El ransomware dejó de ser un problema exclusivo de sistemas: hoy puede detener ventas, operaciones, pagos, atención al cliente y decisiones directivas. Para una empresa colombiana, el verdadero riesgo no empieza cuando aparece una nota de rescate, sino mucho antes, cuando existen accesos sin control, cuentas olvidadas, respaldos que nadie prueba, equipos desactualizados y responsabilidades mal asignadas. El crecimiento reciente de los ataques confirma algo conocido: comprar más tecnología no equivale a estar mejor protegido. La seguridad depende de cómo se gobiernan los datos, las identidades, los procesos y la continuidad del negocio. Cuando esos elementos funcionan por separado, la organización puede parecer protegida hasta que una credencial comprometida demuestra lo contrario. Por eso, la pregunta gerencial ya no es si la empresa tiene antivirus, sino cuánto puede resistir, responder y recuperarse cuando una amenaza logra entrar. Esa diferencia separa la seguridad aparente de la resiliencia. 👉 LEE NUESTRO BLOG...
El dato que ha encendido las alarmas merece atención, pero también interpretación. El Cyber Risk Report 2026 citado recientemente por ITSitio señala que los ataques confirmados de ransomware aumentaron 236% y superaron los 5.000 casos registrados por grupos criminales. El mismo análisis identifica la gestión de identidades y accesos como uno de los principales puntos débiles: siete de los diez mayores riesgos encontrados se relacionan con este frente.
Eso no significa que en Colombia el ransomware haya aumentado exactamente 236%. El porcentaje corresponde al universo analizado por el informe y debe evitarse convertirlo, sin evidencia adicional, en una estadística exclusivamente colombiana.
Pero sería igualmente equivocado concluir que el problema nos queda lejos.
En Colombia ya existen señales suficientemente claras para entender que el riesgo es real. El Ministerio de Justicia y del Derecho confirmó que el 2 de agosto de 2026 sufrió un ataque mediante ransomware. COLCERT participó posteriormente en la inspección, preservación de evidencias y labores de análisis forense, mientras la entidad tuvo que activar mecanismos alternativos para mantener parte de la atención ciudadana.
El caso importa por una razón empresarial sencilla: un ataque informático deja de ser “informático” en el momento en que obliga a modificar la operación.
Ahí comienza el verdadero problema.
El ransomware no secuestra computadores: secuestra capacidad empresarial
Durante años muchas organizaciones abordaron la ciberseguridad como una responsabilidad casi exclusiva del departamento de tecnología.
Compraron antivirus.
Instalaron firewall.
Contrataron almacenamiento en la nube.
Implementaron copias de seguridad.
Crearon contraseñas más complejas.
Todo ello sigue siendo necesario, pero ya no es suficiente.
El ransomware moderno busca aprovechar la relación entre personas, credenciales, aplicaciones, proveedores, configuraciones, infraestructura y datos. Cuando encuentra una debilidad, trata de convertirla en una ruta de acceso.
Por eso una empresa puede disponer de herramientas reconocidas y, sin embargo, mantener una fragilidad importante.
Una cuenta de un colaborador retirado que sigue habilitada puede convertirse en una puerta.
Un usuario con privilegios innecesarios puede ampliar el impacto de una intrusión.
Una autenticación multifactor que existe, pero está desactivada en determinados servicios, puede anular buena parte de una inversión en seguridad.
Un respaldo que nunca ha sido restaurado en una prueba real puede generar una falsa sensación de tranquilidad.
Una aplicación desactualizada puede terminar conectando al atacante con sistemas mucho más importantes.
Y un proveedor externo con acceso excesivo puede transformar una relación comercial normal en una exposición involuntaria.
La seguridad, por tanto, no debería analizarse solamente preguntando qué herramientas tiene la empresa.
Deberíamos preguntar cómo están organizadas, administradas, vigiladas y relacionadas entre sí.
Esa diferencia es fundamental.
En TODO EN UNO.NET hemos sostenido una filosofía que cobra especial importancia frente a este tipo de amenazas:
“Nunca la tecnología por la tecnología en sí misma; sino la tecnología por la funcionalidad.”
Aplicada a la ciberseguridad significa algo muy concreto: no interesa cuántas soluciones se compraron si la organización no puede demostrar qué protegen, quién las administra, qué riesgos reducen, qué información respaldan y cómo funcionarán durante una contingencia.
