La ciberseguridad dejó de ser un tema exclusivo de grandes corporaciones o bancos hace varios años. En Colombia, los datos recientes del CCIT y el CSIRT del Gobierno muestran que las empresas medianas son, cada vez más, el blanco preferido de los atacantes: tienen activos valiosos pero controles más débiles que las grandes.
Este artículo revisa las amenazas más comunes que enfrentan las empresas medianas en Colombia en 2026, explica cómo operan y, lo más importante, propone controles concretos que cualquier empresa puede implementar sin presupuestos exorbitantes.
El panorama actual
Algunos números que dimensionan la situación:
- Los ataques dirigidos a empresas medianas en Colombia crecieron 34% entre 2024 y 2025 según reportes del CCIT.
- El 71% de los incidentes empiezan por un correo de phishing.
- El costo promedio de un incidente de ransomware en una empresa mediana latinoamericana está entre USD 80.000 y USD 250.000 (incluyendo rescate no pagado, recuperación, downtime y reputación).
- Solo el 22% de las empresas medianas tiene un plan de respuesta a incidentes probado en los últimos 12 meses.
La brecha no es técnica: las herramientas existen y muchas son asequibles. La brecha es de adopción, proceso y cultura.
Las amenazas más comunes en 2026
1. Phishing y variantes avanzadas
El phishing sigue siendo el vector número uno, pero ha evolucionado. Vemos con frecuencia:
- Spear phishing: correos personalizados usando información pública de redes sociales para aparentar ser de un compañero, un cliente o un proveedor real.
- Vishing y smishing: ataques por llamada o SMS, muchas veces usando voces clonadas por IA.
- BEC (Business Email Compromise): suplantación de ejecutivos para pedir transferencias urgentes al área financiera.
El denominador común: explotan la confianza, no las fallas técnicas.
2. Ransomware
El ransomware moderno tiene dos fases: cifra los datos y los filtra antes. Aunque la empresa restaure desde backups, el atacante amenaza con publicar la información. Es doble extorsión.
Las familias más activas en Colombia durante 2025 fueron LockBit 4.0, BlackCat/ALPHV (antes de su desmantelamiento) y variantes más locales como Akira y Play. Todas operan bajo un modelo de "Ransomware as a Service" con afiliados.
3. Compromiso de credenciales
Credenciales robadas vía phishing o filtradas en brechas de terceros permiten a los atacantes entrar por la puerta: VPNs, correo corporativo, paneles de administración. Sin autenticación multifactor, un usuario y contraseña son suficientes.
4. Ataques a la cadena de suministro
Los atacantes comprometen al proveedor de software, a la agencia de mercadeo, al socio contable, y usan ese acceso legítimo para entrar a múltiples empresas. Son difíciles de detectar porque vienen "desde adentro".
5. Exposición de servicios no protegidos
Bases de datos accesibles desde internet sin contraseña, paneles de administración expuestos, buckets de nube abiertos. Son errores de configuración que los atacantes detectan en horas con escáneres automáticos.
6. Ataques a proveedores de nube mal configurada
Permisos IAM demasiado amplios, llaves de acceso subidas por error a repositorios públicos, servicios sin cifrado en reposo. La nube no es insegura: está insegura cuando se configura rápido sin disciplina.
Controles básicos que reducen exposición significativamente
1. Autenticación multifactor (MFA) en todo lo crítico
MFA es el control con mejor relación costo-beneficio que existe. Activado en correo, VPN, acceso a sistemas críticos y paneles administrativos reduce el riesgo de compromiso de credenciales en más del 95%.
2. Gestión de parches disciplinada
La mayoría de los ataques explotan vulnerabilidades conocidas con parche disponible. Un ciclo de parches mensual para sistemas operativos, aplicaciones y dependencias, con excepciones documentadas, cierra la puerta a la mayoría de los exploits masivos.
3. Backups 3-2-1 y probados
Tres copias, en dos medios distintos, con al menos una fuera del sitio principal y desconectada (air-gapped). La clave no es tenerlos: es probarlos. Backups que nadie ha intentado restaurar son una tranquilidad falsa.
4. Segmentación de red
Que el PC de un contador pueda conectarse a la base de datos de producción es una herencia de redes planas de hace 15 años. La segmentación básica (ambiente de oficina separado de ambiente de servidores) bloquea el movimiento lateral de un ransomware tras el primer compromiso.
5. Entrenamiento anti-phishing
Una capacitación anual obligatoria con simulaciones mensuales reduce el clic a correos maliciosos en 40%-60% después del primer año. Es barato y mide un comportamiento real.
6. EDR o antivirus moderno
Los antivirus tradicionales basados solo en firmas son insuficientes. Las soluciones EDR (Endpoint Detection and Response) modernas, que incluyen detección comportamental y respuesta automatizada, ya son accesibles para empresas medianas a precios razonables.
7. Plan de respuesta a incidentes
Un documento corto que responda: ¿quién toma decisiones durante un incidente? ¿A quién se notifica? ¿Cuál es el árbol de escalamiento? ¿Hay un proveedor externo de respuesta? Sin este plan, en la crisis se improvisa y se pierde tiempo.
Marcos de referencia útiles
No necesitas certificarte en ISO 27001 para mejorar la seguridad, pero los marcos internacionales dan una ruta:
- CIS Controls v8: una lista priorizada de 18 controles con implementación práctica. Su nivel 1 (IG1) es alcanzable para cualquier empresa mediana.
- NIST Cybersecurity Framework: cinco funciones (Identificar, Proteger, Detectar, Responder, Recuperar) que ayudan a organizar la estrategia.
- Circular 007 de la Superfinanciera (si aplica a tu sector): define exigencias mínimas que muchas empresas pueden usar como referencia incluso fuera del sector financiero.
¿Por dónde empezar?
Si la ciberseguridad es un tema pendiente en tu empresa, no intentes hacerlo todo al tiempo. Una secuencia probada:
- Mes 1: activa MFA en correo y sistemas críticos. Cierra servicios expuestos a internet sin razón.
- Mes 2: implementa backups 3-2-1 y prueba la restauración al menos una vez.
- Mes 3: despliega EDR en endpoints críticos y actualiza el antivirus en el resto.
- Mes 4: lanza el primer entrenamiento anti-phishing con simulación.
- Mes 5: documenta el plan de respuesta a incidentes y ensaya un escenario.
- Mes 6: realiza una auditoría de seguridad externa para validar y priorizar lo siguiente.
Conclusión
La ciberseguridad en empresas medianas colombianas ya no es una opción. No se trata de gastar como un banco, sino de implementar lo básico con disciplina. Los atacantes buscan el camino de menor resistencia; cada control bien implementado mueve tu empresa fuera de ese camino.
En IT Efectivos realizamos diagnósticos de seguridad de 2 a 3 semanas que entregan una hoja de ruta priorizada y realista para los siguientes 6-12 meses. Si no has hecho una auditoría de seguridad en el último año, probablemente sea hora. Conversemos.