Es la respuesta que casi todo dueño de negocio da cuando le preguntas qué pasaría si el ransomware le apagara los sistemas mañana: “No hay problema, tenemos respaldos”.

Es también, según la evidencia más reciente de la industria, una de las suposiciones más peligrosas que puede sostener una empresa hoy.

Porque los atacantes ya lo saben, y por eso ya no solo cifran tu información: van primero por tus copias de seguridad.

El respaldo ya no es tu salvavidas automático

Según datos de investigación de Veeam, uno de los proveedores de software de respaldo más usados del mundo, presentados en julio de 2025 y todavía considerados una referencia de la industria en 2026, el 89% de los ataques de ransomware del último año tuvieron como objetivo directo el repositorio de respaldos de la víctima, no solo sus archivos de trabajo.

Y no es un intento fallido: en una de cada tres ocasiones, los atacantes lograron modificar o eliminar esas copias de seguridad antes de que la empresa pudiera utilizarlas.

El mismo análisis encontró que el 69% de las empresas sufrió al menos un ataque de ransomware en el último año y que, de esas empresas, el 69% volvió a ser atacada, muchas veces por el mismo grupo criminal.

La ventana entre que el atacante entra al sistema, roba información y entrega la nota de rescate se comprimió a apenas 24 horas.

¿Por qué los criminales atacan primero los respaldos?

Porque saben exactamente lo mismo que tú: si puedes restaurar tus sistemas desde una copia limpia, no tienes ninguna razón para pagarles.

Destruir o corromper esas copias antes de exigir el rescate no es un efecto secundario del ataque.

Es la estrategia central.

El dato que debería incomodar incluso a quien “ya tiene todo resuelto”

El Data Trust and Resilience Report 2026 de Veeam, publicado el 14 de abril de 2026 con más de 900 líderes de TI, seguridad y riesgo encuestados a nivel global, encontró una brecha enorme entre la confianza y la realidad.

El 90% de las organizaciones dijo confiar en su capacidad para recuperarse de un incidente cibernético, pero solo el 28% logró recuperar completamente sus datos después de un ataque real.

El 44% recuperó menos del 75% de la información afectada, y la tasa promedio de recuperación entre todas las víctimas encuestadas fue de apenas 72%.

Traducido a algo concreto: si tu empresa depende de facturas, historiales de clientes, inventarios o expedientes, un 72% de recuperación promedio significa que casi tres de cada diez registros podrían no volver jamás, incluso si “sí tenías respaldos”.

El mismo reporte encontró que las organizaciones que aumentaron su inversión en ciberseguridad durante el último año lograron una recuperación completa en el 40% de los casos, contra apenas 16% entre las que no invirtieron más.

La pregunta que casi ninguna empresa mexicana se ha hecho

No existe todavía una cifra pública específica sobre qué porcentaje de las empresas mexicanas ha probado —de verdad, restaurando datos reales— sus propios respaldos.

Esa ausencia de datos no es casualidad: probar una restauración completa requiere tiempo, disciplina y personal técnico dedicado, recursos que suelen ser de los más escasos en una empresa mediana o pequeña.

Lo que sí sabemos, por los datos globales de Veeam, es que tener un respaldo sin haberlo probado nunca es estadísticamente casi lo mismo que no tenerlo.

Y aquí está el problema.

Puedes tener terabytes de información almacenados en servidores, discos o servicios en la nube. Puedes pagar todos los meses por una solución de backup. Puedes incluso recibir reportes que indiquen que las copias se están realizando correctamente.

Pero eso no responde la pregunta más importante:

¿Puedes recuperar tu empresa cuando realmente lo necesites?

Por qué “tenemos un backup en la nube” no es una respuesta completa

Muchas empresas confunden tener un respaldo con tener una estrategia de respaldo.

Un archivo copiado a un disco externo conectado permanentemente a la misma red infectada no es una protección real.

Una carpeta sincronizada en la nube sin control de versiones tampoco sirve de mucho si el archivo cifrado se sincroniza automáticamente sobre el archivo bueno.

La diferencia entre sobrevivir un ataque de ransomware y sufrir una interrupción capaz de poner en riesgo la operación de tu empresa casi siempre está en detalles como estos.

Tu estrategia de respaldo debe considerar, entre otras cosas:

• Dónde se almacenan tus copias.
• Si están aisladas de tu red principal.
• Si un atacante podría eliminarlas o modificarlas.
• Cuántas versiones históricas conservas.
• Qué tan rápido puedes restaurarlas.
• Si has probado una recuperación completa.
• Qué información es crítica para mantener operando tu empresa.
• Cuánto tiempo puede permanecer detenida tu operación antes de generar pérdidas graves.

Porque un backup que nunca has restaurado es, en realidad, una promesa.

Y durante un ataque de ransomware no quieres descubrir que esa promesa era falsa.

La pregunta que vale la pena hacerte esta semana

La pregunta no es si tu empresa tiene respaldos.

La pregunta es:

¿Tus respaldos sobrevivirían al mismo ataque que está diseñado específicamente para destruirlos primero?

Si mañana el ransomware cifra tus servidores, elimina tus respaldos y deja fuera de operación tus sistemas críticos, ¿cuánto tiempo tardarías realmente en volver a operar?

¿Horas?

¿Días?

¿Semanas?

¿Tendrías que pagar?

¿Y cuánto le costaría a tu empresa cada hora sin operar?

Ese es el verdadero valor de una estrategia de respaldo: no cuánto almacenamiento tienes, sino qué tan rápido y completamente puedes recuperar tu negocio.

Si quieres revisar qué tan sólida es realmente tu estrategia de respaldo y recuperación, con gusto lo platicamos.

Una prueba de restauración bien hecha puede tomar unas horas.

Descubrir que tus respaldos fallaron durante una crisis real puede costarte la empresa completa.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada “Tenemos respaldos, estamos tranquilos”: el error que puede dejar a tu empresa sin datos se publicó primero en Care Telecom.

Viste su cara. Escuchaste su voz. Reconociste su forma de hablar, hasta esa muletilla que usa cuando está apurado. Autorizaste la transferencia porque, literalmente, lo viste con tus propios ojos dándote la instrucción.

Y aun así, no era él.

Bienvenido a una amenaza de ciberseguridad que en 2026 ya no suena a ciencia ficción: el fraude corporativo con voz y video clonados por inteligencia artificial.

El caso que ya pasó y que puede volver a pasarte a ti

En 2024, la firma británica de ingeniería Arup vivió exactamente ese escenario. Un colaborador en la oficina de Hong Kong participó en una videollamada con quienes parecían ser directivos de la empresa. Los vio, los escuchó y reconoció sus rostros.

Siguiendo sus instrucciones, autorizó transferencias que terminaron costándole a la compañía aproximadamente 25 millones de dólares.

Los “directivos” que aparecían en pantalla eran, en realidad, réplicas hiperrealistas generadas con inteligencia artificial.

El caso se convirtió en uno de los ejemplos más conocidos de hasta dónde puede llegar la tecnología de deepfake cuando se combina con ingeniería social y fraude financiero.

Y lo más importante es esto: no necesitas ser una empresa tecnológica para estar expuesto.

Si tu empresa realiza transferencias, maneja cuentas bancarias, procesa nóminas o recibe instrucciones financieras por teléfono, correo electrónico o videollamada, este riesgo también puede alcanzarte.

Por qué tu instinto ya no basta para detectarlo

Durante años, una de las principales recomendaciones frente a una suplantación fue algo tan sencillo como “fíjate bien”.

¿La voz suena extraña?
¿El rostro se ve raro?
¿La persona habla de una manera diferente?
¿Hay algo que no te parece normal?

El problema es que esa estrategia está perdiendo efectividad.

El Reporte de Deepfakes 2026 de Veriff, publicado en julio de 2026 con participantes de Estados Unidos, Reino Unido y Brasil, midió la capacidad real de las personas para distinguir entre contenido auténtico y contenido generado artificialmente.

Los resultados son preocupantes: la capacidad para detectar deepfakes estuvo apenas por encima del nivel del azar. En Estados Unidos, siete de cada diez participantes identificaron incorrectamente un video deepfake como auténtico en una de las pruebas.

Y hay otro dato todavía más preocupante: algunas personas tienen una baja capacidad para detectar un deepfake, pero al mismo tiempo tienen una alta confianza en su propio juicio.

Ese es precisamente el escenario que buscan los atacantes.

No necesitan engañar a todo tu equipo.

Necesitan convencer a una sola persona.

Y si esa persona tiene autorización para mover grandes cantidades de dinero, el impacto puede ser enorme.

Veriff también encontró que el fraude con deepfakes puede generar pérdidas importantes por incidente, especialmente en sectores financieros. El patrón que empieza a observarse es claro: bajo volumen, alto valor.

Los atacantes no necesariamente buscan engañar a miles de personas.

Buscan encontrar a la persona correcta, en el momento correcto, con la historia correcta y con una transferencia suficientemente grande.

La velocidad también juega a favor del atacante

A esto se suma otro elemento que muchas empresas todavía subestiman: la velocidad.

Una llamada urgente.

Una transferencia que “tiene que salir hoy”.

Un proveedor que cambió de cuenta bancaria.

Un supuesto director general que está en una reunión y necesita que alguien del área financiera actúe inmediatamente.

Cuando existe presión de tiempo, tu capacidad para cuestionar lo que está ocurriendo disminuye.

Kaspersky ha documentado que una parte importante de las víctimas de determinados fraudes entrega dinero o información personal durante los primeros minutos del contacto.

Y esto tiene sentido desde la perspectiva del atacante.

Mientras menos tiempo tengas para detenerte, colgar y verificar por otro medio, más posibilidades existen de que actúes antes de darte cuenta del engaño.

La velocidad, en otras palabras, también es un arma.