Si su empresa no tiene claridad sobre estas respuestas, una revisión independiente puede ayudarle a identificar las brechas antes de que lo haga un atacante:
https://t.mtrbio.com/todo-en-unonet
La vulnerabilidad que más preocupa puede tener nombre y contraseña
Uno de los aspectos más reveladores del informe citado es precisamente el peso de las identidades digitales.
Durante mucho tiempo imaginamos al ciberdelincuente intentando “romper” tecnológicamente una muralla.
Hoy, en numerosos incidentes, puede resultar mucho más efectivo conseguir las llaves.
Credenciales robadas mediante phishing.
Contraseñas reutilizadas.
Sesiones comprometidas.
Cuentas antiguas.
Privilegios excesivos.
Servicios expuestos.
Accesos de terceros que nadie volvió a revisar.
El atacante no siempre necesita destruir la puerta si logra ingresar como un usuario aparentemente autorizado.
El Cyber Risk Report 2026 citado por ITSitio también advierte que los atacantes tardan, en promedio, apenas 39 días en aprovechar vulnerabilidades después de que se hacen públicas. El reporte plantea además que el parcheo virtual puede ampliar temporalmente la ventana defensiva, mientras las organizaciones corrigen definitivamente la exposición.
Esto debería modificar la conversación en las juntas directivas.
Una vulnerabilidad ya no puede permanecer durante meses en una hoja de cálculo esperando “cuando sistemas tenga tiempo”.
Hay exposiciones cuyo reloj empieza a correr desde el momento en que se conocen públicamente.
La velocidad de respuesta se convierte entonces en una capacidad empresarial.
Y esa capacidad depende tanto de la tecnología como de la organización interna.
¿Quién recibe una alerta?
¿Quién determina su criticidad?
¿Quién autoriza la intervención?
¿Quién verifica que se corrigió?
¿Quién informa si existe riesgo sobre información personal?
¿Quién decide si deben aislarse sistemas?
¿Quién mantiene operando el negocio mientras tecnología contiene el incidente?
Si esas responsabilidades empiezan a definirse después del ataque, la empresa ya comenzó tarde.
Las empresas medianas enfrentan una paradoja peligrosa
El informe mencionado señala una mayor puntuación de riesgo para organizaciones medianas dentro de su propia clasificación, correspondiente allí a compañías de entre 5.000 y 10.000 empleados.
Conviene nuevamente no trasladar automáticamente esa definición al concepto colombiano de pyme.
Sin embargo, la lógica detrás del hallazgo sí merece nuestra atención.
Existe una etapa del crecimiento empresarial en la que la complejidad aumenta más rápido que el control.
Se abren sedes.
Se incorporan aplicaciones.
Aparecen nuevos proveedores.
Se contrata personal.
Se habilitan usuarios.
Se crean bases de datos.
Se agregan computadores.
Se utilizan servicios cloud.
Se implementan sistemas contables, comerciales, productivos y de atención.
Pero los procedimientos de seguridad continúan siendo prácticamente los mismos que cuando la organización tenía una estructura mucho más pequeña.
Ese desfase es peligroso.
He encontrado durante décadas un fenómeno similar en distintas áreas administrativas: las empresas crecen primero y organizan después.
En ciberseguridad, ese hábito puede resultar especialmente costoso.
Porque cada nueva herramienta, integración, usuario y dispositivo puede ampliar la superficie que debe protegerse.
Por eso el crecimiento tecnológico debería ir acompañado por un crecimiento equivalente en gobierno.
No necesariamente en burocracia.
Sí en criterio.
El error de creer que el respaldo resuelve el ransomware
Cuando pregunto por preparación frente a ransomware, una de las respuestas más frecuentes suele ser:
“Tenemos backup”.
Es una buena noticia.
Pero inmediatamente aparecen otras preguntas.
¿Dónde está?
¿Está separado del entorno principal?
¿Puede ser modificado por las mismas credenciales administrativas?
¿Cuándo se hizo la última copia?
¿Cuánto tiempo de operación perdería la empresa si tuviera que restaurarla?
¿Alguna vez se ha probado una recuperación completa?
¿Cuánto tardaría?
¿Incluye todas las aplicaciones críticas?
