El malware ya no es un problema exclusivo del área de sistemas: es una amenaza contra la continuidad, la confianza y la capacidad de decidir de una empresa. En América Latina, el crecimiento de los infostealers, troyanos de acceso remoto, descargadores maliciosos y campañas de ingeniería social confirma algo que muchos directivos todavía subestiman: una organización puede tener antivirus, respaldos y políticas, y aun así seguir expuesta si su arquitectura de protección no conecta personas, procesos, datos y tecnología. El verdadero riesgo no comienza cuando aparece una alerta en una pantalla. Comienza mucho antes, cuando nadie sabe con precisión qué información es crítica, quién puede acceder a ella, cómo se protege, qué sucede si una credencial es robada o cuánto tiempo podría operar la empresa después de una intrusión. Comprender el malware exige, por tanto, mirar más allá del código malicioso y revisar la empresa completa. 👉 LEE NUESTRO BLOG...
Durante años se cometió un error conceptual que todavía persiste en muchas organizaciones: pensar que la ciberseguridad consiste principalmente en adquirir herramientas.
Antivirus, firewalls, copias de seguridad, filtros de correo, autenticación multifactor y plataformas de monitoreo son importantes. El problema aparece cuando esas herramientas se convierten en sustitutos del criterio empresarial.
Una empresa no está protegida porque tenga tecnología de seguridad. Está mejor protegida cuando sabe qué activos debe cuidar, cuáles amenazas enfrenta, cómo podrían comprometerlos, quién responde ante un incidente y cómo continuará operando si las medidas preventivas fallan.
Esa diferencia parece pequeña, pero cambia completamente la conversación.
El malware está cambiando, pero el problema empresarial sigue siendo el mismo
El panorama latinoamericano muestra una presencia importante de programas diseñados para robar información, tomar control remoto de equipos, descargar otras amenazas y capturar credenciales.
Durante 2025, ESET identificó entre las familias de infostealers con mayor presencia regional a LummaStealer, Amadey, Rozena, Guildma, Formbook y Xloader. LummaStealer llegó a registrar más de 4.000 detecciones únicas en América Latina durante ese año, con especial actividad en México, Brasil y Argentina.
Pero quedarse únicamente con los nombres produce una peligrosa ilusión de conocimiento.
Hoy hablamos de Lumma. Mañana será otra familia.
Una amenaza desaparece, otra adopta sus funciones, una infraestructura criminal es intervenida y meses después aparece un servicio diferente ofreciendo capacidades semejantes.
La organización necesita entender el fenómeno que existe detrás de esa lista.
Los ciberdelincuentes buscan aquello que tiene valor para la empresa: credenciales, contraseñas, información financiera, sesiones abiertas, datos personales, correos electrónicos, propiedad intelectual, accesos administrativos, información de clientes y capacidad para entrar posteriormente a otros sistemas.
Eso convierte el malware en algo mucho más serio que una infección informática.
Lo convierte en una puerta de entrada hacia el negocio.
El verdadero objetivo ya no siempre es destruir
Existe todavía la imagen del malware que infecta un computador, genera errores y termina bloqueándolo.
Las amenazas actuales pueden comportarse de manera mucho más silenciosa.
Un infostealer, por ejemplo, tiene precisamente interés en pasar inadvertido. Puede buscar credenciales almacenadas en navegadores, cookies, información del portapapeles, billeteras digitales, sesiones abiertas y otra información susceptible de monetización.
SnakeStealer, que ganó protagonismo durante 2025 en la telemetría de ESET, incorpora capacidades como registro de pulsaciones de teclado, extracción de credenciales almacenadas, capturas de pantalla y recopilación de información del portapapeles.
El atacante no necesariamente necesita destruir el computador.
Puede ser mucho más rentable observarlo.
Y desde el punto de vista gerencial, esa posibilidad obliga a replantear una pregunta fundamental:
¿Sabemos realmente qué podría obtener una persona que consiguiera las credenciales de uno de nuestros empleados?
Cuando realizamos esta pregunta dentro de una organización empiezan a aparecer problemas que no pertenecen exclusivamente al departamento de sistemas.
Usuarios que comparten contraseñas.
Personas que conservan accesos después de cambiar de cargo.
Antiguos colaboradores cuyas cuentas permanecen activas.
Información empresarial almacenada localmente sin necesidad.
Documentos confidenciales enviados por correo sin controles adicionales.
Contraseñas guardadas en navegadores.
Equipos personales utilizados para actividades corporativas.