Lo que sí sabemos —y lo que todavía no— sobre México

Siendo honestos, todavía no existen cifras públicas y verificables que permitan determinar con precisión cuánto dinero están perdiendo las empresas mexicanas específicamente por fraudes realizados mediante deepfakes.

Eso no significa que el problema no exista.

Significa que todavía no tenemos suficiente información pública para dimensionarlo correctamente.

Organizaciones empresariales en México ya han señalado el fraude mediante inteligencia artificial y los deepfakes como una amenaza emergente para las empresas.

Además, organismos como el FBI, CISA y NIST han emitido advertencias relacionadas con el uso malicioso de inteligencia artificial y las nuevas técnicas de suplantación.

El mensaje es claro: las empresas necesitan fortalecer sus procesos internos de verificación y capacitar a sus colaboradores.

La ausencia de una cifra mexicana exacta no debería darte tranquilidad.

Al contrario.

Puede ser una señal de que el fenómeno todavía no se está midiendo ni reportando como debería.

La defensa no es tecnológica. Es de protocolo.

Aquí está la parte más importante de todo esto:

Ningún antivirus, firewall o filtro de correo puede detener por sí solo este tipo de fraude.

¿Por qué?

Porque el atacante no necesariamente está intentando entrar a tu red.

Está intentando entrar en tu confianza.

Puede utilizar una voz que reconoces.

Una cara que conoces.

Una forma de hablar familiar.

El nombre de tu director general.

Información real sobre tu empresa.

Y una situación suficientemente urgente como para que no tengas tiempo de cuestionarla.

Por eso, una de las defensas más importantes es establecer un protocolo de verificación humano, sencillo y no negociable.

Verificación por un segundo canal

Ninguna instrucción relacionada con pagos, transferencias o cambios de datos bancarios debería ejecutarse sin una segunda verificación mediante un canal diferente y previamente conocido.

Si tu director general te llama y te pide realizar una transferencia urgente, no basta con reconocer su voz o verlo en una videollamada.

Cuelga.

Y llámalo tú al número que ya tenías guardado.

No utilices el número que apareció en pantalla.

No respondas al mismo correo.

No continúes la conversación por el mismo canal.

Utiliza un medio independiente para confirmar que realmente fue él quien hizo la solicitud.

Doble visto bueno obligatorio

Define un sistema de doble autorización para cualquier transferencia que supere un monto determinado.

Y hazlo sin excepciones.

Ni siquiera cuando alguien diga:

“Es urgente”.

“Lo necesita el director”.

“No podemos esperar”.

“Estoy en una reunión”.

“Hazlo ahora y después te explico”.

Precisamente en esos momentos es cuando el protocolo debe funcionar.

Palabra clave entre directivos

Puedes establecer una palabra o frase de verificación que solo conozcan determinados integrantes del equipo directivo.

No es una solución infalible, pero puede convertirse en una capa adicional de verificación cuando una solicitud financiera se realiza por teléfono o videollamada.

La clave es que no sea algo público, obvio o fácilmente deducible.

Capacitación de colaboradores

Capacita especialmente a las personas que manejan pagos, nóminas, cuentas bancarias y operaciones financieras.

Enséñales que la autoridad aparente de quien solicita una transferencia no es suficiente.

Tampoco lo es la urgencia.

Ni una videollamada.

Ni una voz perfectamente reconocible.

Tus colaboradores deben saber que tienen permiso para detener una operación y verificarla, incluso cuando la persona que está solicitando la transferencia sea aparentemente un alto directivo.

Tu empresa necesita una nueva definición de confianza

Durante mucho tiempo, la confianza digital se construyó alrededor de una idea sencilla:

“Si veo a la persona y escucho su voz, sé que es ella”.

Esa regla ya no funciona.

Hoy puedes ver el rostro de alguien que no está realmente ahí.

Puedes escuchar una voz que fue clonada.

Puedes recibir una videollamada de una persona que, en realidad, nunca realizó esa llamada.

Y puedes terminar autorizando una transferencia millonaria creyendo que estás siguiendo una instrucción legítima.

Por eso, la ciberseguridad de tu empresa ya no depende únicamente de tu proveedor de TI.

También depende de que la persona en contabilidad sepa que puede, y debe, colgar el teléfono y verificar antes de mover un solo peso.

Sin importar quién esté al otro lado.

Sin importar qué tan convincente sea la voz.

Sin importar qué tan realista parezca el video.

Sin importar cuánta presión exista para actuar inmediatamente.

Porque en 2026, ver y escuchar ya no es suficiente para confiar.

Si quieres revisar con un especialista qué protocolos de verificación tiene hoy tu empresa frente a este tipo de fraude y qué tan expuesta está tu operación financiera, con gusto lo platicamos.

Una política de verificación bien diseñada puede costarte una tarde de trabajo.

Un fraude como el de Arup puede costarte millones.

La pregunta ya no es si un deepfake puede engañar a alguien de tu empresa.

La pregunta es si tu empresa tiene un protocolo que funcione cuando ocurra.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Tu director financiero te llamó por videollamada y autorizó el pago. El problema es que no era él se publicó primero en Care Telecom.

Si una de las “Big Four” —las cuatro firmas de auditoría y consultoría más grandes y mejor blindadas del planeta— puede terminar con datos fiscales de sus clientes en manos de un grupo de extorsión, ¿qué posibilidades reales tiene tu empresa si sigue creyendo que “a nosotros no nos va a pasar”?

El caso que debería quitarte el sueño (en el buen sentido)

El 17 de julio de 2026, Ernst & Young (EY) confirmó ante sus clientes una brecha de datos que comenzó meses antes: entre el 28 de marzo y el 12 de abril de 2026, un atacante no autorizado tuvo acceso a la plataforma externa de tickets de soporte de la firma. EY detectó la actividad anómala hasta el 23 de abril, semanas después de que el intruso ya estuviera adentro.

Según BleepingComputer, los documentos comprometidos podían incluir información fiscal y financiera personal utilizada para preparar declaraciones de impuestos de clientes.

Diez días después, el 27 de julio de 2026, el grupo de extorsión ShinyHunters reivindicó el ataque y afirmó haber obtenido credenciales de EY mediante un ataque a la cadena de suministro —un proveedor externo comprometido— y utilizarlas para moverse dentro de Jira, GitHub y Azure de la firma. EY no había confirmado ni negado públicamente esa participación.

Para ser precisos: EY no confirmó el volumen exacto de información robada. Lo que sí confirmó es el mecanismo: credenciales comprometidas a través de un tercero, no un exploit sofisticado.

Una firma con miles de millones de dólares en presupuesto de ciberseguridad fue vulnerada por la puerta más antigua de todas.

El dato que cambia la conversación

El reporte State of Ransomware 2026 de Sophos, basado en 2,158 líderes de TI y seguridad encuestados, encontró que el 79% de los ataques de ransomware se originan por compromiso de identidad.

Los exploits técnicos sofisticados cayeron a apenas 18%.

Y el dato más inquietante: el 97% de las víctimas con credenciales comprometidas sí tenía MFA activada.

El problema fueron los huecos de cobertura, no la ausencia total de controles.

Esto cambia completamente la conversación.

Tener MFA no significa automáticamente que tu empresa esté protegida. Si existen cuentas privilegiadas sin MFA, aplicaciones heredadas, accesos de proveedores sin controles suficientes, credenciales reutilizadas o sistemas que quedaron fuera de las políticas de identidad, todavía tienes puertas abiertas.

No es un problema de gigantes ni de otros países

Según Tantius, citado por Excélsior el 19 de junio de 2026, más del 60% de las PyMEs mexicanas sufrió intentos de robo de datos o accesos no autorizados durante el último año, y solo el 40% tiene un plan formal de respuesta.

México es el segundo país más atacado de América Latina y los ciberdelitos crecieron 25% entre 2022 y 2024, de acuerdo con datos del INEGI.

El punto es sencillo: no necesitas ser una empresa multinacional para convertirte en un objetivo.

Si tu empresa tiene dinero, información financiera, datos personales, propiedad intelectual, acceso a sistemas de clientes o relaciones con proveedores, tienes algo que un atacante puede intentar monetizar.

Y muchas veces no necesitan entrar directamente a tu infraestructura.

Les basta con conseguir una identidad válida.

Por qué esto importa más que el rescate

El rescate promedio bajó a 698,000 dólares, pero el costo de recuperación subió a 1.7 millones de dólares por incidente.

Lo caro ya no es necesariamente el rescate.

Lo caro es detener la operación.

Es reconstruir sistemas.

Es recuperar información.

Es investigar qué ocurrió.

Es contratar especialistas.

Es responder ante clientes y proveedores.

Es enfrentar posibles consecuencias legales y regulatorias.

Y, sobre todo, es recuperar la confianza que tu empresa tardó años en construir.

Para un CEO, esta es quizá la parte más importante: un ciberataque ya no debe verse únicamente como un problema de TI. Es un problema de continuidad del negocio.

Qué hacer esta semana

No necesitas esperar a sufrir un incidente para empezar.

1. Revisa tu MFA

No te limites a preguntar si “tenemos MFA”.

Pregunta algo más incómodo:

¿En qué sistemas críticos todavía no tenemos MFA?

Revisa especialmente cuentas administrativas, VPN, accesos remotos, firewalls, aplicaciones críticas, sistemas heredados y cuentas privilegiadas.

2. Audita a tus proveedores

Haz una lista de todos los terceros que tienen acceso a tus sistemas o información.

Después pregunta:

• ¿Qué información pueden consultar?
• ¿A qué sistemas pueden entrar?
• ¿Qué cuentas utilizan?
• ¿Tienen MFA?
• ¿Sus accesos están limitados?
• ¿Cuándo fue la última vez que revisaste esos permisos?
• ¿Qué ocurre con sus accesos cuando termina la relación comercial?

