El panorama de la ciberseguridad para las pequeñas y medianas empresas presenta una paradoja creciente: la inteligencia artificial está transformando las herramientas de los atacantes, haciendo que las amenazas conocidas sean más sofisticadas y difíciles de detectar, pero los puntos de fallo iniciales en las organizaciones siguen siendo sorprendentemente tradicionales. Un empleado que hace clic en un enlace de phishing, una vulnerabilidad de software que no se actualiza a tiempo o una contraseña reutilizada son los incidentes que continúan causando la mayoría de los problemas. La IA no está creando necesariamente riesgos completamente nuevos, sino que está amplificando los ya existentes, lo que convierte la gestión de lo básico en una prioridad estratégica ineludible para las pymes que buscan mejorar su preparación cibernética.
Por qué el malware impulsado por IA sigue siendo una excepción, no la regla
A pesar de que el «malware impulsado por IA» encabeza la lista de preocupaciones de las pymes a nivel global, según el ESET SMB Cyber Readiness Index 2026, la realidad sobre el terreno es más matizada. En Norteamérica, esta preocupación alcanza el 33%, pero si se define el malware con IA como aquel que utiliza la inteligencia artificial de forma automatizada y en tiempo real, su presencia en ataques reales sigue siendo un tema más propio de laboratorios de investigación que de la práctica cotidiana de la ciberseguridad.
ESET documentó el primer caso conocido de ransomware escrito por IA en 2025, aunque todo apunta a que se trató de una prueba de concepto. Más recientemente, a principios de 2026, la compañía descubrió PromptSpy, el primer malware para Android que abusa de la inteligencia artificial generativa en su flujo de ejecución para lograr persistencia. Sin embargo, los hallazgos de este tipo por parte de los investigadores de amenazas han sido contados. El servicio de Detección y Respuesta Gestionada (MDR) de ESET no registra incidentes en los que la IA generativa haya desempeñado un papel significativo. Los actores de amenazas se benefician del apoyo de la IA para tareas como redactar correos de phishing más convincentes, pero pocos están operacionalizando la tecnología en tiempo real para tareas completamente automatizadas.
Esta discrepancia entre la percepción del riesgo y la realidad operativa es relevante para las pymes. Invertir recursos en prepararse contra un escenario de malware autorreplicante con IA puede desviar la atención de las verdaderas causas de los incidentes, que son mucho más predecibles y, afortunadamente, también más prevenibles.
Las cuatro amenazas reales que acosan a las pymes: datos y tendencias
Los datos de telemetría de ESET ofrecen una imagen clara de dónde reside el peligro real para las empresas más pequeñas. El ESET Threat Report H2 2025 señala que el phishing fue la amenaza más detectada en el segundo semestre de 2025, con un 30,8% de las detecciones, y los volúmenes continúan en aumento. La ingeniería social siempre ha sido una táctica favorita, y modalidades como el smishing (phishing por SMS) y el vishing (phishing por voz) están ganando terreno. La tecnología puede ayudar en la defensa, pero la formación y la concienciación del personal siguen siendo el eslabón más difícil de fortalecer.
En segundo lugar, las vulnerabilidades de seguridad sin parchear representan el 23% de las principales preocupaciones. Incluso las organizaciones pequeñas pueden ejecutar una variedad diversa de software, y no todo se puede actualizar simplemente activando las actualizaciones automáticas. El primer desafío es conocer qué software se está ejecutando y qué datos o sistemas críticos están expuestos. El volumen y la frecuencia con la que se descubren nuevas vulnerabilidades, sumados a la falta de experiencia para probar y aplicar parches críticos, suponen obstáculos considerables.
La falta de monitoreo de seguridad afecta al 22% de las pymes. Es posible contar con múltiples herramientas de seguridad, pero sin un lugar centralizado para recolectar, correlacionar y priorizar las alertas, la capacidad de detectar y responder a incidentes se ve gravemente limitada. Incluso las empresas que tienen monitoreo implementado pueden encontrarse abrumadas por la cantidad de alertas, con dificultades para distinguir las positivas reales de las falsas.
Por último, las contraseñas débiles constituyen el 20% de los problemas señalados. A pesar de los avances de la industria hacia la autenticación multifactor (MFA) resistente al phishing y el uso de passkeys, muchas organizaciones siguen dependiendo de contraseñas estáticas para proteger sus activos principales. Los empleados tienden a reutilizar las contraseñas, lo que multiplica el riesgo de compromiso. Establecer una política de contraseñas sólida es el primer paso; hacerla cumplir es el siguiente, y a menudo el más complejo.
La tendencia de detección de correos maliciosos durante 2025, reflejada en el informe de ESET, muestra un incremento sostenido en la segunda mitad del año, lo que confirma que el phishing no solo es un problema persistente, sino que su volumen sigue creciendo. Las pymes que ignoran estas cuatro áreas fundamentales están dejando la puerta abierta a incidentes que, aunque no sean tecnológicamente novedosos, son extremadamente efectivos.