Privilegios administrativos concedidos permanentemente.
Copias de seguridad existentes, pero nunca probadas.
Proveedores con accesos que nadie revisa.
Ahí empieza la verdadera superficie de riesgo.
Si su empresa necesita comprender dónde están hoy sus mayores exposiciones digitales antes de comprar nuevas herramientas, una conversación consultiva puede ayudar a convertir preocupaciones dispersas en prioridades concretas:
https://t.mtrbio.com/todo-en-unonet
La ingeniería social está trasladando parte del ataque hacia la persona
Otro cambio importante consiste en comprender que muchos ataques modernos necesitan cada vez menos vulnerabilidades técnicas sofisticadas.
Necesitan decisiones humanas previsibles.
Correos urgentes.
Falsas actualizaciones.
Instaladores aparentemente legítimos.
Sitios fraudulentos.
CAPTCHA falsos.
Documentos adjuntos.
Enlaces enviados mediante redes sociales o mensajería.
Instrucciones que convencen al usuario de ejecutar determinadas acciones.
Una tendencia particularmente ilustrativa es ClickFix. En lugar de explotar automáticamente una vulnerabilidad, el atacante presenta un problema falso y convence a la víctima de ejecutar la supuesta solución.
La telemetría global de ESET reportó que las detecciones asociadas con ClickFix crecieron 108 % entre el segundo semestre de 2025 y el primero de 2026. Además, comenzaron a observarse variantes que aprovechan la confianza depositada en herramientas de inteligencia artificial, extensiones del navegador y autorizaciones OAuth.
Este fenómeno debería interesar especialmente a los directivos.
Porque demuestra que la frontera entre seguridad tecnológica y comportamiento organizacional prácticamente desapareció.
Si una persona autorizada puede ejecutar una instrucción dañina, entregar una credencial o aprobar un acceso, el atacante puede utilizar procedimientos legítimos para obtener resultados ilegítimos.
Y ninguna organización puede solucionar completamente ese riesgo limitándose a instalar otro programa.
Capacitar tampoco significa enviar una charla anual
Al descubrir la importancia del factor humano aparece otra respuesta automática: capacitación.
Entonces se organiza una presentación de ciberseguridad una vez al año.
Los colaboradores la escuchan.
Firman una asistencia.
Y la organización considera cumplida su responsabilidad.
Eso tampoco constituye una arquitectura de protección.
El aprendizaje debería estar relacionado con situaciones reales de trabajo.
La persona que administra pagos necesita comprender amenazas diferentes de quien maneja redes sociales.
Quien tiene privilegios de administrador representa un nivel de riesgo distinto al usuario de una aplicación limitada.
La gerencia necesita saber cómo actuar ante extorsión, fuga de información o interrupción del negocio.
El área comercial debe entender por qué una base de clientes representa un activo sensible.
Recursos humanos necesita proteger documentos que contienen información personal y laboral.
Quien administra el correo debe reconocer que una cuenta comprometida puede convertirse en instrumento para atacar a clientes, proveedores y compañeros.
La formación funciona cuando modifica decisiones.
No simplemente cuando entrega información.
El malware revela algo sobre la arquitectura interna de la empresa
Aquí aparece el punto que considero más importante.
Cuando analizamos un incidente exclusivamente desde la pregunta “¿qué malware fue?”, probablemente estamos investigando demasiado tarde.
Las preguntas estratégicas deberían empezar antes:
¿Qué activo permitió comprometer?
¿Qué información pudo alcanzar?
¿Qué privilegios tenía la cuenta afectada?
¿Por qué esos privilegios eran necesarios?
¿Existía segmentación?
¿La autenticación adicional estaba activa?
¿Había registros suficientes para determinar qué ocurrió?
¿Los accesos estaban actualizados?
¿La información sensible se encontraba identificada?
¿Existe un procedimiento de respuesta?
¿Podemos recuperar la operación?
¿Sabemos a quién debemos informar?
¿Tenemos responsabilidades definidas?
En TODO EN UNO.NET hemos defendido durante décadas un criterio que adquiere especial relevancia en seguridad:
“Nunca la tecnología por la tecnología en sí misma; sino la tecnología por la funcionalidad.”
La ciberseguridad también debe obedecer ese principio.
Comprar tecnología sin saber qué problema funcional pretende resolver puede aumentar el presupuesto sin reducir proporcionalmente el riesgo.
Proteger datos exige saber dónde están
Puede parecer elemental, pero numerosas empresas intentan proteger información que nunca han inventariado.