¿Quién tiene autorización para iniciar la restauración?
¿Existe una copia que un atacante no pueda borrar o cifrar?
Un backup no probado es una promesa.
Una recuperación probada es una capacidad.
Esa distinción resulta decisiva porque el objetivo empresarial no debería ser únicamente “tener copias”, sino poder recuperar funciones críticas dentro de tiempos aceptables.
Además, el ransomware actual no se limita necesariamente al cifrado.
Los delincuentes pueden intentar extraer información antes de bloquear los sistemas y utilizarla posteriormente como instrumento de presión.
En esos casos, restaurar una copia puede recuperar la operación, pero no elimina automáticamente el riesgo derivado de una posible exposición de información.
Por eso debemos conectar ciberseguridad, continuidad del negocio, protección de datos y gobierno corporativo.
Separarlas crea vacíos.
Integrarlas crea resiliencia.
Kaspersky informó en julio de 2026 sobre incidentes investigados en Colombia y México en los que atacantes utilizaron herramientas legítimas y configuraciones deficientes para desplegar ransomware, incluso aprovechando BitLocker y las propias impresoras corporativas para imprimir notas de rescate. Los casos muestran nuevamente que una tecnología diseñada para proteger puede convertirse en parte del ataque cuando se utiliza dentro de un entorno mal controlado.
Esa realidad resume perfectamente el problema: la herramienta por sí sola nunca reemplaza una arquitectura bien gobernada.
Proteger los datos exige saber primero dónde están
Existe otra debilidad frecuente que pocas empresas reconocen abiertamente.
No conocen con precisión toda la información que poseen.
Saben que tienen bases de clientes.
Pero también existen archivos descargados.
Copias en computadores personales.
Documentos enviados por correo.
Información almacenada en plataformas SaaS.
Bases antiguas que nadie utiliza.
Archivos compartidos con proveedores.
Carpetas duplicadas.
Dispositivos externos.
Conversaciones de mensajería.
Información que algunos colaboradores llevaron a hojas de cálculo porque “era más práctico”.
Cuando ocurre un incidente, aparece entonces una pregunta incómoda:
¿Qué información pudo quedar expuesta?
Responderla exige algo anterior a cualquier software sofisticado: conocer el ciclo de vida de los datos.
Qué información recolectamos.
Por qué la necesitamos.
Dónde se almacena.
Quién puede acceder.
Con quién se comparte.
Cuánto tiempo se conserva.
Cómo se respalda.
Cómo se elimina.
Qué controles la protegen.
Ese conocimiento no pertenece exclusivamente al responsable de tecnología ni al responsable de protección de datos.
Pertenece a la empresa.
Por eso considero que la mejor defensa comienza mucho antes del incidente: comienza cuando la organización convierte su información en un activo gobernado y no simplemente almacenado.
Si necesita revisar cómo se conectan protección de datos, accesos, infraestructura, continuidad y responsabilidades internas, puede iniciar una conversación consultiva con TODO EN UNO.NET:
https://t.mtrbio.com/todo-en-unonet
Cinco preguntas que una gerencia debería poder responder hoy
No hace falta esperar un comité técnico para empezar a evaluar el nivel real de preparación.
Una dirección empresarial debería poder responder, al menos, estas preguntas.
¿Cuáles son nuestros procesos que no pueden detenerse?
No todos los sistemas tienen la misma importancia. Seguridad comienza por comprender qué procesos sostienen ingresos, producción, servicio, pagos, logística, atención y obligaciones regulatorias.
¿Qué sistemas y datos permiten que esos procesos funcionen?
Cuando se establece esa relación, la empresa puede priorizar mejor sus inversiones.
¿Quién tiene acceso y por qué lo necesita?
Los privilegios deberían responder a funciones reales, no a acumulaciones históricas de permisos.
¿Podemos recuperar la operación sin depender del sistema comprometido?
Aquí se descubre si existe continuidad verdadera o solamente copias de seguridad.
¿Quién toma las decisiones durante un incidente?
Un ciberataque combina decisiones técnicas, jurídicas, administrativas, financieras, reputacionales y humanas.
Ninguna de estas preguntas comienza mencionando una marca de antivirus.
No es casualidad.
Comienzan por el negocio.
El costo más importante quizá no sea el rescate
La palabra ransomware dirige naturalmente nuestra atención hacia el dinero exigido por el delincuente.
