicial a través de un servidor de Microsoft SQL mal configurado, utilizando credenciales que habían quedado expuestas públicamente en código fuente.

El grupo mantuvo acceso persistente durante varios meses antes de ser detectado.

Cuando finalmente activaron el ataque, los colaboradores de la empresa afectada se encontraron con una pantalla azul que decía simplemente: “Hacked by XEntry Team”.

El mismo análisis de Kaspersky encontró que más del 20% de los incidentes de ransomware atendidos en la región involucraron el abuso de herramientas legítimas de monitoreo y gestión remota, y que en algunos casos los atacantes utilizaron más de tres herramientas distintas de este tipo dentro de un mismo ataque.

La lección incómoda detrás de la herramienta “de confianza”

Lo que conecta el caso de SETTRA con los incidentes documentados en México es la misma idea central: los atacantes ya no necesitan construir sus propias herramientas de intrusión cuando pueden utilizar exactamente el mismo software que tu proveedor de tecnología legítimo utiliza para ayudarte.

Un antivirus tradicional, entrenado para detectar programas maliciosos conocidos, generalmente no marca como sospechoso un programa de gestión remota legítimo simplemente porque alguien más lo está utilizando sin tu autorización.

La pregunta que esto plantea no es si confías en tu proveedor de TI —probablemente deberías seguir haciéndolo—, sino si alguien más, sin que tú ni tu proveedor lo sepan, está utilizando ese mismo tipo de acceso remoto para moverse dentro de tu red.

Si quieres platicar con un especialista sobre qué visibilidad tiene realmente tu empresa sobre quién se conecta remotamente a tus sistemas y con qué herramientas, con gusto lo conversamos.

La confianza en tu proveedor de tecnología no debería ser lo único que se interponga entre tu empresa y un ataque como este.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Ransomware en empresas: cómo el acceso remoto de tu proveedor de TI puede convertirse en una puerta de entrada se publicó primero en Care Telecom.

Durante años, la tranquilidad relativa de muchas PyMEs frente al cibercrimen descansaba en un supuesto simple: montar un ataque sofisticado requiere tiempo, un equipo humano especializado y, sobre todo, horas de trabajo manual que hacían improbable que alguien “perdiera el tiempo” con un negocio mediano. Esa suposición murió esta semana. Ya no hace falta un equipo de criminales trabajando toda la noche. Basta con darle instrucciones a una inteligencia artificial y dejar que ella sola haga el resto.

De asistente a operador: el salto que documentaron Google y Anthropic

El 8 de septiembre de 2026, el equipo de inteligencia de amenazas de Google (GTIG) publicó un reporte titulado “From Prompting to Autonomy: The Evolution of Adversarial AI”, en el que documentó que atacantes ya lograron comprometer un recurso en la nube y, después, planear, construir y ejecutar una campaña completa de robo masivo de credenciales en menos de seis horas, con la inteligencia artificial operando la mayor parte del proceso: escaneo de vulnerabilidades, corrección de errores operativos en tiempo real y rotación automática de direcciones IP para evadir bloqueos, todo sin intervención manual. El mismo reporte documentó un panel de control automatizado que organizó y validó más de 23,800 credenciales robadas en tiempo real, incluyendo llaves de acceso a servicios de nube e inteligencia artificial.

Dos días después, el 10 de septiembre de 2026, Anthropic publicó su propio reporte de inteligencia de amenazas correspondiente a septiembre de 2026, documentando nueve meses de casos reales de uso malicioso de inteligencia artificial. Uno de los casos más alarmantes, identificado como GTG-50014 y vinculado al grupo de extorsión ShinyHunters, muestra que una brecha de seguridad completa —desde el acceso inicial hasta el robo de decenas de millones de registros de pasajeros y datos de clientes— se completó en apenas 2 a 3 horas.

La propia Anthropic lo resumió así: “la inteligencia artificial ha eliminado la brecha de mano de obra y herramientas que solía separar a los operadores respaldados por un Estado de los operadores individuales”, concluyendo que “los ataques sofisticados ya no requieren atacantes sofisticados”.

El caso que muestra qué tan rápido puede escalar

Entre el 8 y el 10 de septiembre de 2026, cuatro equipos independientes de inteligencia de amenazas —incluyendo GreyNoise, Anthropic y el propio GTIG de Google— documentaron lo que describieron como la primera campaña de explotación a gran escala ejecutada de forma autónoma por agentes de inteligencia artificial.

Los atacantes construyeron un laboratorio privado con software vulnerable y, usando un agente de IA operando sobre modelos de código, pasaron de un espacio de trabajo vacío a ejecución remota de código en menos de cuatro horas, y a acceso de administrador de dominio en apenas dos horas.

Una vez lanzada la campaña real, el agente comprometió 11 organizaciones en 26 segundos. Al final del conteo: 395 organizaciones afectadas en 48 países, con credenciales robadas de 280 víctimas y acceso de administrador de dominio confirmado en 12 organizaciones, en algunos casos en tan solo 5 minutos.

Ninguno de estos números describe la velocidad de un grupo de hackers trabajando muy rápido. Describen lo que ocurre cuando el trabajo humano deja de ser el cuello de botella del ataque.

Lo que ya sabemos que está pasando en México, y lo que todavía no

Es importante ser honestos: hasta donde pudimos verificar con fuentes públicas confiables, no existe todavía un caso documentado de un ataque completamente autónomo, ejecutado por inteligencia artificial, contra una empresa mexicana específica.