Un proveedor no debería tener más acceso del que realmente necesita.

3. Revisa las identidades privilegiadas

Una cuenta con permisos administrativos comprometida puede convertirse en una llave maestra.

Identifica quién tiene privilegios elevados, elimina cuentas innecesarias y aplica el principio de mínimo privilegio.

4. Ten un plan de respuesta antes de necesitarlo

Cuando ocurre un ataque, no es momento de decidir quién debe actuar.

Tu empresa necesita saber de antemano:

• quién toma las decisiones;
• quién contiene el incidente;
• quién contacta a clientes y proveedores;
• quién se comunica con abogados y autoridades;
• quién gestiona la recuperación;
• y quién tiene la autoridad para detener operaciones si es necesario.

Un plan que nunca has probado es solo un documento.

La pregunta que deberías hacerte hoy

No preguntes:

“¿Qué tan difícil sería hackear nuestra empresa?”

Pregunta:

“¿Qué pasaría si mañana un atacante consiguiera las credenciales de una persona que ya tiene acceso?”

Esa pregunta cambia la perspectiva.

Porque quizá tu firewall está actualizado.

Quizá tienes antivirus.

Quizá tienes MFA.

Quizá haces respaldos.

Pero si una identidad comprometida todavía puede abrir una puerta que nadie está vigilando, tu empresa sigue teniendo un riesgo importante.

El caso de EY no demuestra que ninguna empresa pueda protegerse.

Demuestra algo mucho más incómodo:

que incluso las empresas con enormes recursos de ciberseguridad pueden tener una puerta abierta donde menos lo esperan.

Y si eso puede pasarle a una de las firmas más grandes del mundo, vale la pena preguntarte:

¿cuántas puertas abiertas tiene hoy tu empresa?

Si quieres una evaluación honesta de los huecos de identidad y acceso en tu empresa, con gusto lo platicamos.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Le robaron las llaves a EY: cómo el robo de credenciales puede abrir la puerta de tu empresa se publicó primero en Care Telecom.

Esta semana, dos instituciones grandes de un mismo país cayeron ante el mismo tipo de amenaza, con apenas dos semanas de diferencia. Pero la parte que debería quitarte el sueño no es el tamaño de las víctimas: es la puerta que usó el atacante para entrar a la primera de ellas. No fue un empleado descuidado de la propia empresa. Fue un proveedor externo con permisos que nunca debió tener.

El caso: Ecopetrol y “The Gentlemen”

El 17 de julio de 2026, Ecopetrol, la petrolera estatal más grande de Colombia, sufrió un incidente de ciberseguridad: un actor externo intentó sustraer información de la compañía. Según las reconstrucciones oficiales del caso, el atacante no vulneró directamente los sistemas de Ecopetrol. Se infiltró a través de un tercero con privilegios administrativos, es decir, un proveedor o contratista que tenía acceso de alto nivel a la infraestructura tecnológica de la empresa. Desde ahí, se movió dentro de los sistemas de la petrolera y extrajo información a través del Directorio Activo, el sistema que controla quién tiene acceso a qué dentro de una red corporativa.

El 27 de julio, Ecopetrol confirmó que los atacantes ya habían publicado información copiada ilegalmente de 15 empresas pertenecientes al Grupo Ecopetrol. El grupo de ransomware “The Gentlemen” se atribuyó la responsabilidad. Según el Grupo de Respuesta a Emergencias Cibernéticas de Colombia (ColCERT), esta organización criminal está vinculada con más de 200 ataques en 50 países hasta abril de 2026 y concentra cerca del 10% de todos los ataques de ransomware registrados en el mundo, ubicándose como el segundo grupo más activo del planeta, solo detrás de Qilin. No es un actor improvisado: es una operación criminal de escala industrial.

Y días después, ocurrió de nuevo

El 3 de agosto de 2026, apenas unos días después, el Ministerio de Justicia de Colombia confirmó que fue víctima de un ataque cibernético con un virus tipo ransomware, que comprometió parte de su infraestructura tecnológica y afectó la disponibilidad de varios de sus servicios. El incidente ocurrió justo en medio de la transición presidencial del país. La ministra encargada aseguró que los protocolos de seguridad se activaron de inmediato para contener la situación y remarcó algo que toda empresa debería escuchar: ninguna organización está exenta de enfrentar este tipo de amenazas.

Por qué esto le importa a tu empresa

Es fácil pensar que esto es un problema de gobiernos y petroleras de otro país. Pero el mecanismo de entrada —un proveedor externo con acceso privilegiado que se convierte, sin que la empresa lo note, en la puerta de entrada del atacante— es exactamente el mismo riesgo que enfrenta cualquier empresa mexicana que trabaja con un despacho contable externo, un proveedor de sistemas, un desarrollador freelance o un servicio de nómina en la nube. Y los números confirman que este no es un riesgo menor.

• Según el Reporte de Investigaciones de Brechas de Datos (DBIR) de Verizon, cerca del 30% de las filtraciones de datos involucran a un tercero, una cifra que se duplicó en solo un año.
• El costo económico global de los ataques a la cadena de suministro pasó de 46 mil millones de dólares en 2023 a 60 mil millones en 2025, y se proyecta que alcance los 138 mil millones para 2031, según el Foro Económico Mundial.
• Las organizaciones grandes trabajan, en promedio, con cerca de 100 proveedores y pueden superar los 130 terceros con acceso a sus sistemas, frente a unos 50 en empresas más pequeñas. Eso no significa que tengas menos riesgo, sino que normalmente cuentas con menos recursos para vigilarlos a todos.
• El 46% de los líderes de ciberseguridad identifica a los proveedores y a la cadena de suministro como una de sus principales vulnerabilidades, un porcentaje que cobra aún más importancia en el contexto mexicano de nearshoring, donde cada vez más empresas dependen de terceros para operar.

La lección que ya no puedes seguir posponiendo

El caso de Ecopetrol deja una lección incómoda: puedes tener controles internos impecables y, aun así, sufrir una brecha grave porque el proveedor al que le diste acceso administrativo no los tenía. La confianza que depositas en un tercero nunca debería ser un cheque en blanco.

Esto es lo que necesitas revisar esta misma semana si trabajas con proveedores externos —y prácticamente todas las empresas lo hacen, ya sea con el contador, quien administra el sitio web o quien da soporte técnico

1. Audita el nivel de acceso que tiene cada proveedor. Si un despacho contable o un desarrollador tiene acceso de administrador a tus sistemas, pregúntate si realmente lo necesita para hacer su trabajo o si simplemente heredó esos permisos hace años y nadie volvió a revisarlos.

2. Aplica el principio de mínimo privilegio. Ningún proveedor externo debería tener más acceso del estrictamente necesario para realizar su trabajo. Un diseñador de tu página web no necesita entrar a tu sistema de nómina.

3. Exige evidencia de ciberseguridad a tus proveedores críticos. No te quedes solo con referencias comerciales. Pregunta si utilizan autenticación multifactor, si cuentan con políticas de seguridad documentadas y si han sufrido incidentes anteriormente.

4. Revisa y elimina accesos de proveedores que ya no trabajan contigo. Un proveedor con el que dejaste de colaborar hace un año, pero cuyas credenciales siguen activas, representa una puerta abierta que nadie está vigilando.

5. Incluye a tus proveedores en tu plan de respuesta a incidentes. Si un ataque entra por un tercero, necesitas saber exactamente a quién contactar y qué acciones ejecutar desde el primer minuto.

El orgullo de proteger lo que tus clientes te confiaron, incluso cuando el error no fue tuyo

Cuando un cliente confía en tu empresa, no distingue entre “la brecha fue culpa nuestra” y “la brecha fue culpa de un proveedor”. Para él, la responsabilidad sigue siendo tuya.

Por eso, controlar quién tiene acceso a tus sistemas no es un trámite administrativo. Es una extensión de la promesa que haces cada vez que alguien confía sus datos, su operación o su negocio en tu empresa.

La pregunta que deja este caso no es si confías en tus proveedores —es evidente que sí, de otra manera no trabajarías con ellos—. La verdadera pregunta es:

¿Sabes exactamente qué nivel de acceso tiene cada uno de tus proveedores a tus sistemas en este momento y desde cuándo nadie lo revisa?

Si no tienes una respuesta clara, este es el momento de buscar a un especialista en ciberseguridad que audite los accesos de tus proveedores antes de que uno de ellos se convierta, sin que lo sepas, en la puerta de entrada del próximo ataque.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada El mayor riesgo no está dentro de tu empresa: Está en los proveedores que tienen acceso a tus sistemas se publicó primero en Care Telecom.

Esta semana se documentó el tercer caso en apenas un mes de un ataque cibernético automatizado por agentes de inteligencia artificial. Esta vez el blanco no fue una empresa tecnológica: fue nada menos que el Ministerio de Finanzas de Tailandia. Pero lo más revelador del caso no es la sofisticación del ataque. Es cómo se descubrió. Y ahí está la lección que toda empresa mexicana necesita escuchar.

El caso: Hermes, el agente que trabajó solo

Entre el 9 y el 13 de julio de 2026, los investigadores de la firma de inteligencia de amenazas Hunt.io y el especialista en ciberseguridad Bob Diachenko encontraron algo inusual: tres directorios web expuestos públicamente en un servidor alojado en Hong Kong, con casi 600 archivos y 470 megabytes de herramientas de ataque, credenciales robadas y registros de actividad. Todo apuntaba a una operación activa dirigida contra el Ministerio de Finanzas de Tailandia, la dependencia que supervisa las finanzas públicas, la recaudación fiscal y el tesoro nacional de ese país.

