Sophos: la IA reduce los ciberataques de semanas a días

El reloj de los ciberataques ya no se mide en semanas

Un atacante desplegó cerca de 12 agentes de IA dentro de la red de una empresa y generó casi 80 módulos de ataque y más de 70 técnicas de evasión en pocos días. Lo que a un equipo humano le habría tomado semanas, la IA lo resolvió en un puñado de jornadas. Es el caso STAC6994, una de las primeras observaciones confirmadas de agentes de IA operando dentro de una intrusión real, según el informe Sophos AI Security 2026.

Para un founder, la traducción es incómoda: si tu equipo tarda una semana en detectar y parchear, el atacante ya terminó. La velocidad dejó de ser una ventaja competitiva y pasó a ser la línea base del riesgo.

Qué dice el informe de Sophos sobre la IA y la ciberseguridad

María Claudia Ardila, Directora de Ventas de Sophos para el Sur de Latinoamérica, plantea el dilema en su columna: mientras el mundo debate si conviene frenar el avance de la IA, los atacantes ya la usan sin restricciones. El informe de la compañía respalda esa lectura con datos.

El hallazgo central no es que existan técnicas nuevas, sino que las existentes se aceleraron. John Peterson, CTO de Sophos, lo resume así: los atacantes siguen necesitando acceso inicial, siguen moviéndose lateralmente y siguen exfiltrado datos por canales observables; lo que cambió es el reloj. Por primera vez se observó la IA como multiplicador operativo: las herramientas eran conocidas, pero la velocidad de desarrollo, prueba e iteración fue materialmente distinta.

El informe se apoya en inteligencia de Sophos X-Ops, su servicio de detección y respuesta administrada (MDR), SophosLabs, la Unidad Contra Amenazas (CTU) y telemetría de más de 625.000 entornos de clientes en todo el mundo.

Por qué la identidad se volvió el punto de entrada preferido

La identidad desplazó a las vulnerabilidades explotadas como principal vector de acceso inicial. El State of Ransomware 2026 de Sophos, citado en el mismo informe, encontró que el correo malicioso representó el 26% de los ataques, el phishing el 24% y las credenciales comprometidas el 23%: en conjunto, las técnicas basadas en identidad explican el 79% de las intrusiones de ransomware.

El dato se refuerza desde otro ángulo. El IBM X-Force Threat Intelligence Index 2026, recogido por El Español, señala que en 2025 las principales vías de entrada se repartieron casi en partes iguales: cuentas válidas comprometidas, explotación de aplicaciones públicas expuestas, ataques a la cadena de suministro de software y abuso de servicios remotos externos, cada uno con el 25% de los accesos iniciales detectados. El mismo informe indica que América Latina concentró el 9% de los incidentes de ciberseguridad investigados a nivel global en 2025, con servicios financieros y de seguros (47%) y energía (27%) como los sectores más atacados.

Y hay una capa nueva: las identidades de IA. A medida que las empresas despliegan asistentes de programación, agentes autónomos y modelos de pesos abiertos con permisos elevados, los atacantes apuntan a los tokens OAuth, las claves de API, las herramientas de desarrollo y la infraestructura de IA expuesta. Sophos describe esa superficie como el riesgo corporativo de crecimiento más rápido, y advierte que la gobernanza no avanza al mismo ritmo.

Deepfakes y fraude: el engaño ya es industrial

La ingeniería social asistida por IA dejó de ser una curiosidad. El informe documenta un caso de fraude de inversión en el Reino Unido, donde la víctima fue persuadida durante meses con contenido educativo falso sobre IA y mensajes coordinados, hasta perder cientos de miles de libras esterlinas.

La razón es económica: la IA abarata el engaño, lo hace creíble en cualquier idioma y permite escalarlo. José Manuel Moreno Guerra, director de Ciberseguridad de NTT DATA, lo pone en términos simples en declaraciones a El Periódico: cada vez será más difícil confiar únicamente en lo que vemos, escuchamos o recibimos digitalmente.

Cuánto dinero mueve la carrera entre atacantes y defensores

El mercado mundial de IA aplicada a la ciberseguridad pasará de 28.000 millones de dólares en 2024 a 79.800 millones en 2029, casi el triple en cinco años, según el informe Technology Foresight 2026 de NTT DATA difundido por El Periódico. La misma nota cita un estudio de PwC según el cual el 60% de los directivos de negocio y tecnología sitúan la inversión en ciberseguridad entre sus tres prioridades estratégicas.

En España, el Instituto Nacional de Estadística (INE) reportó que el 21,1% de las empresas de diez o más empleados usaba tecnologías de IA en el primer trimestre de 2025, frente a una cifra significativamente inferior un año antes. Más adopción significa más superficie que proteger.

En paralelo, Sophos anunció el 13 de octubre de 2026 la disponibilidad general de Sophos AI Defense, una capa que detecta las herramientas de IA que los empleados usan sin aprobación y aplica políticas en el dispositivo, la red, el inicio de sesión y el navegador, según el comunicado difundido por GlobeNewswire. La compañía cita además una proyección de IDC de 1.300 millones de agentes de IA para 2028.

Qué significa esto para tu startup

No necesitas un equipo de seguridad de 50 personas para mover la aguja. Necesitas cerrar los huecos que la IA volvió rentables para el atacante.

• Haz inventario de tus identidades de IA. Lista cada service account, token OAuth, API key y agente autónomo con acceso a sistemas de negocio. Aplica mínimo privilegio, rota credenciales y elimina lo que nadie usa. Sophos reporta que el 82% de las organizaciones descubrió agentes de IA no autorizados (shadow AI) en su entorno durante el último año, y que el 69% sospecha o tiene evidencia de que sus empleados usan herramientas de IA no aprobadas.
• Mide tu tiempo de reacción, no solo tu firewall. Si no sabes cuánto tardas en detectar y contener un incidente, no puedes mejorarlo. Define objetivos de tiempo de detección y respuesta, y evalúa automatización o un servicio MDR si tu equipo es pequeño.
• Verifica fuera de banda. Ante una solicitud de pago o un cambio de datos bancarios, confirma por un canal distinto al que llegó la petición. Es la defensa más barata contra deepfakes y suplantación de voz.
• Gobierna el uso de IA antes de que lo haga el incidente. Define qué herramientas están aprobadas, qué datos no pueden entrar en un prompt y quién responde cuando algo sale mal.

Conclusión

El debate sobre frenar la IA es geopolítico; el riesgo es operativo y ya está en tu infraestructura. Como sostiene Ardila en su columna, la pausa puede ser un lujo, pero la defensa es una urgencia impostergable. La asimetría es el verdadero problema: el atacante solo necesita una identidad mal gestionada, mientras el defensor necesita visibilidad sobre todas.

La buena noticia es que las palancas están al alcance de una startup: inventario de identidades, tiempos de respuesta medidos, verificación fuera de banda y una política de IA que se cumpla. Ninguna requiere un presupuesto de enterprise. Requieren decisión.

Fuentes

• ITSitio — Frenar la Inteligencia Artificial, pero no la ciberseguridad (fuente original)
• DQ India — AI shrinks cyberattack timelines as attackers target AI identities
• Yahoo Finance — Sophos Launches AI Defense to Expose Shadow AI
• El Español — Latinoamérica concentró el 9% de los incidentes de ciberseguridad
• El Periódico — La IA disparará la inversión en ciberseguridad