Lo que sí documentó La Jornada el 21 de septiembre de 2026, citando el reporte “Ransomware en LATAM: Primer Semestre de 2026” de SCILabs y el Compromise Report 2026 de Lumu Technologies, es que 52 organizaciones mexicanas sufrieron ataques de ransomware durante la primera mitad de 2026, colocando a México como el segundo país más atacado de América Latina, con 18 de cada 100 ataques registrados en la región dirigidos específicamente contra el país.

El mismo análisis documentó un cambio de táctica relevante: los criminales están abandonando los ataques “ruidosos” de fuerza bruta a favor de intrusiones lentas y sigilosas que usan herramientas legítimas del propio sistema para pasar desapercibidas.

Es, en otras palabras, el mismo tipo de comportamiento metódico y silencioso que un agente de inteligencia artificial ejecuta de forma natural, aunque estos casos mexicanos documentados hasta ahora no se hayan atribuido formalmente a operaciones autónomas de IA.

La ausencia de un caso mexicano confirmado de ataque autónomo no debería tranquilizarte. Las herramientas descritas en los reportes de Google y Anthropic no distinguen entre una corporación en San Francisco y un despacho contable en Guadalajara: escanean internet completo, sin preferencia geográfica, buscando exactamente el tipo de configuraciones débiles que abundan en empresas medianas y pequeñas de cualquier país.

Por qué esto cambia el reloj con el que debes pensar tu seguridad

La conclusión más incómoda de los reportes de esta semana no es técnica, es de tiempos.

Google lo llamó “la compresión de la ventana de respuesta de los defensores”: cuando un atacante humano necesitaba días u horas entre cada paso de un ataque —investigar, probar, avanzar, corregir errores—, tu empresa tenía margen real para detectar movimientos sospechosos y reaccionar.

Cuando ese mismo proceso lo ejecuta un agente de inteligencia artificial de forma autónoma, sin pausas para dormir, comer o dudar, ese margen se reduce a minutos.

La velocidad ya no es una ventaja que un atacante particularmente hábil consigue con experiencia; es una característica de fábrica de la herramienta que cualquiera puede usar hoy.

Si quieres platicar con un especialista sobre qué tan preparada está tu empresa para enfrentar ataques que ya no dan tiempo de reaccionar como antes, con gusto lo conversamos.

Entender este cambio de velocidad es el primer paso; el segundo es decidir, con calma y no en plena crisis, qué vas a hacer al respecto.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Ciberataques autónomos: cómo la inteligencia artificial está cambiando la seguridad de las empresas se publicó primero en Care Telecom.

Tu equipo de TI no cometió ningún error. Tus colaboradores no cayeron en ningún correo sospechoso. Tu contraseña era buena. Y aun así, el software que usas todos los días para facturar, gestionar clientes o controlar tu inventario pudo haber quedado comprometido sin que nadie dentro de tu empresa hiciera nada mal.

Bienvenido al ataque de cadena de suministro, la amenaza que en 2026 creció más rápido que ninguna otra y que no necesita tocar tu puerta para entrar a tu casa.

El gusano que se niega a morir

El 8 de septiembre de 2026, medios especializados en ciberseguridad reportaron que el llamado gusano “Shai-Hulud” —una pieza de malware que infecta paquetes de código abierto utilizados por millones de programadores en todo el mundo a través del repositorio npm— resurgió después de 111 días de aparente inactividad, infectando cuatro paquetes nuevos publicados en apenas una hora el 7 de septiembre.

Lo más inquietante no es que haya vuelto: es que logró pasar el sistema de escaneo de seguridad de npm siendo prácticamente idéntico a una versión ya identificada meses atrás, coincidencia de huella digital incluida.

Esta campaña arrancó en septiembre de 2025 y, según reportes acumulados durante 2026, ha comprometido más de 1,300 versiones de paquetes de software con un alcance combinado de 2,000 millones de descargas mensuales.

El malware roba credenciales de programadores y usa esas credenciales para republicarse automáticamente en más paquetes, expandiéndose solo, como un virus biológico.

Ninguna de las empresas que terminan utilizando ese software comprometido —fábricas, despachos, clínicas, comercios— tuvo que cometer ningún error propio para quedar expuesta.

El error ocurrió varios eslabones atrás, en el código que alguien más escribió y que tu proveedor de software, sin saberlo, incorporó al producto que tú utilizas.

La cifra que triplicó su tamaño en dos años

El Verizon Data Breach Investigations Report (DBIR) 2026, publicado el 18 de junio de 2026, encontró que el 48% de las brechas de datos analizadas involucraron a terceros: un proveedor, un desarrollador de software o cualquier parte externa con acceso a los sistemas de la víctima.

Esa misma cifra era de apenas 15% en 2024 y subió a 30% en 2025.

En dos años, el riesgo de que tu próxima brecha de seguridad venga de un tercero prácticamente se triplicó.

Como lo resume el propio reporte, casi una de cada dos brechas de datos hoy involucra a un proveedor, un fabricante de software o alguna otra parte externa, no necesariamente a alguien dentro de la empresa afectada.