No saben exactamente qué bases de datos poseen.
Dónde existen copias.
Quién tiene acceso.
Qué proveedores las procesan.
Cuáles contienen información personal.
Cuánto tiempo deberían conservarse.
Quién es responsable.
Qué aplicaciones las comparten.
Qué sucede cuando un empleado descarga información a Excel y la envía posteriormente mediante correo electrónico o mensajería.
Desde esa perspectiva, la protección de datos y la ciberseguridad dejan de ser dos conversaciones independientes.
Un malware diseñado para robar información aprovecha precisamente esos vacíos.
La empresa puede tener políticas jurídicas bien redactadas y, simultáneamente, mantener prácticas operativas que contradicen esas políticas.
Puede afirmar que limita accesos mientras existen usuarios compartidos.
Puede declarar que protege información sensible mientras permite almacenarla indefinidamente en computadores personales.
Puede exigir confidencialidad y carecer de controles para identificar una descarga masiva.
Puede tener copias de seguridad y desconocer cuánto tardaría realmente en restaurar sus procesos críticos.
La seguridad necesita coincidir con la realidad.
Si desea revisar esa realidad con criterio empresarial —datos, accesos, procesos, responsabilidades, continuidad y tecnología— puede iniciar aquí una conversación con TODO EN UNO.NET:
https://t.mtrbio.com/todo-en-unonet
No todo incidente se evita; por eso la empresa debe prepararse para resistirlo
Existe otra idea que merece corregirse.
La seguridad absoluta no existe.
Una organización madura no trabaja únicamente para impedir que ocurra un incidente. También desarrolla capacidad para detectarlo, limitarlo, responder y recuperarse.
Ese cambio de mentalidad es fundamental.
Preguntemos, por ejemplo, qué ocurriría mañana si la cuenta de correo de un directivo fuera comprometida.
¿Quién podría bloquearla?
¿En cuánto tiempo?
¿La persona responsable sabe hacerlo?
¿Podrían revisarse los accesos recientes?
¿Sería posible invalidar sesiones activas?
¿Sabemos qué aplicaciones están vinculadas a esa cuenta?
¿Podría el atacante restablecer contraseñas de otros servicios mediante ese correo?
¿Existen procedimientos para avisar a clientes o proveedores si fuera necesario?
¿Quedaría evidencia suficiente para reconstruir el incidente?
Las respuestas importan más que cualquier afirmación genérica sobre “estar protegidos”.
Una empresa resiliente desarrolla capacidad de respuesta antes de necesitarla.
El crecimiento del malware como servicio cambia la economía del ciberdelito
Otro aspecto que los empresarios deberían comprender es la profesionalización del ecosistema criminal.
Algunas familias de malware se distribuyen bajo modelos semejantes a servicios comerciales: herramientas desarrolladas, actualizadas y ofrecidas a otros delincuentes.
Es el concepto conocido como Malware-as-a-Service.
Eso disminuye las barreras de entrada.
El atacante ya no necesita construir desde cero toda la infraestructura técnica.
Puede adquirir herramientas, combinar componentes, utilizar distribuidores de malware y adaptar campañas para diferentes objetivos.
Lumma Stealer evolucionó precisamente bajo ese modelo. Su arquitectura modular y su comercialización dentro de mercados clandestinos facilitaron que múltiples actores pudieran utilizarlo mediante diferentes mecanismos de distribución.
Durante el segundo semestre de 2025 también ganó protagonismo CloudEyE, conocido como GuLoader, utilizado como descargador y mecanismo para desplegar posteriormente ransomware e infostealers como Formbook y Agent Tesla. Según ESET, su actividad global aumentó aproximadamente treinta veces respecto del periodo anterior.
Desde el punto de vista empresarial, esto significa algo sencillo:
El adversario también se está volviendo más eficiente.
Por eso una empresa no puede defenderse con procesos improvisados.
La inteligencia artificial añade una nueva capa al problema
La inteligencia artificial no reemplazó las amenazas tradicionales.
Las está complementando.
Durante 2026 hemos comenzado a observar un escenario en el que atacantes pueden aprovechar sistemas de IA, automatización, contenido sintético y mecanismos de engaño cada vez más convincentes.
ESET reportó durante el primer semestre de 2026 investigaciones sobre cientos de miles de componentes o “skills” disponibles en repositorios vinculados con agentes de IA, identificando miles de elementos maliciosos o sospechosos.
No significa que toda inteligencia artificial represente una amenaza.