Sin embargo, para una empresa pueden existir costos mucho mayores.
Horas sin facturar.
Pedidos detenidos.
Producción interrumpida.
Clientes sin atención.
Empleados improductivos.
Consultores forenses.
Restauración de sistemas.
Reconfiguración de equipos.
Revisión jurídica.
Investigaciones.
Comunicaciones de crisis.
Pérdida de oportunidades comerciales.
Daño reputacional.
Posibles consecuencias relacionadas con información comprometida.
Tiempo de la alta dirección dedicado a una emergencia que pudo haberse reducido mediante preparación.
Y existe un costo todavía menos visible: la pérdida de confianza.
Los datos no son solamente archivos.
Representan relaciones.
Un cliente entrega información porque espera que la organización la administre responsablemente.
Un empleado hace lo mismo.
También un proveedor.
Cuando esa confianza se deteriora, ninguna restauración informática la recupera automáticamente.
De ahí que la protección de datos deba entenderse como una función estratégica y no simplemente como una obligación documental.
La respuesta correcta no es comprar más; es organizar mejor
Frente al aumento del ransomware aparecerán inevitablemente más ofertas tecnológicas.
Nuevas plataformas.
Más inteligencia artificial.
Más automatización.
Más monitoreo.
Más herramientas de detección.
Algunas pueden ser excelentes.
Pero comprar antes de comprender el problema puede ampliar la complejidad en vez de reducir el riesgo.
Nuestra aproximación debería comenzar por observar la realidad empresarial.
Identificar activos críticos.
Revisar usuarios y privilegios.
Entender dependencias.
Clasificar información.
Examinar configuraciones.
Comprobar respaldos.
Revisar proveedores.
Definir responsables.
Evaluar vulnerabilidades.
Medir capacidad de detección.
Probar recuperación.
Después puede decidirse qué tecnología realmente hace falta.
Ese orden importa.
Porque una herramienta comprada sin propósito termina siendo otro componente que alguien deberá configurar, actualizar, integrar y supervisar.
La verdadera modernización empresarial no consiste en acumular soluciones.
Consiste en construir capacidades.
De la seguridad fragmentada a una Arquitectura de Protección de Datos y Confianza Digital
El ransomware revela algo que muchas organizaciones no ven durante la operación normal: la seguridad está distribuida por toda la empresa.
Está en recursos humanos cuando se retira un colaborador y deben revocarse sus accesos.
Está en compras cuando se selecciona un proveedor tecnológico.
Está en jurídica cuando se establecen obligaciones relacionadas con información.
Está en administración cuando se definen procedimientos.
Está en tecnología cuando se configuran identidades, actualizaciones, respaldos y monitoreo.
Está en la gerencia cuando se decide cuánto riesgo es aceptable.
Está en cada colaborador cuando recibe un correo inesperado o utiliza una contraseña.
Por eso propongo abordar el problema desde una Arquitectura de Protección de Datos y Confianza Digital (APDP).
No como un producto.
No como una nueva capa de burocracia.
Sino como una forma ordenada de relacionar personas, procesos, datos, tecnología, cumplimiento y continuidad.
La arquitectura empieza identificando lo que debe protegerse.
Después establece quién puede acceder.
Define controles proporcionales al riesgo.
Determina responsabilidades.
Conecta el manejo de incidentes con la continuidad empresarial.
Y mantiene evaluación permanente porque la organización y las amenazas cambian.
En ese modelo, la pregunta deja de ser:
“¿Estamos protegidos?”
Y se convierte en algo mucho más útil:
“¿Qué riesgos conocemos, cuáles hemos reducido, cuáles aceptamos y cómo responderemos a los que logren materializarse?”
Esa es una conversación mucho más madura.
La inteligencia artificial también está cambiando la velocidad del adversario
El escenario continuará evolucionando.
Los atacantes también automatizan.
También utilizan inteligencia artificial.
También perfeccionan ingeniería social.
También buscan vulnerabilidades con mayor velocidad.
También exploran nuevas maneras de utilizar herramientas legítimas contra sus propietarios.
Esto no significa que las empresas deban entrar en una carrera desesperada de adquisiciones.
Significa que tendrán que acortar sus propios tiempos de decisión.