México, arriba del promedio mundial en este riesgo específico

Según un estudio de Kaspersky publicado el 24 de marzo de 2026, con 1,714 especialistas técnicos encuestados en 16 países, incluyendo empresas de 500 o más colaboradores en México, Brasil y Colombia, el 43% de las organizaciones mexicanas sufrió un ataque a través de su cadena de suministro en el último año.

Esta fue la cifra más alta de toda la región latinoamericana estudiada, por encima de Brasil y Colombia, con 36% cada uno, y también por encima del promedio global de 31%.

Además, el 31% de las empresas mexicanas encuestadas reportó específicamente ataques que explotaron relaciones de confianza con socios o proveedores.

El Foro Económico Mundial, citado en la cobertura de esta misma investigación, añade que las grandes organizaciones trabajan en promedio con cerca de 100 proveedores y más de 130 terceros con algún tipo de acceso a sus sistemas.

Esto ayuda a explicar por qué el 65% de las grandes empresas identifica las vulnerabilidades de sus proveedores como el principal obstáculo para su seguridad.

Por qué “yo no uso ese software” no te protege

Si utilizas un sistema de punto de venta, un software de contabilidad, una aplicación de nómina, un portal de facturación electrónica o cualquier herramienta digital construida por un tercero —y prácticamente toda empresa utiliza varias de estas—, dependes de que ese proveedor haya construido su producto sobre componentes seguros.

La mayoría del software moderno está armado con decenas o cientos de piezas de código de origen abierto que ni siquiera el propio proveedor revisó línea por línea.

Cuando una de esas piezas se compromete, como ocurrió con Shai-Hulud, la infección puede viajar silenciosamente hasta el producto final que tú instalaste confiando en una marca conocida.

Y aquí está el verdadero problema: tú puedes tener buenas contraseñas, capacitar a tus colaboradores, utilizar autenticación multifactor y contar con sistemas de seguridad actualizados.

Pero si uno de tus proveedores tiene una vulnerabilidad y ese proveedor tiene acceso a tus sistemas, tu seguridad puede verse comprometida por una decisión que tú nunca tomaste.

Qué hacer esta semana

Pregunta a tus proveedores qué controles tienen para sus propias dependencias

No necesitas entender el código. Necesitas saber si auditan lo que incorporan a sus productos y qué hacen ante una alerta como la de Shai-Hulud.

Pregúntales qué mecanismos utilizan para identificar componentes vulnerables y cómo te notifican cuando detectan un problema de seguridad.

Limita el acceso de cada proveedor al mínimo indispensable

Cada permiso de más es una puerta adicional que no controlas tú.

Revisa qué proveedores tienen acceso a tus sistemas, qué información pueden consultar y qué acciones pueden realizar. Si un proveedor ya no necesita determinado acceso, elimínalo.

Mantén un inventario de qué proveedores tienen acceso a tus sistemas críticos

No puedes reaccionar ante una alerta si ni siquiera recuerdas que utilizas ese proveedor.

Identifica cuáles tienen acceso a información financiera, datos de clientes, sistemas de producción, infraestructura tecnológica o cualquier otro activo crítico para tu operación.

Exige notificación contractual de incidentes

Incluye en tus contratos la obligación explícita de que el proveedor te avise si sufre una brecha de seguridad y establece claramente en cuánto tiempo debe hacerlo.

No esperes a enterarte por las noticias de que un proveedor que utilizas fue comprometido.

La pregunta que tu empresa debería hacerse hoy

La lección incómoda de esta semana es que la ciberseguridad de tu empresa ya no depende solamente de las decisiones que tú tomas puertas adentro.

Depende también de decisiones que tomaron, muy lejos de tu vista, personas que nunca conocerás.

Eso no significa que estés indefenso.

Significa que la pregunta correcta ya no es solamente:

“¿Estamos seguros nosotros?”

La pregunta correcta es:

“¿Sabemos realmente en quién estamos confiando?”

Porque tu empresa puede tener una excelente estrategia de ciberseguridad y aun así estar conectada con proveedores que representan un riesgo que nunca has evaluado.

Si quieres revisar con un especialista qué tan expuesta está tu empresa a través de tus propios proveedores de tecnología, con gusto lo platicamos.

Mapear esas dependencias toma una conversación; no hacerlo puede costarte una crisis que ni siquiera provocaste tú.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Ataque a la cadena de suministro: tu proveedor de software puede ser la puerta de entrada se publicó primero en Care Telecom.

La falla que nadie vio venir (pero que estaba ahí desde hace tiempo)

El 5 de septiembre de 2026, el equipo de respuesta a incidentes de Polonia (CERT Polska) publicó una alerta urgente: dos vulnerabilidades críticas en RouterOS, el sistema operativo de los routers MikroTik —uno de los equipos de red más vendidos del mundo, y particularmente popular entre pequeños proveedores de internet, oficinas y comercios en México por su bajo costo—, permiten a un atacante tomar el control administrativo total de un router sin necesidad de contraseña, usuario ni ningún tipo de autenticación.

Los investigadores bautizaron la técnica “MikroTrick”. Combina dos fallas: CVE-2026-67276, que permite falsificar la verificación de una llave criptográfica para saltarse el inicio de sesión por SSH, y CVE-2026-86060, que permite escalar privilegios usando nombres de usuario manipulados. Ambas tienen una puntuación de severidad de 9.2 sobre 10.