Lo que hizo único a este caso fue el uso de Hermes, un agente de inteligencia artificial de código abierto desarrollado por Nous Research, configurado en lo que se conoce como “modo YOLO”, una función documentada por los propios desarrolladores, pensada exclusivamente para entornos controlados de prueba, que elimina el paso de aprobación humana antes de ejecutar comandos riesgosos. El operador simplemente desactivó esa capa de seguridad y dejó que el agente actuara por su cuenta.

Con esa configuración, Hermes escaneó de forma autónoma los sistemas del ministerio, escaló privilegios, se desplazó entre hosts internos y catalogó cientos de archivos sensibles —incluyendo evaluaciones de desempeño y expedientes de personal que datan desde 2012— sin que un humano tuviera que aprobar cada paso individual. Los investigadores también hallaron un implante previamente desconocido, apodado “Hades” por el propio atacante, listo para desplegarse.

Lo más inquietante: nadie sabe cómo entraron

Hasta el momento de esta publicación, ni los investigadores ni el propio Ministerio de Finanzas de Tailandia han podido determinar cómo obtuvo acceso inicial el atacante. Es decir: se sabe exactamente qué hizo el agente de inteligencia artificial una vez adentro, pero se ignora por completo la puerta que usó para entrar. Eso, por sí solo, ya es una lección poderosa.

La ironía que debería hacerte reflexionar

Aquí está la parte más reveladora de todo el caso: este ataque no fue descubierto porque el ministerio detectara una intrusión. Fue descubierto porque el propio atacante cometió el mismo error de seguridad básico que cometen muchas empresas: dejó un servidor con una configuración descuidada, expuesto públicamente en internet, con todas sus herramientas, credenciales y registros a la vista de cualquiera.

El criminal que automatizó un ataque sofisticado con inteligencia artificial fue, al final, derrotado por un descuido elemental de configuración.

Por qué esto le importa a tu empresa

Es fácil pensar que un ataque contra un ministerio de finanzas extranjero no tiene nada que ver con tu empresa. Pero este es ya el tercer caso documentado en un solo mes de un ataque impulsado de principio a fin por agentes de inteligencia artificial autónomos.

La barrera técnica para lanzar intrusiones prolongadas y sofisticadas está colapsando: ya no hace falta un equipo de expertos. Basta con instalar una herramienta de código abierto, desactivar sus controles de seguridad y dejarla trabajar.

Y en México, esta tendencia ya tiene números propios. Según el más reciente análisis de amenazas para PyMEs de Kaspersky, entre enero y abril de 2026 sus soluciones detectaron más de 33,300 ciberataques contra PyMEs que se hacían pasar por herramientas populares de inteligencia artificial, casi cinco veces más que en todo 2025.

Es decir: la inteligencia artificial ya no es solo el arma del atacante; también se ha convertido en el disfraz preferido para engañar a los colaboradores de las empresas mexicanas.

Otros datos del panorama mexicano refuerzan la urgencia:

• El 83% de las organizaciones mexicanas sufrió al menos un ciberataque en los últimos 12 meses, por encima del promedio mundial del 70%.
• Apenas el 20% de las empresas mexicanas cuenta con especialistas en ciberseguridad y solo el 17% de las PyMEs implementa acciones concretas de prevención.
• Kaspersky bloqueó más de 40 millones de intentos de ataque dirigidos específicamente contra PyMEs mexicanas durante el último año.
• Según SILIKN, el 52.8% de las PyMEs mexicanas ya experimentó al menos un incidente cibernético y el 93.8% teme convertirse en blanco en los próximos meses.

La lección que ya no puedes seguir posponiendo

El caso de Hermes deja dos lecciones inseparables, y ambas aplican directamente a tu empresa.

1. La barrera para atacar ya casi no existe.

Cualquiera con acceso a un agente de IA de código abierto y la disposición de desactivar sus controles de seguridad puede sostener una intrusión prolongada sin supervisión humana constante. Esto significa que el volumen de intentos de ataque contra empresas de todos los tamaños seguirá creciendo.

2. La misma negligencia que expone a los criminales expone a las empresas.

El atacante de Hermes fue descubierto por dejar un servidor mal configurado y expuesto. Muchas empresas caen exactamente por el mismo tipo de descuido: bases de datos en la nube sin contraseña, paneles administrativos accesibles desde internet o respaldos sin cifrar en carpetas compartidas.

La diferencia es que, cuando le pasa a una empresa, no hay un investigador de ciberseguridad documentando el hallazgo; hay un delincuente aprovechándolo.

Cinco acciones concretas que puedes implementar

• Audita qué parte de tu infraestructura es visible desde internet. Herramientas gratuitas como Shodan permiten a cualquiera —incluidos los atacantes— identificar qué servidores, cámaras o paneles de tu empresa están expuestos.
• Desconfía de cualquier herramienta de inteligencia artificial no verificada que un colaborador quiera instalar o de la que reciba un enlace por correo. Hoy, la IA es uno de los señuelos de phishing que más está creciendo en México.
• No asumas que el punto de entrada fue algo sofisticado. Como ocurrió en el caso de Tailandia, muchas intrusiones exitosas comienzan con una contraseña reutilizada, un plugin sin actualizar o un puerto abierto por error.
• Registra y monitorea la actividad de tus sistemas críticos, aunque sea con herramientas básicas. Esa información puede marcar la diferencia para reconstruir un incidente y responder con rapidez.
• Apóyate en un especialista externo que revise periódicamente la configuración de tu infraestructura. Una revisión preventiva cuesta una fracción de lo que puede costar un incidente de seguridad.

El orgullo de no ser el eslabón más fácil

Cuando los delincuentes automatizan sus ataques con inteligencia artificial, la mejor defensa ya no consiste en competir con ellos en sofisticación tecnológica. Consiste en no convertirte en el objetivo más fácil de la lista.

Eso no requiere el presupuesto de una gran corporación. Requiere disciplina, buenas prácticas y una estrategia de ciberseguridad aplicada de forma constante.

La pregunta que deja este caso no es si algún día un agente de inteligencia artificial intentará entrar en los sistemas de tu empresa. Los datos muestran que probablemente ya lo ha intentado.

La verdadera pregunta es:

¿Qué tan expuesta está tu empresa hoy mismo en internet sin que tú lo sepas?

Si no tienes una respuesta clara, este es el momento de buscar a un especialista en ciberseguridad que evalúe qué tan visible es tu organización para quienes están buscando exactamente ese tipo de descuidos.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Un Agente de IA Atacó un Ministerio sin Supervisión… y el Error que lo Delató es el Mismo que Cometen Miles de Empresas se publicó primero en Care Telecom.

Imagina que un intruso entra a tu empresa un viernes por la noche y, durante todo el fin de semana, revisa cajones, prueba llaves, abre puertas internas y se mueve de oficina en oficina sin que nadie lo note… hasta que finalmente alguien lo detecta. Ahora imagina que ese intruso no es una persona: es un sistema de inteligencia artificial que ejecuta más de 17,000 acciones por sí solo, sin descansar y sin dudar. Eso fue exactamente lo que le pasó esta semana a una de las plataformas de inteligencia artificial más grandes del mundo. Y lo que la salvó de un desastre mayor deja una lección que cualquier empresa mexicana puede aplicar desde hoy.

El caso: Hugging Face bajo ataque de un agente autónomo

El 16 de julio de 2026, Hugging Face —el repositorio de modelos de inteligencia artificial de código abierto más grande del mundo, utilizado por desarrolladores en todo el planeta— reveló públicamente que su infraestructura de producción había sido vulnerada por un sistema de agentes de inteligencia artificial autónomos, sin que un humano dirigiera el ataque paso a paso.

El punto de entrada fue, irónicamente, algo tan cotidiano como un archivo subido a la plataforma: un conjunto de datos (dataset) malicioso que explotó dos fallas de seguridad en la tubería de procesamiento de la empresa: un cargador de datos con ejecución remota de código y una vulnerabilidad de inyección en la configuración del propio archivo. A partir de ahí, el agente escaló privilegios, recolectó credenciales de la nube y del clúster interno, y se movió lateralmente a través de varios clústeres de la infraestructura durante un solo fin de semana, registrando más de 17,000 acciones individuales.

Aquí está la parte que debería inquietarte: según reportó la propia empresa, la campaña fue ejecutada por “un marco de agente autónomo… realizando miles de acciones individuales a través de un enjambre de entornos aislados de corta duración”. No hubo, en ningún momento, un humano escribiendo comandos en tiempo real dentro del sistema comprometido.

La buena noticia: por qué Hugging Face no terminó en una catástrofe

A pesar de la magnitud del ataque, la empresa confirmó que no encontró evidencia de que el atacante hubiera alterado modelos públicos, conjuntos de datos o aplicaciones de cara al usuario, y que su cadena de suministro de software (imágenes de contenedores y paquetes publicados) se verificó limpia. El acceso no autorizado quedó limitado a un conjunto restringido de datos internos y algunas credenciales de servicio.

¿Por qué el daño fue contenido a pesar de 17,000 acciones de un agente que no duerme? La respuesta que dio la propia empresa es reveladora: contaba con sistemas de detección que enviaban alertas de alta severidad a los equipos de respuesta en cuestión de minutos. No fue la perfección técnica lo que evitó el desastre. Fue la velocidad de detección y contención.

Por qué esto le importa a tu empresa (aunque no tengas servidores de IA)

Es tentador pensar que esto es un problema exclusivo de gigantes tecnológicos. Pero la lección de fondo —la diferencia entre qué tan rápido ataca un adversario y qué tan rápido te das cuenta— es exactamente el mismo desafío que enfrenta cualquier empresa mexicana, sin importar si desarrolla modelos de IA o simplemente factura, administra información de clientes y opera todos los días.