Si una vulnerabilidad crítica requiere seis reuniones para aprobar una actualización, el problema ya no es únicamente técnico.
Si desactivar una cuenta de un exempleado tarda semanas, el problema es administrativo.
Si nadie sabe quién debe comunicar una posible exposición de datos, el problema es de gobierno.
Si recuperar un sistema depende de una sola persona, el problema es organizacional.
Si la gerencia desconoce qué activos son críticos, el problema es estratégico.
El ransomware tiene una capacidad incómoda: convierte pequeñas deficiencias acumuladas en una gran crisis visible.
Por eso también puede servirnos como una advertencia útil.
No necesitamos esperar el ataque para descubrir esas deficiencias.
La prueba que realmente importa ocurre antes de la emergencia
Una organización preparada no es aquella que afirma tener protocolos.
Es aquella que los ha probado.
Un ejercicio sencillo de simulación puede revelar más que muchas reuniones.
Supongamos que mañana, a las 8:15 a. m., alguien informa que varios archivos dejaron de abrir.
¿Qué sucede durante los siguientes quince minutos?
¿A quién llama?
¿Se desconecta el equipo?
¿Quién determina si existe propagación?
¿Puede suspenderse un usuario rápidamente?
¿Existe registro de eventos?
¿Los respaldos están aislados?
¿Se conoce qué proceso empresarial está comprometido?
¿Gerencia recibe información verificable o rumores?
¿Existe un canal alternativo de comunicación?
¿Quién documenta lo ocurrido?
¿Quién evalúa implicaciones relacionadas con datos personales?
¿Quién atiende clientes mientras se recupera la operación?
La simulación permite detectar fallas cuando todavía son baratas.
Durante un ataque real, esas mismas fallas cuestan tiempo, dinero y confianza.
La ciberseguridad necesita dejar de ser una conversación basada en miedo
Existe una tentación comercial frecuente en esta industria: vender seguridad asustando.
No la comparto.
El miedo puede conseguir atención temporal, pero no construye mejores organizaciones.
El empresario necesita criterio.
Necesita comprender qué puede ocurrir, qué tan expuesto está, qué debe priorizar y qué inversiones realmente producen una mejora.
El dato de un crecimiento del 236% merece ser observado.
El ransomware confirmado contra una entidad colombiana en agosto de 2026 merece atención.
Pero ninguna cifra debería conducirnos al pánico.
Debería conducirnos a revisar.
A preguntar.
A comprobar.
A corregir.
A preparar.
El objetivo de la seguridad empresarial no es prometer que nunca ocurrirá un incidente. Esa promesa sería irresponsable.
El objetivo es reducir la probabilidad, limitar el impacto, proteger la información, mantener capacidades críticas y recuperarse de manera organizada.
Eso sí puede gestionarse.
Y cuanto más temprano se haga, menos dependerá la empresa de decisiones improvisadas bajo presión.
Durante décadas de trabajo empresarial he comprobado que las organizaciones suelen identificar sus mayores debilidades cuando algo deja de funcionar. La oportunidad consiste en invertir ese orden: descubrirlas mientras todavía tenemos tiempo para corregirlas.
El ransomware está creciendo, evolucionando y aprovechando errores que muchas veces parecen pequeños.
La respuesta empresarial no debería ser llenar la organización de tecnología.
Debería ser construir una estructura en la que cada tecnología tenga propósito, cada acceso tenga justificación, cada dato tenga responsable, cada respaldo haya sido probado y cada incidente tenga una ruta clara de respuesta.
Ese es el verdadero salto de seguridad.
Pasar de “tenemos herramientas” a “tenemos capacidad”.
De reaccionar a gobernar.
De almacenar información a proteger confianza.
De depender de personas aisladas a operar bajo responsabilidades definidas.
Y, finalmente, de considerar la ciberseguridad como un gasto técnico a comprenderla como una condición de continuidad empresarial.
Si desea evaluar dónde están las brechas reales de su organización y construir una ruta funcional de protección antes de que una contingencia obligue a hacerlo, conversemos:
https://t.mtrbio.com/todo-en-unonet
La tecnología continuará cambiando y también lo harán las amenazas. Lo que no debería cambiar es el criterio con el que una empresa protege aquello que le permite existir: sus procesos, su información, sus personas y la confianza de quienes se relacionan con ella.