En términos simples: si tu router tiene el acceso remoto (SSH) abierto hacia internet —una configuración extremadamente común porque “así es más fácil dar soporte a distancia”—, un desconocido puede entrar como si fuera el dueño del equipo.

Lo más inquietante: la explotación activa comenzó el 2 de septiembre, tres días antes de que existiera un aviso público. Costin Raiu, uno de los investigadores de amenazas más reconocidos del mundo (ex director del equipo global de análisis de Kaspersky), lo resumió sin rodeos: “Si tienes un router MikroTik en internet con SSH abierto, es probable que ya esté comprometido”.

No es la primera vez (y esa es la parte que debería preocuparte más)

Si el nombre MikroTik te suena, es porque no es la primera vez que estos equipos terminan en el centro de un escándalo de seguridad. En 2021, cientos de miles de routers MikroTik comprometidos formaron la columna vertebral de Mēris, uno de los botnets de ataques de denegación de servicio más potentes jamás registrados, capaz de generar más de 21 millones de solicitudes por segundo contra sus víctimas.

¿La causa? Routers con el sistema sin actualizar, expuestos a internet, cuyos dueños nunca supieron que habían sido reclutados para un ejército digital.

Cinco años después, el patrón se repite casi exacto. No porque la tecnología no haya avanzado, sino porque el eslabón más débil sigue siendo el mismo: dispositivos que se instalan una vez y se olvidan para siempre.

Por qué esto debería quitarte el sueño si tienes una empresa en México

Aquí es donde la historia deja de ser “noticia de tecnología” y se convierte en un problema de negocio.

México se ha posicionado como uno de los países más atacados de toda América Latina, con 324 mil millones de intentos de ciberataque registrados en 2024, según el reporte Global Threat Landscape de Fortinet.

Y las empresas mexicanas no son espectadoras de esa cifra: son parte del objetivo constante de los ciberdelincuentes.

• Más del 60% de las PyMEs mexicanas sufrió intentos de robo de datos, ataques de ransomware o accesos no autorizados en el último año.
• El 52.8% ya sufrió al menos un incidente de ciberseguridad confirmado en 2024, y el 93.8% admite tener miedo de ser el próximo blanco.
• El 75.5% de las PyMEs reconoce que un ciberataque podría paralizar por completo sus operaciones —no solo “causar molestias”: detener la empresa.
• Solo 4 de cada 10 cuentan con un plan formal de respuesta a incidentes. El resto improvisa en el peor momento posible.
• Las pérdidas por cibercrimen en México se estiman entre 3,000 y 5,000 millones de dólares al año.

Y el contexto global no ayuda.

El Reporte de Investigaciones de Brechas de Datos 2026 de Verizon confirma que la explotación de vulnerabilidades —no el robo de contraseñas, no el phishing— es ya la causa número uno de brechas de seguridad, representando el 31% de los casos analizados.

Peor aún: mientras los atacantes utilizan inteligencia artificial para encontrar y explotar fallas en cuestión de horas, el tiempo promedio que tardan las empresas en aplicar un parche aumentó a 43 días en 2025, cuando antes eran 32.

Y de las vulnerabilidades que la agencia estadounidense CISA marca como “explotadas activamente”, solo el 26% fue parchado a tiempo.

La ventana de defensa, dice el propio reporte, “pasó de meses a horas”.

La lección que ninguna empresa puede seguir ignorando

No hace falta ser una corporación multinacional para ser un blanco.

De hecho, es al revés: los atacantes automatizados no distinguen entre una fábrica en Querétaro, un despacho contable en Guadalajara o una clínica en Monterrey.

Escanean internet buscando puertas abiertas, y un router mal configurado —con el acceso remoto expuesto “porque siempre se hizo así”— es una puerta con el letrero de “pase usted”.

La lección atemporal aquí no es sobre MikroTik específicamente.

Es sobre qué tan expuesta está la infraestructura que sostiene tu negocio y quién la está vigilando.

Si nadie en tu empresa puede responder ahora mismo a estas tres preguntas, tienes un problema:

¿Qué equipos de red tenemos con acceso remoto habilitado hacia internet?

¿Cuándo fue la última vez que se actualizó el firmware de nuestro router, firewall o VPN?

¿Quién recibe una alerta si alguien inicia sesión en esos equipos a las tres de la mañana?

El costo de responder estas preguntas hoy es una revisión técnica.

El costo de no responderlas es, en el mejor de los casos, una operación paralizada; en el peor, una extorsión digital con tus datos y los de tus clientes como rehenes.

Si después de leer esto no estás seguro de qué tan expuesta está la red de tu empresa, ese es exactamente el tipo de duda que vale la pena resolver antes de que alguien más la resuelva por ti.

Un especialista en ciberseguridad puede revisar en pocas horas lo que a un atacante automatizado le toma minutos encontrar.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada El router de $800 que puede hundir tu empresa en una sola noche: la vulnerabilidad que está secuestrando redes completas se publicó primero en Care Telecom.

Es la respuesta que casi todo dueño de negocio da cuando le preguntas qué pasaría si el ransomware le apagara los sistemas mañana: “No hay problema, tenemos respaldos”.

Es también, según la evidencia más reciente de la industria, una de las suposiciones más peligrosas que puede sostener una empresa hoy.

Porque los atacantes ya lo saben, y por eso ya no solo cifran tu información: van primero por tus copias de seguridad.