Los números lo dejan claro:

• La ventana promedio de detección para brechas relacionadas con phishing es de 254 días, según datos de Kymatio 2026. Durante ese tiempo, un atacante puede moverse libremente dentro de una red sin que nadie lo note.
• El 60% de las pequeñas empresas cierra operaciones dentro de los seis meses posteriores a sufrir una brecha grave de seguridad, de acuerdo con datos de Verizon DBIR y Cisco citados por múltiples firmas del sector.
• El tiempo medio de detección en organizaciones con monitoreo gestionado (MDR) es de apenas 39 minutos, comparado con 390 minutos en empresas que dependen únicamente de monitoreo manual o de revisar alertas de forma ocasional.
• En ataques de compromiso de correo empresarial (BEC), el tiempo que un atacante permanece oculto dentro de la red disminuye de aproximadamente 24 días sin monitoreo gestionado a 24 minutos cuando existe un servicio MDR.
• Según el informe M-Trends 2026 de Mandiant, los atacantes ya operan a velocidad de máquina, con transiciones entre etapas del ataque de apenas 22 segundos.

En otras palabras: el adversario moderno —ya sea un ciberdelincuente apoyado por herramientas automatizadas o, como en este caso, un agente de inteligencia artificial completamente autónomo— se mueve en segundos y minutos. La mayoría de las empresas descubre que algo anda mal semanas o incluso meses después. Esa diferencia de velocidad puede ser la diferencia entre un incidente controlado y una crisis que comprometa la continuidad del negocio.

La lección que ya no puedes seguir posponiendo

Hugging Face no evitó el ataque. Nadie puede garantizar eso al cien por ciento, ni siquiera una de las compañías de inteligencia artificial más avanzadas del mundo.

Lo que sí logró fue evitar que el ataque se convirtiera en una catástrofe, gracias a cinco decisiones que cualquier empresa puede adaptar a su propia realidad.

1. Recibe alertas que lleguen a una persona real de inmediato.

No basta con instalar un antivirus. Necesitas que cualquier actividad sospechosa genere una alerta inmediata para alguien que pueda actuar, no un registro que permanezca semanas sin ser revisado.

2. Segmenta tus sistemas.

El hecho de que el atacante tuviera que desplazarse lateralmente entre clústeres demuestra la importancia de separar los sistemas críticos. Mantén aislados los servidores de contabilidad, nómina, información financiera y bases de datos de clientes del resto de la infraestructura.

3. Cambia constantemente las credenciales.

Hugging Face revocó y rotó todas las credenciales potencialmente comprometidas como parte de su respuesta inmediata. Ninguna contraseña, llave API o credencial privilegiada debería permanecer sin revisión durante largos periodos.

4. Valida cualquier archivo antes de procesarlo.

Todo comenzó con un archivo cargado por un usuario externo. Cada archivo, correo electrónico o integración de terceros representa una posible puerta de entrada si no existe un proceso adecuado de validación.

5. Ten un plan de respuesta antes de necesitarlo.

La velocidad con la que respondió Hugging Face no fue producto de la improvisación. Existía un procedimiento previamente definido para aislar sistemas, aplicar parches, revocar accesos, expulsar al atacante y recuperar la operación.

El verdadero objetivo no es ser invulnerable

Ninguna empresa —ni siquiera una de las organizaciones de inteligencia artificial más importantes del mundo— puede prometer que nunca sufrirá un ataque.

Lo que sí puedes controlar es qué tan rápido lo detectarás y qué tan rápido responderás.

Esa es la verdadera medida de la madurez en ciberseguridad y, al mismo tiempo, una de las mayores oportunidades que tienen hoy las empresas mexicanas para fortalecer su resiliencia sin realizar inversiones desproporcionadas.

La pregunta que deja este caso no es si tu empresa será blanco de un intento de intrusión. Los datos indican que probablemente ya lo ha sido.

La verdadera pregunta es esta:

Si un comportamiento anormal comenzara en tus sistemas hoy mismo, ¿lo descubrirías en minutos… o dentro de 254 días?

Si no tienes una respuesta clara, este es el momento de acercarte a un especialista en ciberseguridad que evalúe qué tan rápido podría detectar, contener y responder tu empresa ante un incidente real. Porque en la actualidad, la velocidad de respuesta ya no es una ventaja competitiva: es un requisito para sobrevivir.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Un ataque de IA autónoma ejecutó 17,000 acciones en un fin de semana: la lección que toda empresa mexicana debe aprender antes de ser la siguiente se publicó primero en Care Telecom.

Un empleado. Un clic. Siete millones de víctimas: la lección que toda PyME debe aprender ya

Piénsalo así: no hizo falta un ejército de hackers ni un software milagroso. Hizo falta una sola persona, cayendo en un solo engaño, una sola vez. Eso bastó para que casi siete millones de personas vieran expuesta la información de su licencia de conducir, su domicilio y, en algunos casos, hasta su número de seguridad social. Esta semana ese caso se confirmó públicamente, y la lección que deja aplica de forma casi literal a cualquier PyME mexicana que hoy guarda datos de identidad de sus clientes.

El caso: AssuranceAmerica y el costo real de “solo fue un empleado”

El 9 de julio de 2026, la aseguradora estadounidense AssuranceAmerica, con sede en Atlanta y operaciones en 14 estados a través de más de 9,500 agentes independientes, confirmó formalmente uno de los robos de datos más grandes del año: 6,998,886 personas vieron expuestos su nombre, información de contacto, número de licencia de conducir, datos de póliza de seguro automotriz, información de sus vehículos y de sus reclamaciones. Para un subconjunto de víctimas, también se filtraron números de seguridad social e identificación fiscal.

¿Cómo empezó todo? No con una vulnerabilidad técnica compleja ni con un exploit sofisticado. Empezó con un ataque dirigido —muy probablemente phishing— contra un solo colaborador de la empresa. Ese colaborador tenía credenciales de acceso a los sistemas internos. Los atacantes las robaron y entraron.

Aquí viene la parte que todo empresario debería subrayar en rojo: AssuranceAmerica detectó la actividad sospechosa el 17 de marzo de 2026, apenas 24 horas después de la intrusión inicial. Desactivó las credenciales comprometidas, cerró las sesiones no autorizadas y aisló los sistemas afectados casi de inmediato. Como respuesta técnica de contención, fue rápida y ejemplar.

Pero ahí no terminó la historia. La revisión forense de todo lo que los atacantes alcanzaron a copiar tardó tres meses en concluir —hasta el 15 de junio—. Las cartas de notificación a las víctimas comenzaron a enviarse hasta el 10 de julio: 115 días después de la detección inicial. Durante ese tiempo, millones de personas cuya información ya estaba en manos de criminales no tenían idea de que debían tomar precauciones.

Por qué esto no es “solo un problema de una aseguradora gringa”

Este incidente no está aislado. Forma parte de una ola creciente de robos de documentos de identidad registrados durante 2026: una dependencia gubernamental de Texas expuso al menos 3 millones de licencias de conducir y pasaportes; un sistema de check-in hotelero, una aplicación de transferencias de dinero, un proveedor de telefonía carcelaria y un servicio de visas del Reino Unido sufrieron filtraciones similares. Los criminales ya no solo buscan tarjetas de crédito que se cancelan en minutos: buscan documentos de identidad que siguen siendo útiles para el fraude durante años.

Y aquí es donde la historia deja de ser ajena para convertirse en un espejo directo de la realidad mexicana. Cada vez más negocios en México —clínicas, financieras, plataformas de comercio electrónico, gimnasios y despachos que hacen verificación de identidad (KYC)— piden a sus clientes una copia de su INE o licencia de conducir como parte del proceso de alta. Es decir: muchas PyMEs mexicanas ya son, sin saberlo, guardianas del mismo tipo de información que hizo tan valioso el ataque a AssuranceAmerica.

Los números de México confirman que esto no es una preocupación teórica:

• El fraude de identidad digital creció 77% en México durante 2024, frente a un crecimiento promedio regional del 38%, según cita el Observatorio de Facephi.
• Las pérdidas asociadas al phishing en México superaron los 19,000 millones de pesos solo en 2024.
• México es el segundo país más atacado de América Latina por ciberataques, solo detrás de Brasil, y concentra cerca del 55% de las amenazas de la región, según Fortinet.
• Apenas el 15% de las PyMEs mexicanas cuenta con una estrategia digital efectiva de ciberseguridad, de acuerdo con la CONCANACO.
• Y el dato que conecta todo: el 67% de los ataques exitosos comienza con un error humano: un clic, una contraseña compartida o un colaborador que no sospechó de un correo.

La lección que no puedes seguir posponiendo

AssuranceAmerica no fue vulnerada por un genio del cibercrimen. Fue vulnerada porque un colaborador, probablemente sin mala intención, cayó en un engaño. Eso puede pasarle a cualquier empresa, sin importar su tamaño.

La diferencia entre un susto controlado y una catástrofe de siete millones de víctimas no estuvo en evitar el error humano —eso, tarde o temprano, ocurre en toda organización—, sino en qué tan rápido detectas, contienes y resuelves el incidente una vez que sucede.

Esto es lo que toda PyME mexicana que maneja datos de identidad de clientes necesita implementar, sin excusas de presupuesto:

1. Autenticación multifactor (MFA) en cada cuenta con acceso a datos sensibles. Un segundo factor de verificación puede detener el acceso incluso si la contraseña ya fue robada mediante phishing.

2. Capacitación constante y simulacros de phishing. No una plática anual: ejercicios recurrentes que enseñen a tus colaboradores a reconocer un correo o mensaje fraudulento antes de hacer clic.

3. Minimización de datos. Si tu empresa pide una copia de una identificación oficial, pregúntate: ¿realmente necesitas guardarla indefinidamente o basta con verificarla y eliminarla después? Guardar menos información reduce el daño si algo sale mal.

