Los ciberataques en el Perú ya no distinguen tamaño de empresa

En 2026, los ataques informáticos en el Perú dejaron de ser un riesgo teórico. Los casos recientes muestran que ninguna organización está exenta, sin importar su tamaño.

En los últimos meses se han confirmado varios incidentes de alto perfil en el país: una filtración que expuso 3.7 TB de información de Interbank, una brecha que afectó datos de 22 millones de usuarios de Telefónica, y un ataque del grupo Rhysida contra sistemas del Estado peruano, que exigió un rescate equivalente a 5 bitcoin. Estos casos comparten un patrón: los atacantes no solo buscan dinero, buscan datos que puedan vender, filtrar o usar para extorsionar después.

La cifra que debería preocupar a cualquier empresa

Según cifras de Fortinet citadas por medios locales, el Perú registró más de 11,500 millones de intentos de ciberataque en un periodo de doce meses. A nivel regional, ESET reportó que 27% de las empresas de América Latina sufrió al menos un ciberataque durante el último año, y Argentina se ubica entre los diez países con más credenciales robadas del mundo. El modelo "ransomware as a service" (donde grupos criminales alquilan sus herramientas a otros atacantes) explica buena parte de ese crecimiento: ya no hace falta ser un experto técnico para lanzar un ataque serio.

Lo que cambió: la inteligencia artificial ahora participa de ambos lados

Especialistas de KPMG Perú advirtieron que el uso de inteligencia artificial para orquestar ataques dirigidos se está extendiendo, sobre todo hacia el sector empresarial. En la práctica, esto significa correos de phishing redactados en español neutro sin errores gramaticales delatores, y en casos más sofisticados, audios generados por IA que imitan la voz de un gerente o directivo para autorizar transferencias por teléfono.

El costo real de no estar preparado

El impacto no es solo reputacional. Estudios del sector reportan que el pago promedio de un rescate exitoso de ransomware puede superar los US$ 100,000 incluso en empresas medianas — sin contar los días de operación paralizada, que para un negocio que factura a diario pueden representar una pérdida mayor que el propio rescate. Un respaldo mal configurado o nunca probado convierte una interrupción de horas en una de semanas.

Qué puede hacer una pyme, en concreto

• Verificar los respaldos, no solo tenerlos. Un backup que nunca se probó a restaurar es una falsa sensación de seguridad.
• Doble factor de autenticación en correo y accesos administrativos — sigue siendo la barrera más simple y más efectiva.
• Protocolos de verificación fuera de banda para cualquier transferencia o cambio de datos bancarios solicitado "urgentemente" por teléfono o videollamada.
• Un diagnóstico de vulnerabilidades periódico, no solo cuando algo ya falló.

Ninguna de estas medidas requiere una inversión enorme. Lo que sí requieren es dejar de tratarlas como "algo para más adelante".