El respaldo ya no es tu salvavidas automático

Según datos de investigación de Veeam, uno de los proveedores de software de respaldo más usados del mundo, presentados en julio de 2025 y todavía considerados una referencia de la industria en 2026, el 89% de los ataques de ransomware del último año tuvieron como objetivo directo el repositorio de respaldos de la víctima, no solo sus archivos de trabajo.

Y no es un intento fallido: en una de cada tres ocasiones, los atacantes lograron modificar o eliminar esas copias de seguridad antes de que la empresa pudiera utilizarlas.

El mismo análisis encontró que el 69% de las empresas sufrió al menos un ataque de ransomware en el último año y que, de esas empresas, el 69% volvió a ser atacada, muchas veces por el mismo grupo criminal.

La ventana entre que el atacante entra al sistema, roba información y entrega la nota de rescate se comprimió a apenas 24 horas.

¿Por qué los criminales atacan primero los respaldos?

Porque saben exactamente lo mismo que tú: si puedes restaurar tus sistemas desde una copia limpia, no tienes ninguna razón para pagarles.

Destruir o corromper esas copias antes de exigir el rescate no es un efecto secundario del ataque.

Es la estrategia central.

El dato que debería incomodar incluso a quien “ya tiene todo resuelto”

El Data Trust and Resilience Report 2026 de Veeam, publicado el 14 de abril de 2026 con más de 900 líderes de TI, seguridad y riesgo encuestados a nivel global, encontró una brecha enorme entre la confianza y la realidad.

El 90% de las organizaciones dijo confiar en su capacidad para recuperarse de un incidente cibernético, pero solo el 28% logró recuperar completamente sus datos después de un ataque real.

El 44% recuperó menos del 75% de la información afectada, y la tasa promedio de recuperación entre todas las víctimas encuestadas fue de apenas 72%.

Traducido a algo concreto: si tu empresa depende de facturas, historiales de clientes, inventarios o expedientes, un 72% de recuperación promedio significa que casi tres de cada diez registros podrían no volver jamás, incluso si “sí tenías respaldos”.

El mismo reporte encontró que las organizaciones que aumentaron su inversión en ciberseguridad durante el último año lograron una recuperación completa en el 40% de los casos, contra apenas 16% entre las que no invirtieron más.

La pregunta que casi ninguna empresa mexicana se ha hecho

No existe todavía una cifra pública específica sobre qué porcentaje de las empresas mexicanas ha probado —de verdad, restaurando datos reales— sus propios respaldos.

Esa ausencia de datos no es casualidad: probar una restauración completa requiere tiempo, disciplina y personal técnico dedicado, recursos que suelen ser de los más escasos en una empresa mediana o pequeña.

Lo que sí sabemos, por los datos globales de Veeam, es que tener un respaldo sin haberlo probado nunca es estadísticamente casi lo mismo que no tenerlo.

Y aquí está el problema.

Puedes tener terabytes de información almacenados en servidores, discos o servicios en la nube. Puedes pagar todos los meses por una solución de backup. Puedes incluso recibir reportes que indiquen que las copias se están realizando correctamente.

Pero eso no responde la pregunta más importante:

¿Puedes recuperar tu empresa cuando realmente lo necesites?

Por qué “tenemos un backup en la nube” no es una respuesta completa

Muchas empresas confunden tener un respaldo con tener una estrategia de respaldo.

Un archivo copiado a un disco externo conectado permanentemente a la misma red infectada no es una protección real.

Una carpeta sincronizada en la nube sin control de versiones tampoco sirve de mucho si el archivo cifrado se sincroniza automáticamente sobre el archivo bueno.

La diferencia entre sobrevivir un ataque de ransomware y sufrir una interrupción capaz de poner en riesgo la operación de tu empresa casi siempre está en detalles como estos.

Tu estrategia de respaldo debe considerar, entre otras cosas:

• Dónde se almacenan tus copias.
• Si están aisladas de tu red principal.
• Si un atacante podría eliminarlas o modificarlas.
• Cuántas versiones históricas conservas.
• Qué tan rápido puedes restaurarlas.
• Si has probado una recuperación completa.
• Qué información es crítica para mantener operando tu empresa.
• Cuánto tiempo puede permanecer detenida tu operación antes de generar pérdidas graves.

Porque un backup que nunca has restaurado es, en realidad, una promesa.

Y durante un ataque de ransomware no quieres descubrir que esa promesa era falsa.

La pregunta que vale la pena hacerte esta semana

La pregunta no es si tu empresa tiene respaldos.

La pregunta es:

¿Tus respaldos sobrevivirían al mismo ataque que está diseñado específicamente para destruirlos primero?

Si mañana el ransomware cifra tus servidores, elimina tus respaldos y deja fuera de operación tus sistemas críticos, ¿cuánto tiempo tardarías realmente en volver a operar?

¿Horas?

¿Días?

¿Semanas?

¿Tendrías que pagar?

¿Y cuánto le costaría a tu empresa cada hora sin operar?

Ese es el verdadero valor de una estrategia de respaldo: no cuánto almacenamiento tienes, sino qué tan rápido y completamente puedes recuperar tu negocio.

Si quieres revisar qué tan sólida es realmente tu estrategia de respaldo y recuperación, con gusto lo platicamos.

Una prueba de restauración bien hecha puede tomar unas horas.