4. Un plan de respuesta a incidentes con plazos claros. AssuranceAmerica detectó el problema en 24 horas —eso está bien—, pero tardó tres meses en entender el alcance completo. Tu empresa necesita un protocolo que acelere esa revisión o, al menos, que defina desde antes a quién llamar: un especialista forense, un abogado y las autoridades correspondientes.

5. Cifrado de los documentos de identidad almacenados. Si un atacante entra, que lo que encuentre sea inútil sin la llave de descifrado.

El orgullo de proteger lo que tus clientes te confiaron

Cuando un cliente te entrega una copia de su identificación, te está confiando algo que no puede cambiar como cambiaría una contraseña. Un número de tarjeta se cancela; una licencia de conducir robada puede utilizarse para cometer fraude durante años.

Proteger esa confianza no es un gasto de TI: es, literalmente, el corazón de la relación entre tu empresa y las personas que te eligieron.

La pregunta que deja este caso no es si algún colaborador recibirá un correo malicioso —eso es prácticamente inevitable—. La pregunta real es: si mañana alguien de tu equipo cae en el engaño, ¿tu empresa lo detectará en 24 horas como AssuranceAmerica o se enterará meses después, cuando ya sea demasiado tarde para tus clientes?

Si no tienes una respuesta clara, ese es exactamente el momento de buscar a un especialista en ciberseguridad que revise cómo tu negocio protege los datos de identidad que tus clientes te confiaron.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada Un empleado. Un clic. Siete millones de víctimas: la lección que toda empresa mexicana debe aprender del caso AssuranceAmerica se publicó primero en Care Telecom.

Imagina esto: son las tres de la mañana. Nadie de tu equipo está despierto. No hay un criminal frente a una pantalla escribiendo comandos, pensando, dudando o cometiendo errores humanos que normalmente te darían tiempo de reaccionar. Hay, en cambio, un programa que piensa, decide y corrige sus propios errores solo.

Esta semana dejó de ser una hipótesis de película. Se volvió un caso documentado.

El caso que cambia las reglas: JadePuffer

El 1 de julio de 2026, la firma de ciberseguridad en la nube Sysdig publicó una investigación que muchos especialistas ya consideran un parteaguas: identificaron lo que sería el primer ataque de ransomware ejecutado de principio a fin por un agente de inteligencia artificial, sin intervención humana durante la intrusión. Lo bautizaron JadePuffer.

¿Qué hizo exactamente?

Todo lo que antes requería un equipo de criminales con amplia experiencia técnica: reconocimiento del objetivo, robo de credenciales, movimiento lateral dentro de la red, escalamiento de privilegios, persistencia y, finalmente, el cifrado de los datos.

El agente entró explotando CVE-2025-3248, una vulnerabilidad de ejecución remota de código en Langflow, una plataforma de código abierto para construir aplicaciones de inteligencia artificial. Lo realmente importante no fue la sofisticación técnica —el parche para esa vulnerabilidad existía desde abril de 2025—, sino que el servidor nunca fue actualizado.

Lo que dejó sorprendidos a los investigadores fue la capacidad de adaptación del sistema. En un momento del ataque, un intento de inicio de sesión falló. En lugar de detenerse, la IA diagnosticó el error y generó una solución funcional en apenas 31 segundos.

Después de comprometer el primer servidor, se movió hacia un servidor de base de datos diferente, cifró 1,342 elementos de configuración y, como toque final, generó una clave de cifrado aleatoria que nunca guardó ni transmitió a ningún servidor de comando.

La traducción es brutal: aunque la víctima hubiera pagado el rescate, la recuperación de los datos era, literalmente, imposible.

Según Sysdig, ninguna técnica utilizada durante el ataque era completamente nueva. Lo verdaderamente revolucionario fue que una sola inteligencia artificial encadenó todas las fases del ataque sin que un ser humano tuviera que intervenir.

Como resumió el propio equipo de investigación:

“La habilidad que antes implicaba un humano capaz ahora implica un modelo capaz.”

¿Por qué esto debe importarte si diriges una empresa en México?

Es fácil pensar:

“Eso solo les pasa a las grandes empresas de tecnología, no a mi fábrica, mi despacho, mi hospital o mi empresa.”

Esa es precisamente la trampa.

• Los números de México ya eran preocupantes antes de que la inteligencia artificial comenzara a trabajar para los delincuentes.
• Entre agosto de 2024 y julio de 2025 se registraron 237,000 intentos de ransomware contra organizaciones en México, un promedio de 781 ataques diarios, equivalentes al 15.9 % de todos los ataques detectados en América Latina.
• México pasó del lugar 17 al 11 a nivel mundial en intentos de ransomware y hoy es el segundo país más atacado de Latinoamérica.
• El costo promedio para recuperarse de un ataque ya alcanza 1.35 millones de dólares, mientras que el 70 % de los rescates supera el millón de dólares.
• El sector manufacturero concentra casi el 30 % de los ataques registrados, seguido por tecnologías de información, salud y servicios financieros.
• Y aquí está el dato que realmente debería preocuparte: el 67 % de los ataques exitosos comienzan por un error humano. Un clic en un correo falso, una contraseña compartida, una laptop sin actualizar o un servidor olvidado.

Ahora imagina todo eso combinado con JadePuffer: un atacante que no necesita ser experto, que no duerme, que aprende sobre la marcha, que corrige sus errores en segundos y que puede revisar miles de servidores expuestos buscando exactamente el tipo de descuido que muchas empresas mexicanas todavía tienen: sistemas sin actualizar, contraseñas compartidas por WhatsApp, ausencia de autenticación multifactor y respaldos conectados permanentemente a la red.

La lección que ya no puedes seguir posponiendo

Aquí viene la parte incómoda, pero también la más importante.

JadePuffer no tuvo éxito porque fuera extraordinariamente inteligente.

Tuvo éxito porque alguien dejó pasar una actualización de seguridad que llevaba más de un año disponible.

Y esa historia se repite todos los días.

La diferencia es que ahora el tiempo entre el descuido y el desastre ya no se mide en semanas. Se mide en segundos.

Esto es lo que deberías hacer hoy mismo, sin importar el tamaño de tu empresa:

1. Actualiza todos tus sistemas. Si utilizas cualquier software con parches pendientes —sistema operativo, ERP, CRM, correo electrónico o servidores— ese puede convertirse en tu próximo Langflow. Automatiza las actualizaciones o asigna un responsable que las revise semanalmente.

2. Activa autenticación multifactor en todo. Ya no es un lujo. Es una necesidad. Un segundo factor puede detener un ataque incluso cuando la contraseña ya fue robada.

3. Mantén respaldos realmente aislados. El ransomware moderno busca primero las copias de seguridad conectadas a la red. Necesitas al menos un respaldo inmutable o fuera de línea que nadie pueda modificar, incluso si obtiene acceso administrativo.

4. Capacita continuamente a tus colaboradores. Si dos de cada tres ataques comienzan con un error humano, la capacitación constante vale tanto como cualquier solución tecnológica.

5. Ten un plan de respuesta documentado. No necesitas un departamento de TI con veinte personas. Necesitas saber exactamente qué hacer durante los primeros minutos del incidente: quién toma decisiones, qué sistemas se aíslan, a quién llamar y cómo mantener operando el negocio.

La ciberseguridad ya no es un gasto de tecnología

Proteger tu empresa dejó de ser un tema exclusivo del área de sistemas.

Hoy es una decisión de negocio.

Es proteger la continuidad de tu operación.

Es proteger a tus clientes.

Es proteger la confianza que has construido durante años.

Y también es proteger el patrimonio de todos los que dependen de tu empresa.

La pregunta ya no es si tu organización será objetivo de un ataque.

Los números indican que probablemente ya lo ha sido.

La verdadera pregunta es mucho más sencilla:

¿Tu empresa está preparada para enfrentar un ataque ejecutado por una inteligencia artificial que no duerme, no repite errores y aprende más rápido que cualquier atacante humano?

Si tu respuesta no es un sí rotundo, este es el mejor momento para acercarte a un especialista en ciberseguridad que evalúe tu infraestructura antes de que alguien más lo haga por ti.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada La IA ya hackea empresas sola: el caso JadePuffer demuestra que la ciberseguridad entró en una nueva era se publicó primero en Care Telecom.

El 55% de los ataques que destruyeron empresas el año pasado no entró por su red

Entró por alguien en quien confiaban.

El informe de brechas más importante del mundo acaba de publicar su edición 2026. Y lo que revela sobre las empresas medianas y pequeñas debería estar en la agenda del próximo comité directivo.

Hay una pregunta que vale la pena hacerse antes de hablar de firewalls, antivirus o inteligencia artificial:

¿Cuántas personas o empresas externas tienen acceso a los sistemas de tu negocio en este momento?

La mayoría de los directores tarda en responder.

No porque desconozca la respuesta, sino porque al comenzar a enumerar proveedores, la lista crece rápidamente:

• Despacho contable
• Proveedor de nómina
• Agencia de marketing digital
• Consultor de ERP
• Proveedor de nube
• Técnico externo de TI
• Desarrolladores de software
• Socios tecnológicos

Y casi siempre aparece el mismo problema.

Muchos de esos accesos nunca han sido auditados.

No tienen rotación de credenciales.

No cuentan con revisiones periódicas.

Y nadie verificó si siguen siendo realmente necesarios.

Eso es precisamente lo que el informe más importante del mundo en ciberseguridad acaba de documentar a través de más de 31,000 incidentes reales.

Verizon DBIR 2026: el informe que todo director debería conocer

El Verizon Data Breach Investigations Report (DBIR) 2026 analizó más de 31,000 incidentes de seguridad y confirmó 22,052 brechas de datos en organizaciones distribuidas en 145 países.

Es la base de información más amplia que ha construido el estudio desde su creación.

Algunos datos relevantes:

✔ Incremento del 81% en brechas analizadas respecto al año anterior.

