Cada octubre, el Mes de la concientización en ciberseguridad nos devuelve a lo básico. Este año, lo básico tiene otra urgencia. La inteligencia artificial simplificó algo que antes exigía tiempo y oficio: encontrar, probar y aprovechar debilidades en código, configuración o procesos que ya existían. Muchas desde hace años e incluso con corrección disponible, pero no aplicada.
El Reporte del panorama global de amenazas 2026 de FortiGuard Labs de Fortinet lo plantea de forma directa: las herramientas ofensivas con IA comprimen el tiempo necesario para validar y explotar la exposición que ya existe, haciendo posible en menos de 24 horas lo que antes tomaba semanas o meses. En una región donde los intentos de explotación crecieron casi 40 % en un año, esa idea debería ordenar las prioridades de cualquier equipo de seguridad.
Lo viejo no caduca
Solemos tratar las vulnerabilidades como noticias: aparecen, se publica el parche y el riesgo pasa. Pero la telemetría de FortiGuard Labs cuenta otra historia.
Según el reporte, la persistencia de la explotación —es decir, el tiempo que dura un atacante dentro de una red sin ser detectado— se relaciona más con el tiempo que tarda una organización en aplicar parches o ajustar configuraciones, que con la novedad de la falla. Una vez que una vulnerabilidad entra en los flujos automatizados de los atacantes, no envejece mientras la exposición siga ahí.
Por eso, fallas divulgadas hace años en componentes de software muy difundidos, en protocolos heredados para compartir archivos y en la administración de routers o dispositivos IoT (como cámaras e impresoras) siguen dominando la actividad maliciosa.
Lo nuevo, por otro lado, se aprovecha cada vez más rápido. En periodos anteriores, la explotación solía aparecer alrededor de una semana después de que se divulgaba una vulnerabilidad. En 2025, FortiGuard Labs observó de forma consistente que el tiempo de explotación pasó a un plazo de 24 a 48 horas, por delante de los ciclos tradicionales de parcheo. Las organizaciones quedan presionadas desde ambos extremos: la falla publicada esta semana y la que lleva cinco años sin corregirse en un dispositivo que nadie revisa. Todo, con los mismos recursos, presupuestos y personal.
Mitigado no es lo mismo que resuelto
Un parche cierra la puerta por la que entró el atacante; no necesariamente saca a quien ya entró ni invalida lo que se llevó. El reporte advierte que las credenciales, las rutas de acceso y la información sobre la infraestructura persisten mucho tiempo después del compromiso original. Se catalogan, se venden y se reutilizan para saltarse la etapa de descubrimiento e ir directo a la ejecución.
En la práctica, una exposición (vulnerabilidad o mala configuración) ya corregida puede seguir siendo útil para un atacante: las contraseñas robadas siguen funcionando si nadie las cambia; una solución temporal aplicada en plena emergencia puede desaparecer con un cambio de configuración.
Una restauración desde respaldo o un equipo nuevo instalado con la plantilla de siempre mantiene la exposición. Las cuentas que un intruso creó quedan activas hasta que alguien compara la configuración con una versión confiable. Un equipo sin soporte del fabricante no recibirá la próxima corrección. Los protocolos heredados que nadie desactivó —y que el reporte identifica como deuda técnica— son capaces de abrir rutas predecibles de movimiento lateral.
La IA cambia la economía de cada uno de estos escenarios. Probar miles de credenciales antiguas contra servicios expuestos, revisar configuraciones o encadenar fallas conocidas era trabajo que consumía horas de un operador entrenado. Hoy se puede delegar a una herramienta automática.
América Latina en la telemetría
Los datos regionales del reporte apuntan en la misma dirección. En 2025, los sensores de FortiGuard registraron cerca de 15 mil millones de intentos de explotación en América Latina, un 39,85 % más que el año anterior. El reporte describe a la región con un menor volumen absoluto, pero con un crecimiento más rápido, consistente con una mayor conversión de exposición en explotación.
La cifra de botnets muestra el resultado: América Latina acumuló 2090 millones de detecciones de comunicaciones con infraestructura de comando y control, un alza del 12,05 % y la segunda cifra más alta del mundo, concentrada en México, Panamá, Venezuela, Brasil y Colombia. Cada una de esas detecciones corresponde a un equipo que ya fue comprometido y que hoy trabaja para alguien más.
El dato más revelador es otro: la región tuvo la mayor reducción anual de actividad de reconocimiento, pero el reporte no lo lee como un menor interés de los atacantes, sino como la reutilización de datos históricos sobre activos expuestos una y otra vez. Los atacantes ya tienen el mapa. Si el servicio expuesto no cambió, si la contraseña no se rotó o si el firmware no se actualizó, ese mapa viejo sigue siendo exacto.
El costo final aparece en el ransomware: 141 víctimas confirmadas en Brasil, 69 en México, 50 en Argentina y 41 en Colombia durante 2025, según la inteligencia de FortiRecon.
Higiene que sí cierra la puerta
Al igual que lavarse las manos previene contagios, la higiene básica mantiene sano un entorno digital. Ninguna de las prácticas enumeradas a continuación es inédita; lo novedoso es que, ante la velocidad que impone la IA, se vuelven determinantes. ¿Por dónde empezar?
- Actualizar de forma continua. Priorizar versiones recientes que incorporen parches a vulnerabilidades descubiertas en los ciclos de calidad de los fabricantes. Es el consejo más repetido, pero sigue siendo el más desatendido.
- Priorizar parches según explotación activa, no solo severidad. Una falla de severidad media explotada activamente exige mayor urgencia que una crítica teórica. Los catálogos de vulnerabilidades explotadas ayudan a ordenar la fila. Conviene medir el tiempo de parcheo como control de seguridad y riesgo de negocio.
- Cerrar el incidente completo, no solo la falla. Al parchar un equipo expuesto, es indispensable revocar sesiones activas, rotar credenciales y claves, auditar accesos anómalos y cotejar la configuración contra una línea base confiable.
- Implementar autenticación multifactor (MFA) obligatoria. Exigir en todo acceso remoto y administrativo. Los ataques de fuerza bruta prosperan por reutilización de credenciales, ausencia de límites de intentos y adopción dispar de MFA.
- Aislar las interfaces de gestión de internet. La administración de infraestructura debe ser accesible únicamente mediante redes segmentadas o conexiones seguras de confianza.
- Gestionar el ciclo de vida y la deuda técnica. Identificar activos sin soporte (donde ya no llegarán parches), verificar que las mitigaciones temporales persistan tras reinicios o restauraciones y desactivar protocolos heredados en desuso.
Probar las propias defensas también rinde frutos: FortiGuard observó una relación inversa entre la frecuencia de las pruebas de penetración y el éxito del compromiso de identidades en la nube.
Para los gobiernos y los operadores de servicios esenciales de la región, la higiene también es una decisión presupuestaria. Incluir el ciclo de vida del soporte en cada compra y financiar la renovación antes de que un equipo quede obsoleto cuesta significativamente menos que responder a un incidente en un sistema sin soporte.
La IA no vuelve obsoletas las prácticas básicas: las vuelve urgentes al reducir a cero el costo de hallar a quien no las aplicó. La pregunta clave para cualquier organización de la región ya no es solo si instaló el último parche, sino si las credenciales, configuraciones y accesos heredados de incidentes pasados siguen ahí, esperando a que alguien los aproveche.