Descubrir que tus respaldos fallaron durante una crisis real puede costarte la empresa completa.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada “Tenemos respaldos, estamos tranquilos”: el error que puede dejar a tu empresa sin datos se publicó primero en Care Telecom.

Viste su cara. Escuchaste su voz. Reconociste su forma de hablar, hasta esa muletilla que usa cuando está apurado. Autorizaste la transferencia porque, literalmente, lo viste con tus propios ojos dándote la instrucción.

Y aun así, no era él.

Bienvenido a una amenaza de ciberseguridad que en 2026 ya no suena a ciencia ficción: el fraude corporativo con voz y video clonados por inteligencia artificial.

El caso que ya pasó y que puede volver a pasarte a ti

En 2024, la firma británica de ingeniería Arup vivió exactamente ese escenario. Un colaborador en la oficina de Hong Kong participó en una videollamada con quienes parecían ser directivos de la empresa. Los vio, los escuchó y reconoció sus rostros.

Siguiendo sus instrucciones, autorizó transferencias que terminaron costándole a la compañía aproximadamente 25 millones de dólares.

Los “directivos” que aparecían en pantalla eran, en realidad, réplicas hiperrealistas generadas con inteligencia artificial.

El caso se convirtió en uno de los ejemplos más conocidos de hasta dónde puede llegar la tecnología de deepfake cuando se combina con ingeniería social y fraude financiero.

Y lo más importante es esto: no necesitas ser una empresa tecnológica para estar expuesto.

Si tu empresa realiza transferencias, maneja cuentas bancarias, procesa nóminas o recibe instrucciones financieras por teléfono, correo electrónico o videollamada, este riesgo también puede alcanzarte.

Por qué tu instinto ya no basta para detectarlo

Durante años, una de las principales recomendaciones frente a una suplantación fue algo tan sencillo como “fíjate bien”.

¿La voz suena extraña?
¿El rostro se ve raro?
¿La persona habla de una manera diferente?
¿Hay algo que no te parece normal?

El problema es que esa estrategia está perdiendo efectividad.

El Reporte de Deepfakes 2026 de Veriff, publicado en julio de 2026 con participantes de Estados Unidos, Reino Unido y Brasil, midió la capacidad real de las personas para distinguir entre contenido auténtico y contenido generado artificialmente.

Los resultados son preocupantes: la capacidad para detectar deepfakes estuvo apenas por encima del nivel del azar. En Estados Unidos, siete de cada diez participantes identificaron incorrectamente un video deepfake como auténtico en una de las pruebas.

Y hay otro dato todavía más preocupante: algunas personas tienen una baja capacidad para detectar un deepfake, pero al mismo tiempo tienen una alta confianza en su propio juicio.

Ese es precisamente el escenario que buscan los atacantes.

No necesitan engañar a todo tu equipo.

Necesitan convencer a una sola persona.

Y si esa persona tiene autorización para mover grandes cantidades de dinero, el impacto puede ser enorme.

Veriff también encontró que el fraude con deepfakes puede generar pérdidas importantes por incidente, especialmente en sectores financieros. El patrón que empieza a observarse es claro: bajo volumen, alto valor.

Los atacantes no necesariamente buscan engañar a miles de personas.

Buscan encontrar a la persona correcta, en el momento correcto, con la historia correcta y con una transferencia suficientemente grande.

La velocidad también juega a favor del atacante

A esto se suma otro elemento que muchas empresas todavía subestiman: la velocidad.

Una llamada urgente.

Una transferencia que “tiene que salir hoy”.

Un proveedor que cambió de cuenta bancaria.

Un supuesto director general que está en una reunión y necesita que alguien del área financiera actúe inmediatamente.

Cuando existe presión de tiempo, tu capacidad para cuestionar lo que está ocurriendo disminuye.

Kaspersky ha documentado que una parte importante de las víctimas de determinados fraudes entrega dinero o información personal durante los primeros minutos del contacto.

Y esto tiene sentido desde la perspectiva del atacante.

Mientras menos tiempo tengas para detenerte, colgar y verificar por otro medio, más posibilidades existen de que actúes antes de darte cuenta del engaño.

La velocidad, en otras palabras, también es un arma.

Lo que sí sabemos —y lo que todavía no— sobre México

Siendo honestos, todavía no existen cifras públicas y verificables que permitan determinar con precisión cuánto dinero están perdiendo las empresas mexicanas específicamente por fraudes realizados mediante deepfakes.

Eso no significa que el problema no exista.

Significa que todavía no tenemos suficiente información pública para dimensionarlo correctamente.

Organizaciones empresariales en México ya han señalado el fraude mediante inteligencia artificial y los deepfakes como una amenaza emergente para las empresas.

Además, organismos como el FBI, CISA y NIST han emitido advertencias relacionadas con el uso malicioso de inteligencia artificial y las nuevas técnicas de suplantación.

El mensaje es claro: las empresas necesitan fortalecer sus procesos internos de verificación y capacitar a sus colaboradores.

La ausencia de una cifra mexicana exacta no debería darte tranquilidad.

Al contrario.

Puede ser una señal de que el fenómeno todavía no se está midiendo ni reportando como debería.

La defensa no es tecnológica. Es de protocolo.

Aquí está la parte más importante de todo esto:

Ningún antivirus, firewall o filtro de correo puede detener por sí solo este tipo de fraude.

¿Por qué?

Porque el atacante no necesariamente está intentando entrar a tu red.

