jEl Data Breach Investigations Report 2026 de Verizon analizó más de 22.000 brechas de seguridad en el mundo y encontró ransomware en el 48% de ellas, frente al 44% del año anterior. El dato que más debería inquietar a una empresa mediana latinoamericana viene después: cerca del 96% de las víctimas fueron organizaciones de menos de 1.000 empleados.
ANUNCIO
El ransomware es el software malicioso que cifra los sistemas de una empresa y exige un pago para liberarlos. Hoy casi siempre llega con doble extorsión: antes de cifrar, el atacante copia la información y amenaza con publicarla. En Chile, la Agencia Nacional de Ciberseguridad (ANCI) recibió 324 reportes de incidentes graves en el primer semestre de 2026, y casi la mitad (152) empezó con una cuenta comprometida. La agencia lo resumió en una frase: “Se puede vulnerar un sistema sin explotar una vulnerabilidad”.
Usted no necesita saber configurar un firewall para dirigir una empresa. Sí necesita hacer las preguntas correctas. Estas cinco sirven para la próxima reunión con su gerente de TI o con su proveedor de tecnología.
1. ¿Todos los accesos remotos piden un segundo factor?
El segundo factor de autenticación (MFA) es el código o la aprobación en el celular que se pide además de la contraseña. Según el DBIR, las víctimas de ransomware entraron sobre todo por credenciales robadas (38%) o por equipos sin parchar en el borde de la red (29%).
Una alerta del CSIRT de Chile de 2026 muestra cómo funciona en la práctica. El grupo Qilin, el ransomware con más detecciones en Chile en el primer semestre según ESET, entró a un servicio esencial probando contraseñas contra el firewall perimetral. El equipo no tenía MFA, ni bloqueo tras intentos fallidos, ni restricción por país.
La respuesta que debería escuchar: “Sí, en la VPN, el correo y las plataformas en la nube, sin excepciones para los directivos”.
2. ¿Cuánto nos tardamos en instalar un parche crítico?
Por primera vez en 19 años, el DBIR puso la explotación de vulnerabilidades como la principal vía de entrada de los atacantes (31%). El mismo informe midió que las organizaciones solo corrigieron por completo el 26% de las fallas que se sabe que están siendo explotadas, con una mediana de 43 días.
Ese plazo es una ventana abierta. En Chile, según el CSIRT, atacantes aprovecharon este año una falla de cPanel, el panel con que se administran muchos sitios web, y en algunos casos terminaron instalando el ransomware “Sorry”.
ANUNCIO
La respuesta que debería escuchar: un número de días para lo crítico, más una lista de los equipos expuestos a internet y del responsable de revisarlos.
3. ¿Probamos restaurar los respaldos este año?
Tener respaldos no basta. Su equipo debe restaurarlos al menos una vez para saber cuánto tarda la empresa en volver a operar. Las copias deben vivir fuera del alcance de la red principal, porque el ransomware intenta cifrarlas también.
Con la doble extorsión, los respaldos resuelven la mitad del problema: recuperan los sistemas, pero no impiden que los datos robados aparezcan publicados. Por eso la cuarta pregunta pesa tanto como esta.
La respuesta que debería escuchar: la fecha de la última prueba y el tiempo real que tomó.
4. ¿Quién revisa las alertas un domingo a las 3 de la mañana?
Los atacantes eligen noches, fines de semana y feriados, cuando el equipo interno está desconectado. El DBIR encontró que la mitad de las víctimas de ransomware que sufrieron un robo de credenciales ese año lo tuvo en los 95 días previos al ataque. Ese es el margen que tiene su empresa para notar que alguien usa una clave robada antes de que llegue el cifrado.
Muchas organizaciones cubren ese turno con un centro de operaciones de seguridad (SOC) que vigila las 24 horas, propio o contratado.
La respuesta que debería escuchar: el nombre de una persona o de un servicio, con un tiempo de respuesta comprometido por escrito.
5. ¿Sabemos qué hacer en las primeras tres horas?
Chile ofrece un buen punto de referencia para la región. Su Ley Marco de Ciberseguridad (Ley 21.663) obliga a los servicios esenciales a avisar al CSIRT nacional dentro de 3 horas desde que detectan un incidente grave, enviar un segundo reporte a las 72 horas y un informe final a los 15 días. La multa máxima para los operadores que la ley califica de importancia vital es de 40.000 UTM, unos USD 3 millones.
Aunque en su país no exista una regla así, el plan le sirve igual. Alguien tiene que decidir en minutos si se desconectan equipos, a quién se llama, qué se comunica a los clientes y cómo se guarda la evidencia sin borrarla. Si su equipo improvisa esas decisiones durante el ataque, pierde horas que no recupera.
La respuesta que debería escuchar: un documento con nombres, teléfonos y pasos, probado en un simulacro.
Pagar o no pagar
Es la pregunta que llega primero al consejo de administración. Según el DBIR 2026, el 69% de las víctimas de ransomware no pagó, y la mediana de lo que pagaron las demás bajó a USD 139.875. Pagar tampoco garantiza que los datos copiados desaparezcan.
La conclusión para una empresa mediana es concreta: el ransomware no apunta solo a bancos y grandes corporativos, y las dos puertas más usadas se cierran con las preguntas 1 y 2.
Por dónde empezar
Lleve las cinco preguntas a la próxima reunión de dirección y pida las respuestas por escrito. Donde aparezca un “no sé” o un “lo estamos viendo”, ahí está su prioridad.
Si su equipo no alcanza a cubrirlo todo, existen empresas especializadas en ciberseguridad y monitoreo continuo en la región, como Netprovider, que pueden apoyar con un diagnóstico o con el monitoreo fuera de horario. Lo importante es que las respuestas existan antes de que alguien las necesite.