Cómo la inteligencia artificial exacerba los riesgos clásicos
No se trata de ignorar la IA, sino de entender cómo está modificando el terreno de juego. Los atacantes están utilizando la inteligencia artificial para mejorar la calidad de los mensajes de phishing, incluyendo el uso de deepfakes para suplantar a directivos o proveedores, y para escalar y gestionar campañas de forma más eficiente. Esto reduce la ventana de tiempo que tienen las empresas para reaccionar y aumenta la credibilidad de los engaños.
En el ámbito de las vulnerabilidades, la IA permite a los ciberdelincuentes acelerar el ciclo de explotación. Pueden analizar rápidamente los parches publicados por los fabricantes, identificar las vulnerabilidades subyacentes y generar código de explotación en cuestión de horas, en lugar de días o semanas. Esto comprime aún más la ventana entre la divulgación de una vulnerabilidad, la creación del weaponizer y el ataque real. Para una pyme que ya tiene dificultades para mantener un inventario preciso de sus activos y priorizar los parches, esta aceleración supone un riesgo existencial.
La IA también se utiliza para analizar grandes volúmenes de datos filtrados y deducir patrones de contraseñas comunes, lo que facilita los ataques de relleno de credenciales. Además, los atacantes emplean la inteligencia artificial para realizar reconocimiento sobre los objetivos, identificando puntos de entrada y rutas de ataque con una rapidez que antes requería intervención manual intensiva. En conjunto, estos avances no crean amenazas completamente nuevas, pero sí aumentan la presión sobre las pymes para que tengan los fundamentos bien consolidados.
¿Qué significa esto en la práctica? Que una pyme que descuida la gestión de parches o la formación en phishing no solo se enfrenta a los riesgos tradicionales, sino que ahora lo hace con atacantes que disponen de herramientas más rápidas, más precisas y más difíciles de detectar. El costo de dejar lo básico sin hacer se ha elevado significativamente.
Soluciones probadas para contrarrestar riesgos amplificados por IA
La buena noticia es que las mejores prácticas de seguridad siguen siendo efectivas. La gestión de vulnerabilidades y parches es un punto de partida ineludible. Escanear de forma continua los sistemas operativos y las aplicaciones en busca de CVEs conocidos permite descubrir exposiciones, y desplegar las actualizaciones de forma automática según una política basada en riesgo es una medida que cualquier pyme puede implementar con las herramientas adecuadas.
La seguridad de la identidad se ha convertido en un pilar crítico. Los gestores de contraseñas pueden crear y almacenar credenciales fuertes y únicas para cada empleado, pero la autenticación multifactor es hoy una línea de defensa no negociable. Las herramientas de gestión de cuentas privilegiadas (PAM) ayudan a reducir la superficie de ataque y a proteger las cuentas de alto riesgo, como las de administradores de sistemas o responsables financieros.
Para abordar la escasez de habilidades en seguridad y mejorar la capacidad de monitoreo, la externalización de la detección y respuesta a un tercero de confianza se presenta como una solución eficaz. Un servicio de Detección y Respuesta Gestionada (MDR) no solo proporciona vigilancia continua, sino que también reduce la complejidad y los desafíos de integración que el 21% de las pymes señalan como la mayor barrera para mejorar su postura de seguridad. Un equipo externo especializado puede correlacionar alertas, filtrar falsos positivos y responder ante incidentes de forma mucho más ágil que un equipo interno limitado.
La formación continua de los empleados en materia de phishing y otras tácticas de ingeniería social sigue siendo una de las medidas más rentables. Combinar campañas de simulación con programas de concienciación adaptados al negocio puede reducir drásticamente la tasa de clics en enlaces maliciosos. La tecnología, por sí sola, no es suficiente; el factor humano sigue siendo el eslabón más débil, pero también el que más puede reforzarse con inversión sostenida.
El camino hacia la preparación y la resiliencia empresarial
Ninguna organización es demasiado pequeña para ser atacada, y la experiencia demuestra que los ciberdelincuentes no discriminan por tamaño. Las pymes que adoptan un enfoque proactivo, basado en datos reales y en la mitigación de las amenazas que realmente causan incidentes, están mejor posicionadas para evitar interrupciones graves. La verdadera preparación cibernética implica la capacidad de prevenir, detectar y responder a las amenazas, un objetivo que se alcanza mucho más rápido cuando se tiene una visión clara de los riesgos reales, no de los que generan titulares.
La inteligencia artificial está redefiniendo el ritmo y la sofisticación de los ataques, pero no ha cambiado las reglas fundamentales de la defensa. Las pymes que invierten en parchear a tiempo, en formar a su personal, en monitorear sus redes y en proteger sus identidades están construyendo una base sólida que resistirá tanto los ataques tradicionales como los impulsados por IA. El desafío no es tecnológico, es de prioridades: dedicar recursos a lo que realmente funciona, en lugar de perseguir fantasmas, es la estrategia que marca la diferencia entre una empresa que reacciona y una que está preparada.