Está intentando entrar en tu confianza.

Puede utilizar una voz que reconoces.

Una cara que conoces.

Una forma de hablar familiar.

El nombre de tu director general.

Información real sobre tu empresa.

Y una situación suficientemente urgente como para que no tengas tiempo de cuestionarla.

Por eso, una de las defensas más importantes es establecer un protocolo de verificación humano, sencillo y no negociable.

Verificación por un segundo canal

Ninguna instrucción relacionada con pagos, transferencias o cambios de datos bancarios debería ejecutarse sin una segunda verificación mediante un canal diferente y previamente conocido.

Si tu director general te llama y te pide realizar una transferencia urgente, no basta con reconocer su voz o verlo en una videollamada.

Cuelga.

Y llámalo tú al número que ya tenías guardado.

No utilices el número que apareció en pantalla.

No respondas al mismo correo.

No continúes la conversación por el mismo canal.

Utiliza un medio independiente para confirmar que realmente fue él quien hizo la solicitud.

Doble visto bueno obligatorio

Define un sistema de doble autorización para cualquier transferencia que supere un monto determinado.

Y hazlo sin excepciones.

Ni siquiera cuando alguien diga:

“Es urgente”.

“Lo necesita el director”.

“No podemos esperar”.

“Estoy en una reunión”.

“Hazlo ahora y después te explico”.

Precisamente en esos momentos es cuando el protocolo debe funcionar.

Palabra clave entre directivos

Puedes establecer una palabra o frase de verificación que solo conozcan determinados integrantes del equipo directivo.

No es una solución infalible, pero puede convertirse en una capa adicional de verificación cuando una solicitud financiera se realiza por teléfono o videollamada.

La clave es que no sea algo público, obvio o fácilmente deducible.

Capacitación de colaboradores

Capacita especialmente a las personas que manejan pagos, nóminas, cuentas bancarias y operaciones financieras.

Enséñales que la autoridad aparente de quien solicita una transferencia no es suficiente.

Tampoco lo es la urgencia.

Ni una videollamada.

Ni una voz perfectamente reconocible.

Tus colaboradores deben saber que tienen permiso para detener una operación y verificarla, incluso cuando la persona que está solicitando la transferencia sea aparentemente un alto directivo.

Tu empresa necesita una nueva definición de confianza

Durante mucho tiempo, la confianza digital se construyó alrededor de una idea sencilla:

“Si veo a la persona y escucho su voz, sé que es ella”.

Esa regla ya no funciona.

Hoy puedes ver el rostro de alguien que no está realmente ahí.

Puedes escuchar una voz que fue clonada.

Puedes recibir una videollamada de una persona que, en realidad, nunca realizó esa llamada.

Y puedes terminar autorizando una transferencia millonaria creyendo que estás siguiendo una instrucción legítima.

Por eso, la ciberseguridad de tu empresa ya no depende únicamente de tu proveedor de TI.

También depende de que la persona en contabilidad sepa que puede, y debe, colgar el teléfono y verificar antes de mover un solo peso.

Sin importar quién esté al otro lado.

Sin importar qué tan convincente sea la voz.

Sin importar qué tan realista parezca el video.

Sin importar cuánta presión exista para actuar inmediatamente.

Porque en 2026, ver y escuchar ya no es suficiente para confiar.

Si quieres revisar con un especialista qué protocolos de verificación tiene hoy tu empresa frente a este tipo de fraude y qué tan expuesta está tu operación financiera, con gusto lo platicamos.

Una política de verificación bien diseñada puede costarte una tarde de trabajo.

Un fraude como el de Arup puede costarte millones.

La pregunta ya no es si un deepfake puede engañar a alguien de tu empresa.

La pregunta es si tu empresa tiene un protocolo que funcione cuando ocurra.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Tu director financiero te llamó por videollamada y autorizó el pago. El problema es que no era él se publicó primero en Care Telecom.

Si una de las “Big Four” —las cuatro firmas de auditoría y consultoría más grandes y mejor blindadas del planeta— puede terminar con datos fiscales de sus clientes en manos de un grupo de extorsión, ¿qué posibilidades reales tiene tu empresa si sigue creyendo que “a nosotros no nos va a pasar”?

El caso que debería quitarte el sueño (en el buen sentido)

El 17 de julio de 2026, Ernst & Young (EY) confirmó ante sus clientes una brecha de datos que comenzó meses antes: entre el 28 de marzo y el 12 de abril de 2026, un atacante no autorizado tuvo acceso a la plataforma externa de tickets de soporte de la firma. EY detectó la actividad anómala hasta el 23 de abril, semanas después de que el intruso ya estuviera adentro.

Según BleepingComputer, los documentos comprometidos podían incluir información fiscal y financiera personal utilizada para preparar declaraciones de impuestos de clientes.

Diez días después, el 27 de julio de 2026, el grupo de extorsión ShinyHunters reivindicó el ataque y afirmó haber obtenido credenciales de EY mediante un ataque a la cadena de suministro —un proveedor externo comprometido— y utilizarlas para moverse dentro de Jira, GitHub y Azure de la firma. EY no había confirmado ni negado públicamente esa participación.

Para ser precisos: EY no confirmó el volumen exacto de información robada. Lo que sí confirmó es el mecanismo: credenciales comprometidas a través de un tercero, no un exploit sofisticado.

