Un estudio global de Kaspersky advierte que las pequeñas y medianas empresas enfrentan amenazas como phishing, vulnerabilidades de software y accesos remotos no autorizados, mientras la falta de capacitación y de personal especializado aumenta sus riesgos.
El 86 % de las pequeñas y medianas empresas (PyMEs) registró al menos un incidente de ciberseguridad durante el último año, según una encuesta global de Kaspersky realizada a 1,800 especialistas de seguridad de tecnologías de la información (TI) en 18 países. El resultado evidencia la exposición de estas organizaciones a ataques cada vez más sofisticados, similares a los dirigidos contra grandes compañías, en un contexto de creciente digitalización y persistencia de brechas de seguridad.
De acuerdo con la investigación, solo el 14 % de las empresas con menos de 500 empleados logró evitar incidentes durante ese período. La incorporación de herramientas digitales a las operaciones empresariales amplía la superficie de ataque y crea nuevas oportunidades para los ciberdelincuentes, que aprovechan vulnerabilidades tecnológicas, credenciales robadas y métodos cada vez más diversos para comprometer sistemas e información.
El phishing encabeza las amenazas identificadas en América Latina
En las pequeñas y medianas empresas latinoamericanas, el phishing fue el incidente más frecuente, con un 24 % de los casos reportados. Le siguieron los accesos remotos externos, con un 15 %, y la explotación de vulnerabilidades de software, con un 13 %.
Aunque se registraron con menor frecuencia, los ataques de día cero y aquellos que aprovechan relaciones de confianza afectaron, cada uno, al 8 % de las organizaciones consultadas. El estudio también encontró que amenazas como el malware masivo, el ransomware, el compromiso del correo electrónico empresarial (BEC, por sus siglas en inglés) y la explotación de vulnerabilidades relacionadas con inteligencia artificial tuvieron una presencia ligeramente mayor en compañías con más de 500 empleados.
Los resultados muestran que el tamaño de una empresa no la excluye de las amenazas digitales. Las organizaciones más pequeñas también pueden convertirse en objetivos de ataques que comprometan sus operaciones, sus datos y sus recursos financieros, especialmente cuando sus sistemas de protección no evolucionan al mismo ritmo que sus actividades.
La falta de capacitación y personal especializado aumenta la exposición
Entre los factores que más incrementan el riesgo de que un ciberataque tenga éxito en las PyMEs latinoamericanas, los participantes identificaron principalmente las brechas de conocimiento. La falta de experiencia del personal de seguridad informática fue señalada por el 26 %, mientras que el 24 % mencionó la insuficiente formación en ciberseguridad de los empleados ajenos al área de TI.
A estos factores se suman el uso de software y hardware desactualizados, citado por el 22 %; la elevada carga de trabajo de los departamentos de seguridad informática, con un 21 %; y las políticas insuficientes de seguridad de TI, con un 20 %.
La combinación de estos problemas puede dificultar la detección temprana de amenazas y retrasar la respuesta ante incidentes. Además, las empresas con recursos limitados deben distribuir sus presupuestos entre las necesidades operativas y la protección de sus sistemas, en un entorno donde la prevención requiere tanto herramientas tecnológicas como procedimientos claros y capacitación continua.
Fernando Sánchez, gerente de Canales para el Norte de América Latina en Kaspersky, advirtió que las PyMEs ya no enfrentan amenazas menores por su tamaño ni porque sus activos parezcan poco atractivos para los atacantes. Según explicó, la escasez de especialistas, los presupuestos limitados y las deficiencias de capacitación hacen necesario adoptar estrategias integrales que puedan adaptarse al crecimiento de cada negocio.
Las empresas aumentan la inversión en protección digital
Ante este panorama, el 82 % de las PyMEs encuestadas incrementó su presupuesto de ciberseguridad durante el año. Entre las organizaciones que aumentaron su inversión, el 41 % destinó recursos adicionales a ampliar sus equipos de TI y seguridad, mientras que el 30 % los utilizó para migrar hacia soluciones más avanzadas, como XDR, NDR y SIEM, tecnologías orientadas a la detección, el análisis y la respuesta ante amenazas.
Como apoyo para identificar prioridades, Kaspersky desarrolló el Cyber Risk Heatmap, una herramienta de evaluación en línea que genera un mapa personalizado de las principales áreas de exposición de una organización. Mediante cerca de 15 preguntas y un proceso que toma menos de 10 minutos, examina aspectos como los usuarios y dispositivos, el correo electrónico, las redes, los servicios en la nube, la superficie de ataque, el monitoreo y la gestión de incidentes, para ofrecer recomendaciones de protección.
La compañía también recomienda fortalecer los controles de acceso, asignar permisos de acuerdo con las funciones de cada empleado, revocar las credenciales cuando una persona deja la organización y automatizar las copias de seguridad. A estas medidas añade la actualización periódica de sistemas y equipos, así como reglas claras para instalar aplicaciones.
La capacitación del personal constituye otro componente de la prevención. Kaspersky aconseja realizar sesiones periódicas y simulaciones para ayudar a reconocer intentos de phishing, llamadas fraudulentas, deepfakes y solicitudes sospechosas de credenciales o pagos. Verificar la identidad de los remitentes, proteger las contraseñas y reportar actividades inusuales son prácticas que pueden reducir el riesgo de comprometer información corporativa.
La empresa plantea, además, adaptar las soluciones de seguridad a la dimensión y las capacidades de cada negocio. Entre las opciones que recomienda figuran Kaspersky Small Office Security Premium para microempresas, Kaspersky Next Optimum para organizaciones con equipos de TI más desarrollados y Kaspersky Next MXDR Optimum para incorporar monitoreo continuo y análisis especializado. También destaca la protección del correo electrónico mediante Kaspersky Security for Mail Server, orientada a identificar mensajes maliciosos y reducir el riesgo de fraudes y robo de información.
Los resultados de la encuesta sitúan la ciberseguridad entre los desafíos operativos de las pequeñas y medianas empresas. Para estas organizaciones, fortalecer sus defensas implica combinar inversión tecnológica, capacitación y políticas internas consistentes, con medidas proporcionales a sus recursos y a los riesgos que enfrentan.