Significa justamente lo contrario: necesitamos aprender a incorporarla con gobierno.
Permitir indiscriminadamente herramientas de IA dentro de una organización, sin definir qué información pueden recibir, qué aplicaciones pueden conectar, quién autoriza integraciones o qué datos pueden procesar, crea una nueva superficie de exposición.
La pregunta correcta tampoco es “¿debemos usar inteligencia artificial?”.
La pregunta es:
¿Para qué la vamos a utilizar, con qué información, bajo qué controles y con qué responsabilidad?
Funcionalidad antes que fascinación tecnológica.
La respuesta empresarial: una Arquitectura de Protección de Datos y Confianza Digital
Cuando malware, datos, accesos, personas, proveedores, aplicaciones, cumplimiento y continuidad se analizan independientemente, la dirección recibe una colección de problemas.
Cuando se conectan, aparece una arquitectura.
La Arquitectura de Protección de Datos y Confianza Digital (APDP) parte precisamente de esa visión.
No consiste en comprar un producto determinado.
Consiste en construir coherencia.
Identificar activos críticos.
Comprender el recorrido de la información.
Clasificar accesos.
Reducir privilegios innecesarios.
Revisar proveedores.
Fortalecer autenticación.
Definir procedimientos.
Preparar recuperación.
Formar personas según su función.
Relacionar seguridad con cumplimiento.
Establecer responsabilidades.
Medir capacidad de respuesta.
Y después seleccionar la tecnología que realmente soporte esas necesidades.
El orden importa.
Primero comprender.
Después decidir.
Finalmente implementar.
Cuando hacemos lo contrario, las organizaciones terminan acumulando herramientas que nadie administra correctamente, alertas que nadie interpreta y políticas que nadie conecta con la operación.
La pregunta que un gerente debería hacer mañana
No pregunte solamente:
“¿Tenemos antivirus?”
Pregunte:
“Si mañana alguien roba las credenciales de una persona de nuestra empresa, ¿hasta dónde podría llegar?”
Esa pregunta puede resultar incómoda.
Precisamente por eso es útil.
Después pregunte:
“¿Cuál es nuestra información más crítica?”
“¿Quién puede acceder?”
“¿Cuánto tardaríamos en detectar un acceso anormal?”
“¿Qué proceso dejaría de funcionar si perdemos determinados sistemas?”
“¿Cuánto tardaríamos en recuperarlo?”
“¿Qué proveedores tienen acceso a nuestra información?”
“¿Qué empleados conservan permisos que ya no necesitan?”
“¿Qué haríamos durante las primeras dos horas de un incidente?”
Una organización que responde esas preguntas está comenzando a gestionar riesgo.
Una que solamente enumera herramientas está describiendo inventario tecnológico.
Y ambas cosas no son equivalentes.
La confianza digital se construye antes del ataque
Clientes, empleados, proveedores y aliados entregan información a una empresa bajo una expectativa silenciosa: que esa información será tratada responsablemente.
Cada incidente de seguridad tiene, por eso, una dimensión tecnológica, una dimensión operativa y una dimensión reputacional.
La confianza tarda años en construirse y puede deteriorarse rápidamente cuando una organización demuestra que no conocía sus propios riesgos.
Por eso considero que la conversación sobre los malware más activos en América Latina es necesaria, pero insuficiente.
Los nombres nos advierten sobre el entorno.
No nos dicen si nuestra empresa está preparada.
Ese diagnóstico solamente puede construirse mirando hacia adentro.
La pregunta decisiva no es qué malware encabezará el próximo informe.
Es si nuestra organización será más difícil de comprometer, más rápida para detectar una intrusión, más preparada para contenerla y suficientemente resiliente para continuar operando.
Esa es la diferencia entre reaccionar ante amenazas y gobernar el riesgo.
Si considera que su empresa necesita pasar de medidas aisladas de seguridad a una visión integral de protección, continuidad y confianza digital, puede conversar con TODO EN UNO.NET aquí:
https://t.mtrbio.com/todo-en-unonet
La tecnología seguirá cambiando. Los nombres del malware también. Lo que no debería cambiar es la responsabilidad de la dirección de comprender qué protege, por qué lo protege y qué tan preparada está la organización cuando algo falla.
La verdadera ciberseguridad empresarial comienza precisamente ahí: cuando dejamos de perseguir amenazas una por una y empezamos a construir organizaciones capaces de proteger aquello que sostiene su operación y la confianza de quienes dependen de ellas.