Una firma con miles de millones de dólares en presupuesto de ciberseguridad fue vulnerada por la puerta más antigua de todas.

El dato que cambia la conversación

El reporte State of Ransomware 2026 de Sophos, basado en 2,158 líderes de TI y seguridad encuestados, encontró que el 79% de los ataques de ransomware se originan por compromiso de identidad.

Los exploits técnicos sofisticados cayeron a apenas 18%.

Y el dato más inquietante: el 97% de las víctimas con credenciales comprometidas sí tenía MFA activada.

El problema fueron los huecos de cobertura, no la ausencia total de controles.

Esto cambia completamente la conversación.

Tener MFA no significa automáticamente que tu empresa esté protegida. Si existen cuentas privilegiadas sin MFA, aplicaciones heredadas, accesos de proveedores sin controles suficientes, credenciales reutilizadas o sistemas que quedaron fuera de las políticas de identidad, todavía tienes puertas abiertas.

No es un problema de gigantes ni de otros países

Según Tantius, citado por Excélsior el 19 de junio de 2026, más del 60% de las PyMEs mexicanas sufrió intentos de robo de datos o accesos no autorizados durante el último año, y solo el 40% tiene un plan formal de respuesta.

México es el segundo país más atacado de América Latina y los ciberdelitos crecieron 25% entre 2022 y 2024, de acuerdo con datos del INEGI.

El punto es sencillo: no necesitas ser una empresa multinacional para convertirte en un objetivo.

Si tu empresa tiene dinero, información financiera, datos personales, propiedad intelectual, acceso a sistemas de clientes o relaciones con proveedores, tienes algo que un atacante puede intentar monetizar.

Y muchas veces no necesitan entrar directamente a tu infraestructura.

Les basta con conseguir una identidad válida.

Por qué esto importa más que el rescate

El rescate promedio bajó a 698,000 dólares, pero el costo de recuperación subió a 1.7 millones de dólares por incidente.

Lo caro ya no es necesariamente el rescate.

Lo caro es detener la operación.

Es reconstruir sistemas.

Es recuperar información.

Es investigar qué ocurrió.

Es contratar especialistas.

Es responder ante clientes y proveedores.

Es enfrentar posibles consecuencias legales y regulatorias.

Y, sobre todo, es recuperar la confianza que tu empresa tardó años en construir.

Para un CEO, esta es quizá la parte más importante: un ciberataque ya no debe verse únicamente como un problema de TI. Es un problema de continuidad del negocio.

Qué hacer esta semana

No necesitas esperar a sufrir un incidente para empezar.

1. Revisa tu MFA

No te limites a preguntar si “tenemos MFA”.

Pregunta algo más incómodo:

¿En qué sistemas críticos todavía no tenemos MFA?

Revisa especialmente cuentas administrativas, VPN, accesos remotos, firewalls, aplicaciones críticas, sistemas heredados y cuentas privilegiadas.

2. Audita a tus proveedores

Haz una lista de todos los terceros que tienen acceso a tus sistemas o información.

Después pregunta:

• ¿Qué información pueden consultar?
• ¿A qué sistemas pueden entrar?
• ¿Qué cuentas utilizan?
• ¿Tienen MFA?
• ¿Sus accesos están limitados?
• ¿Cuándo fue la última vez que revisaste esos permisos?
• ¿Qué ocurre con sus accesos cuando termina la relación comercial?

Un proveedor no debería tener más acceso del que realmente necesita.

3. Revisa las identidades privilegiadas

Una cuenta con permisos administrativos comprometida puede convertirse en una llave maestra.

Identifica quién tiene privilegios elevados, elimina cuentas innecesarias y aplica el principio de mínimo privilegio.

4. Ten un plan de respuesta antes de necesitarlo

Cuando ocurre un ataque, no es momento de decidir quién debe actuar.

Tu empresa necesita saber de antemano:

• quién toma las decisiones;
• quién contiene el incidente;
• quién contacta a clientes y proveedores;
• quién se comunica con abogados y autoridades;
• quién gestiona la recuperación;
• y quién tiene la autoridad para detener operaciones si es necesario.

Un plan que nunca has probado es solo un documento.

La pregunta que deberías hacerte hoy

No preguntes:

“¿Qué tan difícil sería hackear nuestra empresa?”

Pregunta:

“¿Qué pasaría si mañana un atacante consiguiera las credenciales de una persona que ya tiene acceso?”

Esa pregunta cambia la perspectiva.

Porque quizá tu firewall está actualizado.

Quizá tienes antivirus.

Quizá tienes MFA.

Quizá haces respaldos.

Pero si una identidad comprometida todavía puede abrir una puerta que nadie está vigilando, tu empresa sigue teniendo un riesgo importante.

El caso de EY no demuestra que ninguna empresa pueda protegerse.

Demuestra algo mucho más incómodo:

que incluso las empresas con enormes recursos de ciberseguridad pueden tener una puerta abierta donde menos lo esperan.

Y si eso puede pasarle a una de las firmas más grandes del mundo, vale la pena preguntarte:

¿cuántas puertas abiertas tiene hoy tu empresa?

Si quieres una evaluación honesta de los huecos de identidad y acceso en tu empresa, con gusto lo platicamos.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Le robaron las llaves a EY: cómo el robo de credenciales puede abrir la puerta de tu empresa se publicó primero en Care Telecom.