El 86% de las pequeñas y medianas empresas (pymes) enfrentó al menos un incidente de ciberseguridad durante el último año, según una encuesta global de Kaspersky realizada entre especialistas de seguridad de TI de organizaciones de 18 países.
La investigación advierte que los ciberdelincuentes ya utilizan, contra este tipo de compañías, métodos similares a los empleados contra grandes empresas.
Esta tendencia está impulsada por su creciente digitalización, la reducción de los costos para ejecutar ataques y el aprovechamiento de nuevas tecnologías y brechas de seguridad.
De hecho, apenas el 14% de las empresas con menos de 500 empleados logró evitar un incidente de ciberseguridad durante ese periodo.
La idea de que las organizaciones más pequeñas pueden pasar desapercibidas para los ciberdelincuentes está quedando atrás.
A medida que incorporan más herramientas digitales a sus operaciones, también aumenta su superficie de ataque y las oportunidades que los actores maliciosos pueden aprovechar.
El estudio revela que, en América Latina, las organizaciones experimentaron tres tipos diferentes de incidentes de seguridad durante el último año.
Entre las PyMEs, el phishing (24%), la explotación de vulnerabilidades de software (13%) y los accesos remotos externos (15%) fueron los incidentes más frecuentes.
Aunque los exploits de día cero y los ataques que aprovechan relaciones de confianza aparecieron con menor frecuencia, cada una de estas amenazas afectó al 8% de las organizaciones.
Si bien la distribución de los incidentes fue similar entre empresas de distintos tamaños, amenazas como el malware masivo, el ransomware, el compromiso del correo electrónico empresarial (BEC) y la explotación de vulnerabilidades relacionadas con inteligencia artificial tuvieron una presencia ligeramente mayor en compañías con más de 500 empleados.
Los participantes también identificaron los cinco factores que más aumentan el riesgo de que un ciberataque tenga éxito dentro de sus organizaciones.
En el caso de las PyMEs latinoamericanas, los dos principales están relacionados con las personas: la falta de experiencia entre el personal de seguridad de TI (26%) y la falta de conocimientos de ciberseguridad entre los empleados que no pertenecen al área de TI (24%).
A estos desafíos se suman las políticas insuficientes de seguridad de TI (20%), el uso de software y hardware desactualizados (22%) y la elevada carga de trabajo de los departamentos de seguridad de TI (21%), señalados también como factores que pueden incrementar la exposición de las compañías.
Ante este escenario, las organizaciones están destinando más recursos a fortalecer sus defensas.
El 82% de las PyMEs ya incrementó su presupuesto de ciberseguridad este año.
Entre quienes aumentaron la inversión, el 41% destinó nuevos recursos a ampliar sus equipos de TI y seguridad, mientras que el 30% los utilizó para migrar hacia soluciones más avanzadas, como XDR, NDR y SIEM.
¿Por dónde empezar? Un mapa para priorizar los riesgos de ciberseguridad
Para las PyMEs, que suelen operar con presupuestos y equipos limitados, fortalecer la seguridad también implica saber qué riesgos atender primero y dónde concentrar los recursos disponibles.
Para facilitar esta tarea, Kaspersky desarrolló el Cyber Risk Heatmap, una evaluación en línea que permite identificar las principales áreas de exposición de una organización y obtener un mapa de calor personalizado con sus prioridades de seguridad.
A través de cerca de 15 preguntas y en menos de 10 minutos, la herramienta analiza aspectos como personas y endpoints, correo y redes, nube, superficie de ataque, monitoreo y gestión de incidentes, y entrega recomendaciones prácticas para orientar las siguientes acciones de protección.
“Las PyMEs ya no enfrentan amenazas menores por ser organizaciones más pequeñas ni por considerar que sus activos no son de interés para los ciberdelincuentes”, aseguró Fernando Sánchez, gerente de Canales para el Norte de América Latina en Kaspersky.
“Estos hacen uso de técnicas cada vez más diversas, apoyándose incluso en inteligencia artificial y en el robo de credenciales para encontrar puntos de entrada y comprometer sus operaciones”, prosiguió.
“El problema es que muchas empresas en crecimiento deben responder a este escenario con equipos de seguridad casi inexistentes, presupuestos limitados y una escasez de especialistas, mientras persisten brechas como la falta de capacitación de los empleados o defensas fragmentadas”, continuó.
“Esto hace necesario adoptar una estrategia de seguridad más integral, sencilla de gestionar y capaz de crecer al mismo ritmo que el negocio. Contar con el apoyo de un proveedor local de servicios de seguridad es una alternativa válida para enfrentar estos desafíos, pero es fundamental que este cuente con las capacidades y soluciones adecuadas”, concluyó.
Para reducir su exposición a las nuevas amenazas en estas empresas, los expertos de Kaspersky recomiendan:
- Fortalecer los controles internos y de acceso. Definir permisos claros, limitar accesos según funciones y revocarlos al finalizar la relación laboral. Automatizar copias de seguridad, mantener software actualizado y establecer reglas para la instalación de nuevas aplicaciones.
- Convertir a los empleados en una primera línea de defensa. Capacitar periódicamente al personal para reconocer amenazas como phishing, vishing, deepfakes y solicitudes sospechosas. La formación debe ser práctica, continua y acompañarse de simulaciones.
- Adoptar una protección que pueda crecer con la empresa. Las soluciones de seguridad deben responder al tamaño y recursos de cada organización.
- Reforzar especialmente la seguridad del correo electrónico. El phishing y el compromiso del correo empresarial siguen siendo vías de entrada.
