Ciberataques con IA: el 89% que cambia la ecuación
Los ciberataques potenciados por inteligencia artificial aumentaron 89% durante el último año y el 82% de las detecciones correspondió a ataques sin malware, según cifras del Global Threat Report 2026 de CrowdStrike retomadas por KIO IT Services, empresa especializada en servicios de tecnología y ciberseguridad.
Para un founder, lo relevante no es el porcentaje sino lo que implica: el ataque típico ya no necesita instalar un archivo malicioso en la computadora de nadie. Opera con credenciales robadas, identidades suplantadas y conversaciones que parecen legítimas. Las defensas construidas alrededor del antivirus cubren, cada vez, una porción más chica del riesgo real.
Edwin Medina, director de Ciberseguridad de KIO IT Services, lo plantea sin rodeos: «La inteligencia artificial está cambiando tanto las capacidades de defensa como las herramientas que utilizan los ciberdelincuentes. Hoy, la ciberseguridad debe entenderse como una condición indispensable para la continuidad de cualquier negocio».
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 díasLos 5 riesgos que KIO advierte para 2027
La compañía identificó cinco frentes que marcarán la agenda de seguridad de las organizaciones durante los próximos meses:
- Fraude impulsado por IA. Herramientas capaces de imitar voces, generar videos falsos con deepfakes y redactar mensajes personalizados elevan la sofisticación de los intentos de fraude. La suplantación de identidad deja de depender de un correo mal escrito.
- Exposición de información en la nube. La adopción de plataformas digitales amplió los puntos de acceso: configuraciones incorrectas, permisos excesivos y aplicaciones interconectadas funcionan como puertas abiertas.
- Vulnerabilidades asociadas a agentes de IA. Los agentes que ejecutan tareas, consultan información e interactúan con aplicaciones sin intervención humana constante pueden hacer uso indebido de permisos, exponer información confidencial o ejecutar instrucciones maliciosas.
- Ataques a sistemas críticos. Ransomware e intrusiones que derivan en interrupciones operativas, pérdidas económicas y daño reputacional.
- Amenazas de proveedores externos. Un incidente en un proveedor tecnológico, una plataforma externa o un socio comercial puede comprometer la información y los procesos de la empresa que los contrata.
El punto sobre agentes de IA merece atención especial en startups: es habitual darle a un asistente acceso de lectura y escritura sobre correo, CRM o repositorios para que «funcione mejor», sin revisar qué pasa si ese permiso se filtra o si el agente recibe una instrucción manipulada. KIO recomienda establecer límites a su autonomía y mantener mecanismos de supervisión humana.
El fraude con deepfakes ya tiene costo medible
El riesgo no es teórico. Según el 2026 Pindrop Deepfake Readiness Index, publicado el 28 de septiembre y recogido por Infosecurity Magazine, el 74% de más de 250 líderes de seguridad consultados en Estados Unidos dijo haber enfrentado un presunto incidente de deepfake en los últimos 12 meses. Uno de cada cuatro de los afectados reportó pérdidas superiores a US$1 millón por un solo incidente, y casi la mitad (49%) reportó pérdidas de US$500.000. El 93% manifestó dudas sobre la preparación de su organización para enfrentar esa amenaza.
El informe también señala un problema de gobernanza: tres de cada cuatro encuestados consideraron que haría falta que un líder de la empresa fuera suplantado o engañado por un deepfake para que el tema llegue a la agenda de la alta dirección.
Las cifras oficiales acompañan. TechCrunch reportó que el FBI recibió más de 22.000 denuncias de delitos relacionados con IA en 2025, con pérdidas de aproximadamente US$893 millones, de las cuales más de US$632 millones provinieron de estafas de inversión en las que los delincuentes usan IA para sostener conversaciones y clonar voces y apariencias de figuras de confianza.
Y no es un problema exclusivo de grandes corporaciones. Una guía de KeyBank publicada por ACCESS Newswire advierte que las pymes suelen tener menos recursos de seguridad y canales de comunicación más informales, lo que las vuelve especialmente vulnerables a esquemas de suplantación. Entre los vectores que describe: videollamadas falsas donde un supuesto ejecutivo pide una transferencia urgente, audios sintetizados que autorizan pagos y datos biométricos manipulados para saltar el reconocimiento facial.
¿Qué significa esto para tu startup?
Traducido a decisiones concretas, el mensaje de KIO apunta a tres movimientos.
Primero, verificación fuera de banda para todo lo que mueva dinero. Si una instrucción de pago llega por correo, chat o videollamada, se confirma por un canal distinto y contra un contacto que ya conocías, nunca contra el que aparece en el mensaje. Es la defensa más barata que existe contra el fraude por suplantación y la que más incidentes evita.
Segundo, autenticación multifactor resistente a phishing. KIO recomienda MFA y controles adicionales para validar operaciones y transacciones sensibles. En la práctica no todos los MFA son iguales: los códigos por SMS son más fáciles de interceptar en tiempo real que una llave física o una passkey. Prioriza el correo del fundador, la banca y la consola de nube.
Tercero, inventario de permisos de tus agentes de IA. Haz una lista de cada agente o automatización que corre en tu empresa y responde tres preguntas: qué puede leer, qué puede escribir y qué puede ejecutar sin aprobación humana. Todo lo que toque pagos, datos de clientes o infraestructura debería tener un límite de autonomía explícito.
Cómo priorizar si tienes equipo y presupuesto limitados
No hace falta un centro de operaciones de seguridad ni un presupuesto de enterprise para reducir el riesgo de forma material. Un orden sensato:
- Empieza por lo que mueve dinero y accesos: cuentas bancarias, correo del fundador, consola de nube y repositorio de código. Ahí es donde un incidente duele de verdad.
- Prueba el protocolo con un simulacro. Pide a alguien del equipo que envíe una solicitud de pago falsa por un canal interno y mide cuánto tarda el equipo en detectarla. Lo que no se prueba, no funciona.
- Revisa la configuración de la nube antes de sumar herramientas. Permisos excesivos y aplicaciones conectadas de más son hallazgos frecuentes y baratos de corregir.
- Incluye la seguridad en la conversación con proveedores. Si un tercero comprometido puede tumbar tu operación, su postura de seguridad es tu riesgo.
- Prepara la recuperación, no solo la prevención. Copias de seguridad probadas y un plan claro de quién decide qué durante un incidente.
KIO también señala la otra cara: la IA permite analizar grandes volúmenes de información, detectar comportamientos anómalos y automatizar la contención de amenazas. Pero sostiene que la supervisión humana sigue siendo indispensable para evaluar las consecuencias operativas de los incidentes y tomar decisiones críticas.
Conclusión
El mensaje central de KIO es de gestión, no de tecnología: la ciberseguridad deja de ser un tema exclusivo del área de sistemas y se vuelve una decisión estratégica de la alta dirección. «El desafío de los negocios hacia 2027 no será únicamente detener más ataques, sino desarrollar organizaciones capaces de anticipar, responder y recuperarse», concluyó Medina.
Para una startup, eso se traduce en algo simple: no esperes a sufrir el incidente para armar los protocolos. Un pago desviado o una cuenta comprometida puede costar más que todo el presupuesto de seguridad que no se gastó.
Fuentes
- El Cronista (fuente original)
- Infosecurity Magazine
- TechCrunch
- Yahoo Finance / ACCESS Newswire
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 días
