En agosto de 2026, organizaciones en México y toda América Latina enfrentan una nueva ola de ciberataques de ransomware que ya no buscan solo cifrar servidores, sino paralizar operaciones críticas, exfiltrar datos sensibles y presionar a ejecutivos mediante chantaje reputacional. Según datos del Instituto Nacional de Estadística y Geografía (INEGI) y el Centro Nacional de Notificación de Incidentes Cibernéticos (CNIC), los incidentes relacionados con ransomware en empresas mexicanas crecieron un 73 % interanual durante el primer semestre de 2026 —una cifra superior al promedio regional del 58 % registrado por la Comisión Económica para América Latina y el Caribe (CEPAL).
Ransomware: más allá del cifrado
Hace una década, el ransomware se limitaba a bloquear sistemas y exigir pagos en criptomonedas a cambio de claves de descifrado. Hoy, esa fórmula obsoleta ha sido reemplazada por estrategias híbridas: grupos como BlackCat, LockBit 4.0 y el emergente cartel digital ‘Sombra del Golfo’ —con presencia documentada en Veracruz, Tamaulipas y Ciudad de México— combinan robo masivo de información, filtración selectiva a medios locales y amenazas directas a autoridades regulatorias como la Comisión Nacional de Protección de Datos Personales (INAI). En el caso de una cadena logística veracruzana atacada en junio, los cibercriminales exfiltraron registros fiscales, nóminas y contratos con clientes del sector energético antes de activar el cifrado; luego publicaron fragmentos en foros dark web y contactaron a proveedores clave con pruebas de acceso.
Extorsión sin cifrado: el nuevo estándar
El 41 % de los ataques reportados en México durante 2026 fueron campañas de extorsión pura: sin cifrado alguno. En estos casos, los atacantes explotan brechas en entornos de nube pública —sobre todo en servicios de almacenamiento mal configurados en AWS y Azure— para extraer bases de datos completas de clientes, historiales médicos o expedientes gubernamentales. Un estudio de la Asociación Mexicana de Ciberseguridad (AMCS) reveló que el 67 % de las víctimas que pagaron en este tipo de escenarios lo hicieron en menos de 72 horas, impulsadas por temor a sanciones del INAI (hasta 16 millones de pesos por violación grave) o pérdida de licencias ante la Secretaría de Energía o la Comisión Federal de Electricidad.
La doble cara de la inteligencia artificial (IA)
La inteligencia artificial (IA) ya no es un mero aliado defensivo: es un acelerador estratégico para ambos bandos. Por un lado, las empresas mexicanas han adoptado herramientas de IA para automatizar respuestas a incidentes —el 52 % de los CISO en corporativos del IPC (Índice de Precios y Cotizaciones) usan plataformas de análisis predictivo para detectar anomalías en tiempo real. Pero del otro lado, los actores maliciosos emplean modelos de lenguaje para generar correos de phishing altamente personalizados en español mexicano, con referencias locales a trámites del SAT, programas sociales del gobierno estatal o incluso nombres de sucursales bancarias reales. En mayo, un ataque contra una institución financiera en Jalapa utilizó IA para clonar la voz de un director financiero y autorizar transferencias fraudulentas de más de 8.4 millones de pesos.
Vulnerabilidades expandidas por la IA
Cada asistente de IA integrado a sistemas contables, recursos humanos o atención al cliente representa una nueva superficie de ataque. La AMCS identificó 142 puntos críticos de exposición en 2026 vinculados a APIs mal protegidas en soluciones de IA empresarial, especialmente en entornos donde se conectan modelos de lenguaje a bases de datos de clientes sin capas adecuadas de enmascaramiento ni control de permisos por roles. En Veracruz, tres hospitales privados reportaron fugas de historias clínicas tras implementar chatbots médicos sin auditoría de seguridad previa.
Riesgo de terceros: el eslabón débil en cadenas de valor
El 79 % de las empresas mexicanas depende de al menos cinco proveedores tecnológicos externos —desde centros de cómputo en Monterrey hasta plataformas SaaS desarrolladas en Colombia o Chile. Sin embargo, menos del 22 % exige certificaciones de ciberseguridad actualizadas (como ISO/IEC 27001 o NIST CSF) en sus contratos. El caso más emblemático ocurrió en abril: un ataque a un proveedor de software contable usado por más de 1,200 pymes veracruzanas permitió a los atacantes acceder a facturas electrónicas, comprobantes fiscales y claves de acceso al portal del SAT. La interrupción duró 19 días y generó multas acumuladas superiores a los 3.2 millones de pesos por incumplimiento de obligaciones fiscales digitales.
Evaluación de riesgo realista, no burocrática
Una evaluación efectiva de proveedores va más allá de revisar certificados. Requiere simular incidentes: ¿cuánto tarda el proveedor en notificar una brecha? ¿Tiene capacidad para aislar entornos compartidos sin afectar a otros clientes? ¿Sus protocolos de respuesta cumplen con la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados? Empresas líderes como Grupo Bimbo y CEMEX ya incluyen cláusulas contractuales que imponen multas diarias por cada hora de retraso en la comunicación de incidentes.
La evolución del ransomware exige dejar atrás la mentalidad de ‘proteger la red’ y adoptar una visión sistémica de resiliencia operativa. No basta con tener copias de seguridad: se requieren planes de continuidad validados bajo escenarios de extorsión masiva, entrenamiento constante del personal en reconocimiento de engaños basados en IA y alianzas estratégicas con autoridades locales —como la Fiscalía Especializada en Delitos Informáticos de Veracruz— para agilizar denuncias y recuperación de activos. La próxima frontera no es evitar el ataque, sino garantizar que, cuando llegue, la empresa siga funcionando, sirviendo a sus clientes y manteniendo su licencia social para operar.