✔ Más de 7,152 incidentes confirmados en pequeñas y medianas empresas.

✔ El 96% de las víctimas de ransomware fueron organizaciones pequeñas o medianas.

✔ Las brechas asociadas a terceros crecieron 60% en un solo año.

Pero existe una cifra que sobresale sobre todas las demás.

El riesgo de terceros ya representa el 48% de las brechas confirmadas

El hallazgo más preocupante del DBIR 2026 es contundente:

El 48% de las brechas de seguridad confirmadas tuvo origen en terceros.

En el caso específico de PyMEs:

El 55% de las brechas confirmadas involucró a proveedores externos como punto inicial de acceso.

En otras palabras:

Los atacantes ya no necesitan vulnerar directamente a tu organización.

Solo necesitan comprometer a alguien que ya tenga acceso autorizado a ella.

Y eso cambia completamente el paradigma de la seguridad empresarial.

¿Qué es el riesgo de terceros?

El riesgo de terceros incluye a cualquier organización o persona externa con acceso a información, aplicaciones o infraestructura crítica.

Por ejemplo:

• Despachos contables
• Empresas de nómina
• Consultores tecnológicos
• Agencias de marketing
• Integradores de ERP
• Proveedores cloud
• Partners comerciales
• Empresas de soporte

Cada uno representa una posible extensión de la superficie de ataque.

Si alguno de ellos utiliza credenciales débiles, no implementa MFA, trabaja con equipos vulnerables o presenta filtraciones de información, ese riesgo puede trasladarse directamente a tu empresa.

Y muchas veces ocurre sin que nadie lo detecte.

Un dato preocupante: solo el 23% de los terceros corrige adecuadamente sus fallas de MFA

El DBIR 2026 encontró que:

Solo el 23% de las organizaciones externas remedia completamente sus brechas relacionadas con autenticación multifactor.

Además:

Las configuraciones inseguras y las credenciales comprometidas permanecen expuestas durante un promedio de ocho meses antes de ser corregidas.

Ocho meses representan una ventana enorme de oportunidad para un atacante.

Casos recientes que confirman esta tendencia

Los ejemplos recientes demuestran que esto no es una proyección futura.

Está ocurriendo ahora mismo.

ShinyHunters y Oracle PeopleSoft

Más de cien organizaciones fueron comprometidas durante junio mediante plataformas compartidas utilizadas por proveedores tecnológicos.

Los atacantes no ingresaron directamente a las víctimas.

Ingresaron por la cadena de suministro digital.

Nintendo y accesos privilegiados

Diversos análisis sectoriales señalan cómo el acceso de terceros se convirtió en el vector principal utilizado por los atacantes.

No fue necesaria una vulnerabilidad crítica.

Solo fue necesario comprometer una cuenta con privilegios.

Klue–Salesforce

Decenas de empresas fueron notificadas tras el compromiso de un token OAuth utilizado en una integración tecnológica.

Nuevamente, el ataque no ocurrió directamente contra las víctimas.

Ocurrió a través de un proveedor conectado.

La inteligencia artificial está acelerando los ataques

El DBIR 2026 también identifica otro elemento preocupante.

La IA ya forma parte del arsenal cotidiano de los ciberdelincuentes.

El informe documenta que:

• Los atacantes utilizan IA en aproximadamente 15 técnicas distintas por incidente.
• En algunos casos participan hasta en 50 fases del ciclo completo de ataque.
• El tiempo entre descubrir una vulnerabilidad y explotarla pasó de meses a horas.
• El phishing móvil tiene una efectividad 40% mayor que el phishing tradicional.
• Shadow AI creció cuatro veces respecto al año anterior.

Actualmente:

El 45% de los colaboradores utiliza herramientas de IA no autorizadas.

Y el 67% lo hace mediante cuentas personales.

Eso significa que información corporativa puede abandonar el perímetro de seguridad sin ningún control.

El infostealer: el paso previo al ransomware

Otro hallazgo importante del DBIR 2026 es la relación entre robo de credenciales y ransomware.

El estudio encontró que:

El 73% de las víctimas de ransomware sufrió previamente una filtración de credenciales o una infección de infostealer.

Además:

El 50% de esos eventos ocurrió durante los 95 días previos al ataque.

Esto convierte cualquier filtración de contraseñas en una señal de alerta crítica.

No es un incidente menor.

Es, estadísticamente, un indicador temprano de un posible ataque de ransomware.

Siete acciones para reducir el riesgo de terceros

1. Inventaria todos los accesos externos

Debes saber exactamente:

• Quién tiene acceso.
• Qué sistemas utiliza.
• Qué privilegios posee.
• Cuándo fue revisado por última vez.

No se puede proteger aquello que no está documentado.

2. Implementa mínimo privilegio

Cada proveedor debe tener únicamente el acceso indispensable para desempeñar su función.

Nada más.

Cada permiso innecesario incrementa la superficie de ataque.

3. Exige MFA a todos los terceros

La autenticación multifactor debe convertirse en un requisito contractual.

No en una recomendación.

4. Revisa accesos cada trimestre

Los accesos tienden a permanecer activos incluso después de concluir proyectos.

Auditar proveedores trimestralmente reduce considerablemente el riesgo.

5. Establece cláusulas de notificación

Todo proveedor debería informar incidentes de seguridad en cuestión de horas.

No semanas después.

La velocidad de respuesta marca la diferencia.

6. Controla el uso de IA

Define políticas claras sobre:

• Herramientas autorizadas.
• Datos permitidos.
• Casos de uso aceptados.
• Protección de información sensible.

7. Atiende inmediatamente las credenciales filtradas

Si aparecen credenciales corporativas en una filtración:

• Cambia contraseñas.
• Revoca sesiones activas.
• Activa MFA.
• Verifica accesos privilegiados.

Las primeras horas son críticas.

La gran lección del DBIR 2026

La cadena de suministro digital se convirtió en uno de los vectores de ataque más activos del mundo.

No porque los atacantes sean necesariamente más sofisticados.

Sino porque es el camino más sencillo.

Comprometer un proveedor puede abrir la puerta a decenas o cientos de organizaciones simultáneamente.

La pregunta que todo director debería hacerse es simple:

Si uno de tus proveedores fuera comprometido hoy, ¿cuánto tiempo tardarías en enterarte?

Y una segunda pregunta aún más importante:

¿Cuánto daño podría ocurrir antes de que lo supieras?

La gestión del riesgo de terceros dejó de ser una práctica exclusiva de grandes corporativos.

Hoy es una necesidad operativa para prácticamente cualquier empresa que dependa de proveedores externos.

Y eso significa casi todas.

¿Tu empresa conoce realmente quién tiene acceso a sus sistemas?

Una revisión de accesos externos suele revelar más riesgos de los que imaginas.

Evaluar proveedores, privilegios, políticas de autenticación y exposición de credenciales es una de las medidas de seguridad con mayor retorno de inversión para empresas medianas y grandes.

El mejor momento para revisar el riesgo de terceros siempre es antes del incidente.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada El 55% de las empresas atacadas en 2026 fue comprometido por un proveedor: lo que revela el Verizon DBIR 2026 se publicó primero en Care Telecom.

México está en el top 4 mundial del mayor robo de credenciales de firewalls en la historia. La causa no fue un hackeo sofisticado. Fue algo que ningún empresario debería permitirse después de leer esto.

Hay una imagen que quiero que tengas en mente mientras lees este artículo.

Imagina que contratas a la empresa de seguridad más reconocida del mercado para que instale la cerradura más robusta disponible en la puerta principal de tu oficina. Pagas. La instalan. Y el técnico que hizo el trabajo se va sin darte instrucciones claras sobre una cosa: cambiar la clave maestra de fábrica.

Esa clave de fábrica es la misma para todas las cerraduras del mismo modelo. Está documentada en el manual del fabricante. Cualquier persona con acceso a ese manual sabe cuál es.

Tú instalaste la cerradura más cara del mercado. Pero dejaste abierta la puerta.

Eso es exactamente lo que describe el incidente de seguridad más importante de esta semana en el mundo, y México está en el cuarto lugar de los países más afectados.

FortiBleed: el nombre que este lunes está en la agenda de todos los equipos de seguridad del planeta

El pasado 18 de junio de 2026, la Agencia de Ciberseguridad de Estados Unidos (CISA) emitió una alerta pública urgente sobre una campaña activa que lleva meses operando en silencio y que los investigadores bautizaron como FortiBleed.

El informe es contundente: actores de amenaza de habla rusa han construido una base de datos verificada de más de 86,644 credenciales de acceso funcionando a firewalls y puertas de acceso VPN de la marca Fortinet, distribuidas en 194 países, lo que representa aproximadamente la mitad de todos los dispositivos FortiGate accesibles desde internet en el mundo.

No hablamos de intentos de acceso. No hablamos de credenciales hipotéticas o antiguas. Hablamos de usuarios y contraseñas verificados y funcionando en este momento, confirmados por los propios atacantes mediante scripts automáticos que los prueban en tiempo real.

Por qué este incidente te importa directamente en México

Cuando un incidente de esta magnitud ocurre, la pregunta natural de cualquier empresario es:

“¿Eso es un problema de los países ricos con infraestructura muy compleja? ¿O me afecta a mí?”

La respuesta, en este caso, está en los datos del propio conjunto de información que los atacantes construyeron.

Según SOCRadar, la firma de inteligencia de amenazas que descubrió la operación completa de los atacantes, México ocupa el tercer o cuarto lugar a nivel mundial en dispositivos comprometidos, dependiendo de la fuente consultada. El ranking, consistente en todos los reportes publicados esta semana, coloca a India y Estados Unidos en los primeros dos lugares, con México, Taiwán y Colombia inmediatamente después.

