Durante el 2026 se prevé un aumento de ataques DDoS y ransomware contra infraestructuras críticas, que obliga a repensar la ciberseguridad como un pilar estratégico del negocio. Hoy es más fácil engañar a un colaborador de RR.HH., Finanzas o Compras que vulnerar directamente a los sistemas.
Lima., octubre de 2026.- Según las últimas tendencias identificadas por Minsait Cyber, unidad especializada en ciberseguridad de Indra Group, los ciberdelincuentes han cambiado su estrategia: ya no atacan directamente los sistemas centrales de las empresas, sino que buscan las puertas menos protegidas.
Ese cambio tiene una explicación simple. Los departamentos de IT cuentan cada vez con mayores herramientas de protección y personal especializado. Por eso, los atacantes prefieren dirigirse a áreas como Recursos Humanos, Finanzas, Compras, Atención al Cliente o incluso a la Dirección, donde los controles son más débiles pero la información y el poder de decisión son mucho mayores.
“La estrategia es hacerlo más simple, más barato y con una tasa de éxito mucho mayor. Es como un ladrón que quiere entrar a un domicilio: busca la puerta más fácil de abrir. Hoy es más fácil engañar a un colaborador de Recursos Humanos, Finanzas o Compras mediante un email o una llamada fraudulenta que vulnerar directamente la infraestructura tecnológica. Una vez dentro, el hacker puede moverse dentro de la empresa para alcanzar activos más críticos”, señaló Jordi Ferrer Guillén, profesor de EAE Business School.
Por ello, el docente de EAE Business School nos comparte cinco medidas claves que toda empresa debería implementar para proteger sus puntos más vulnerables:
- Formar a los colaboradores como primera línea de defensa.La mayor parte de los ataques exitosos comienza con una interacción humana. Enseñar a identificar correos fraudulentos, enlaces sospechosos y tácticas de ingeniería social genera un impacto inmediato en la seguridad de la organización, especialmente en departamentos como Finanzas, RR.HH. y Compras.
- Implementar autenticación multifactor (MFA).Este mecanismo, sencillo de implementar en cualquier organización, añade una capa extra de protección que dificulta enormemente el acceso no autorizado, incluso cuando las credenciales de un colaborador han sido comprometidas.
- Limitar accesos a la información estrictamente necesaria.Usuarios que disponen de permisos elevados que no necesitan aumentan innecesariamente la superficie de ataque. Cada colaborador debe tener acceso solo a la información y los sistemas que requiere para su función, revisando estos permisos periódicamente.
- Reforzar los procesos de validación de pagos.Muchos fraudes no explotan una vulnerabilidad tecnológica, sino una debilidad en los procesos internos. Establecer procedimientos claros para validar pagos, cambios de cuentas bancarias y solicitudes urgentes «sospechosas» es una de las medidas con mayor retorno de inversión.
- Realizar simulaciones internas de phishing y evaluaciones de riesgo.Estas prácticas tienen un coste mínimo y ofrecen información muy valiosa sobre el nivel real de exposición de la empresa, permitiendo priorizar las áreas que necesitan mayor atención en capacitación y controles.
El fenómeno tampoco distingue tamaños. Según Minsait Cyber, una parte significativa de los incidentes de ciberseguridad sigue originándose en deficiencias de higiene digital, como configuraciones inseguras, parches tardíos y controles de acceso débiles, lo que impacta especialmente a organizaciones con menor madurez tecnológica. En el Perú, esto se traduce en una creciente exposición tanto de grandes corporaciones en sectores como salud, financiero, retail o telecomunicaciones, como de pequeñas y medianas empresas que representan objetivos atractivos por su facilidad de compromiso.
“Hoy existen dos tipos de empresas en ciberseguridad: las que ya han sido objeto de un ciberataque y las que lo serán en breve. Los ataques están altamente automatizados y la inteligencia artificial permite a los atacantes multiplicar los vectores de ataque. La recomendación es adoptar un enfoque de ‘cybersecurity by default’ que permita garantizar la continuidad del negocio, detectar los ciberataques, dar respuesta a los mismos y, especialmente, recuperarse de ellos”, agregó Ferrer Guillén de EAE Business School.
En un entorno donde la ciberseguridad ha dejado de ser un asunto técnico para convertirse en un pilar estratégico del negocio, las empresas peruanas que entiendan que su mayor vulnerabilidad no está en los servidores, sino en los procesos y las personas, serán las que construyan modelos verdaderamente resilientes ante la próxima década de amenazas digitales.