Dicho en términos directos: entre todos los países del mundo donde esta campaña tiene impacto documentado, México es uno de los cinco más golpeados.

Y la lista de empresas que tienen sus credenciales en esa base de datos no se limita a gigantes corporativos. Según Hudson Rock, el investigador Kevin Beaumont —una de las voces más respetadas del sector— confirmó la autenticidad de las credenciales revisadas. El dataset incluye organizaciones de los sectores de telecomunicaciones, servicios financieros, gobierno, salud, educación y manufactura. Exactamente los sectores que definen buena parte de la economía mexicana.

Cómo funciona FortiBleed: un mecanismo diseñado para nunca detenerse

Lo que hace de FortiBleed un caso de estudio tan relevante para cualquier empresa es que no es un ataque sofisticado en el sentido tradicional. No explotó una vulnerabilidad de día cero que nadie conocía. No requirió meses de trabajo de hackers de élite. Funcionó porque las empresas no hicieron algo básico. Y eso lo convierte en la amenaza más democratizable que existe.

El SOCRadar Threat Research Unit documentó la operación completa en cinco días de análisis, porque los atacantes cometieron un error: dejaron un servidor de su operación expuesto sin protección. Eso le permitió a los investigadores no solo ver los datos robados, sino todo el mecanismo: las herramientas, los scripts de automatización, la infraestructura y el proceso completo.

Lo que encontraron fue esto:

Etapa 1 — Relleno de credenciales (Credential Stuffing)

Los atacantes ensamblaron una lista de usuarios y contraseñas proveniente de brechas anteriores de dispositivos Fortinet, incidentes pasados donde las credenciales ya habían sido expuestas. Luego construyeron scripts automáticos que prueban esas combinaciones contra cada dispositivo FortiGate accesible en internet, las 24 horas del día, los 7 días de la semana.

El porcentaje de éxito fue altísimo por una razón: muchas empresas nunca cambiaron sus contraseñas después de incidentes anteriores.

Etapa 2 — Cosecha pasiva de credenciales

Una vez que logran acceso a un dispositivo Fortinet, no solo lo registran y siguen adelante.

Lo convierten en un punto de escucha pasivo: el dispositivo comprometido monitorea silenciosamente el tráfico VPN que pasa por él y captura cualquier nueva credencial que circule.

Esas credenciales frescas se alimentan de vuelta al escáner para comprometer más dispositivos.

El sistema se alimenta a sí mismo y crece de forma autónoma.

Etapa 3 — Descifrado masivo

Los atacantes operaron un clúster de 45 GPUs dedicadas al descifrado offline de contraseñas.

Los dispositivos Fortinet que usaban el algoritmo de almacenamiento heredado SHA-256 —versiones de firmware anteriores a FortiOS 7.2.11, 7.4.8 y 7.6.1— eran vulnerables a este descifrado.

Fortinet introdujo el algoritmo más robusto PBKDF2 recién en actualizaciones de finales de 2025.

Las empresas que no actualizaron siguieron almacenando contraseñas de forma descifrable.

Etapa 4 — Comercialización estructurada

Y aquí está la parte que más debería preocuparte como director de empresa:

Los datos no se usan solo para ataques directos. Se organizan y se venden.

La base de datos que construyeron los atacantes clasifica cada credencial robada por país, por sector de industria, por facturación de la empresa y por número de colaboradores.

Un grupo de ransomware que quiera atacar específicamente empresas mexicanas del sector financiero con ingresos entre 5 y 50 millones de dólares puede comprar exactamente eso: una lista filtrada, verificada y lista para usar.

La raíz del problema: lo que ningún presupuesto de TI resolvió

Aquí está la revelación más incómoda de todo este incidente, y es la que necesitas escuchar sin rodeos.

Según el análisis de SOCRadar sobre la composición de las credenciales comprometidas:

• El 35% son cuentas genéricas de administrador, cuentas que vinieron preconfiguradas con el dispositivo y nunca fueron renombradas.
• El 28.3% son cuentas de sistema integradas de Fortinet, cuentas que el fabricante incluye por defecto y que nunca fueron eliminadas ni modificadas.
• El 36.7% restante son cuentas específicas de la organización, creadas por la propia empresa, pero cuyas contraseñas nunca fueron rotadas después de incidentes previos.

Lo que SOCRadar concluye de estos datos es lapidario:

“Esto apunta directamente a un fallo generalizado de no renombrar cuentas predeterminadas ni rotar credenciales de fábrica, dándole al atacante una lista de objetivos altamente confiable antes de que fuera necesario cualquier intento de fuerza bruta.”

Traducido al lenguaje de la sala de dirección:

El 63% de los dispositivos comprometidos en el incidente más grande de la historia de Fortinet fueron víctimas porque nadie cambió la contraseña que venía en la caja.

No fue un ataque sofisticado.

No fue un fallo del fabricante.

Fue negligencia operativa.

La misma que ocurre en miles de empresas mexicanas donde el proveedor de TI instaló el equipo, configuró lo básico y nadie documentó ni verificó si las credenciales predeterminadas fueron cambiadas.

El contexto que transforma un incidente global en una urgencia local

La razón por la que FortiBleed importa particularmente para las empresas mexicanas no es solo el ranking de países afectados.

Es la convergencia de factores que definen el perfil de riesgo de las organizaciones en México:

• México es el segundo país más atacado por ransomware en América Latina, con 781 ataques diarios documentados.
• El 74% de las empresas mexicanas sufrió algún ataque cibernético durante 2025.
• Más del 60% de las PyMEs mexicanas reportó incidentes de seguridad en el último año, la mayoría sin un plan de respuesta documentado.
• Las credenciales robadas de FortiBleed están siendo vendidas en foros criminales organizadas por país y sector.

Eso significa que hay compradores activos buscando específicamente acceso a empresas mexicanas en este momento.

El firewall o el sistema de acceso VPN no es un lujo tecnológico reservado para corporativos.

Es el equipo estándar con el que la mayoría de las empresas medianas en México protege el acceso remoto de sus colaboradores y la entrada a su red interna.

Fortinet es uno de los fabricantes más utilizados globalmente en ese segmento.

Si tu empresa tiene uno de esos equipos y no ha revisado sus credenciales esta semana, esa debería ser la primera pregunta que hagas hoy a tu área de TI o a tu proveedor de servicios.

Qué hacer ahora: seis acciones concretas

La lista de acciones recomendadas por las autoridades y especialistas es clara, concreta y no requiere inversiones extraordinarias.

Lo que sí requiere es urgencia.

1. Termina sesiones activas y rota todas las credenciales de tus dispositivos Fortinet hoy

Si tu empresa opera con firewalls o VPNs Fortinet FortiGate, la primera acción es tratar las credenciales actuales como posiblemente comprometidas.

Termina todas las sesiones SSL VPN y administrativas activas.

Cambia todas las contraseñas.

Empieza por los dispositivos accesibles desde internet.

2. Verifica que tus dispositivos usen PBKDF2 y no SHA-256

La actualización de firmware es indispensable, no opcional.

3. Activa MFA en todos los accesos administrativos y VPN

La autenticación multifactor sigue siendo una de las medidas más efectivas para detener este tipo de amenazas.

4. Elimina la exposición pública de las interfaces de administración

La consola web de administración, el acceso SSH y otros servicios críticos no deberían estar disponibles desde internet.

5. Revisa los registros de actividad

Busca patrones de conexión inusuales, accesos fuera de horario o cambios de configuración que nadie recuerde haber realizado.

6. Verifica si tu organización aparece en el dataset de FortiBleed

Si utilizas dispositivos Fortinet expuestos a internet, comprobar tu exposición es un paso fundamental.

El principio que este incidente ilustra para toda tu infraestructura

FortiBleed no es solo un problema de Fortinet.

Fortinet es simplemente el ejemplo de esta semana.

El principio es universal.

Cualquier dispositivo en tu infraestructura que tenga credenciales predeterminadas sin cambiar, firmware sin actualizar o acceso de administración expuesto a internet sin MFA, es una versión del mismo problema.

Routers, switches, cámaras IP, sistemas NAS, impresoras de red, sistemas de videoconferencia y múltiples dispositivos más comparten el mismo riesgo.

Todos los fabricantes los entregan con credenciales de fábrica.

Todos los manuales las documentan.

Todos los atacantes las conocen.

La industria de la ciberseguridad lleva años advirtiéndolo.

FortiBleed lo convirtió en una estadística imposible de ignorar.

Reflexión final

FortiBleed será estudiado durante años como uno de los ejemplos más claros de cómo la negligencia operativa sistemática —y no la sofisticación técnica de los atacantes— puede definir el éxito de una campaña criminal a escala global.

México está entre los países más afectados.

No porque las empresas mexicanas sean más descuidadas.

Sino porque el problema de no rotar credenciales, no actualizar firmware y no activar MFA es universal.

Y en México, donde muchas organizaciones dependen de terceros para administrar su infraestructura tecnológica, ese riesgo se multiplica.

Las empresas que revisen sus credenciales esta semana, actualicen su firmware y activen MFA en sus accesos remotos habrán convertido la peor noticia de seguridad de la semana en una de las mejores decisiones del año.

Si quieres revisar el estado de tus dispositivos de seguridad perimetral o necesitas saber si tu empresa tiene exposición ante amenazas como FortiBleed, contáctanos. Ese diagnóstico siempre es mejor hacerlo antes de que alguien más lo haga por ti.

Síguenos en todas nuestras redes: 

Facebook: https://www.facebook.com/CareTelecom

Twitter: https://twitter.com/caretelecom?

Linkedin:  https://www.linkedin.com/company/care-telecom/

Correo: info@caretelecom.com

Instagram: https://instagram.com/caretelecom?

Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA

La entrada El firewall que protege tu empresa puede ser la puerta que los criminales ya abrieron se publicó primero en Care Telecom.