Autor: Eduardo Ferrara, especialista en ciberseguridad.
Cada primero de octubre, gobiernos, cámaras empresariales y organizaciones de todo el mundo dedican el mes a la concientización en ciberseguridad. Nació como una iniciativa de Estados Unidos impulsada por CISA, pero cada año tiene más eco en México: universidades, medios especializados y asociaciones empresariales se suman con webinars, campañas internas y publicaciones como esta.
El riesgo real es que se quede solo en eso: una semana de publicaciones, un correo interno recordando “no compartas tu contraseña”, y que el 1 de noviembre todo vuelva exactamente a donde estaba. Este artículo no es otra lista de buenas intenciones para octubre, es una revisión honesta de qué tan expuestas están hoy las empresas medianas en México, y de qué prácticas deberían quedarse instaladas en la empresa el resto del año.
¿Por qué esta vez el mes importa más que otros años?
Porque el terreno cambió de velocidad. En la primera mitad de 2026, los ataques de ransomware en Latinoamérica crecieron 25.5% respecto al semestre anterior, con al menos 290 incidentes registrados en la región, según el reporte Ransomware en LATAM de SCILabs, la unidad de inteligencia de amenazas de Scitum-Telmex. México quedó como el segundo país más golpeado, concentrando el 18% de esos ataques, solo detrás de Brasil.
Al mismo tiempo, el 86% de las organizaciones mexicanas planea aumentar su presupuesto de ciberseguridad para este año, ocho puntos por encima del promedio global, de acuerdo con el estudio Digital Trust Insights 2026 de PwC México. Es una señal positiva: el tema ya llegó al comité de dirección. El problema es que más presupuesto no es lo mismo que menos exposición, y ahí es donde octubre puede realmente aportar algo, si se usa para hacer las preguntas correctas en lugar de solo firmar la renovación de una póliza o una licencia.
Los números que casi nadie revisa
Cuando se habla de ciberseguridad, el tema suele saltar directo a la tecnología, pero los datos más recientes apuntan a otro lado.
El 73% de las empresas en Latinoamérica ya fue víctima de al menos un intento de phishing, según el ESET Security Report Latinoamérica 2026, una encuesta a más de 1,500 profesionales en 962 empresas de la región. Los sectores más golpeados no son los que uno imaginaría: educación (81.4%), manufactura (81.1%) y banca (79.6%) encabezan la lista. El mismo estudio encontró que solo 57% de las empresas usa autenticación multifactor, y que entre empleados no técnicos esa cifra cae a 52.2%. Es decir, casi la mitad del personal que no trabaja en sistemas todavía puede entrar a plataformas críticas con solo una contraseña.
Eso conecta directo con otro dato incómodo: el 74% de las brechas de seguridad involucran el factor humano, ya sea un clic en un enlace malicioso o el intercambio de información sensible sin pensarlo dos veces, de acuerdo con el Data Breach Investigations Report de Verizon. No es un problema de firewall, es un problema de criterio, y el criterio no se instala, se entrena.
Y cuando el ataque sí ocurre, las consecuencias se extienden más de lo que la mayoría asume. Ocho de cada diez empresas que pagan un rescate de ransomware vuelven a ser víctimas de un nuevo ataque en los meses siguientes. Solo 16% de los responsables de TI en la región cuenta con un respaldo verdaderamente inmutable, es decir, uno que ni un atacante con acceso total a la red puede modificar o borrar. El resto opera con una falsa sensación de seguridad: cree que tiene un plan B, pero nunca lo ha probado en condiciones reales.
A esto se suma un obstáculo estructural: México enfrenta un déficit de 25,000 especialistas en ciberseguridad, según el Cybersecurity Workforce Study de ISC2, en un contexto donde los ciberataques en la región aumentaron 204% en un solo trimestre. No es solo un tema de tecnología insuficiente, es un tema de manos insuficientes para operarla y de estrategia insuficiente para no depender solo de ellas.
Lo que debe quedarse todo el año, no solo en el mes de octubre
La concientización que de verdad funciona no se parece a una campaña. Se parece a un hábito, algo que se repite tantas veces que deja de sentirse como un evento especial y se vuelve, simplemente, cómo trabaja la empresa.
Eso significa, primero, que la capacitación no puede ser una charla anual de una hora que todos olvidan a la semana siguiente. Funciona mejor en dosis pequeñas y frecuentes: un recordatorio breve cada mes, un caso real comentado en la junta de equipo, un simulacro de phishing cada cierto tiempo que no busca exhibir a quien cae, sino mostrarle a todo el equipo qué se le pasó y por qué. Los ataques con inteligencia artificial cambian de forma constantemente, así que la preparación del equipo también tiene que actualizarse constantemente, no revisarse una vez al año.
Segundo, significa construir una cultura donde reportar algo sospechoso sea rápido y no dé pena. La mayoría de los colaboradores que reciben un correo raro dudan antes de avisar, por miedo a interrumpir a alguien por una falsa alarma o a que los señalen por haber estado a punto de caer. Esa duda cuesta minutos valiosos, y en ciberseguridad los minutos son los que separan un intento fallido de un incidente real. Un canal simple y sin fricción para reportar, y una respuesta que agradece el aviso en lugar de cuestionarlo, cambia ese comportamiento con el tiempo.
Tercero, significa tratar los accesos como algo vivo, no como algo que se configura una vez y se olvida. Revisar con regularidad quién tiene acceso a qué, dar de baja cuentas el mismo día en que alguien deja la empresa, y ajustar permisos cuando alguien cambia de puesto son tareas operativas simples, pero casi nunca están asignadas a una persona específica con una frecuencia definida. Cuando nadie es responsable de revisarlo, nadie lo revisa.
Y cuarto, significa que la dirección modele el comportamiento que espera del resto del equipo. Es difícil pedirle disciplina a un colaborador con la autenticación multifactor si los ejecutivos son los primeros en pedir que se las desactiven por comodidad. La seguridad se contagia de arriba hacia abajo, para bien y para mal.
Ninguna de estas cuatro prácticas requiere una inversión grande. Requieren que alguien las sostenga en el calendario de la empresa los doce meses del año, no solo en la semana en la que el tema está de moda.
Seis preguntas clave
Además de los hábitos que debe sostener el equipo en el día a día, hay preguntas de fondo que vale la pena instalar en la agenda de dirección, sin importar el mes del año:
- ¿Quién tiene acceso a qué, y desde cuándo? La mayoría de las empresas medianas nunca ha hecho una auditoría completa de accesos. Es habitual encontrar cuentas activas de personas que dejaron la empresa hace meses.
- ¿El respaldo se ha probado restaurando de verdad, no solo generando el archivo? Un respaldo que nadie ha intentado recuperar en condiciones reales es una suposición, no un plan de continuidad.
- ¿Cuánto tiempo tardaría el equipo en detectar que algo anormal está pasando? No es una pregunta retórica. Es una métrica que se puede medir, y que la mayoría de las empresas no conoce sobre sí misma.
- ¿El personal sabe reconocer un intento de fraude que no parece un intento de fraude? Con inteligencia artificial de por medio, los correos y mensajes fraudulentos ya no tienen errores de ortografía ni remitentes sospechosos obvios.
- ¿La inversión en ciberseguridad está siguiendo un plan, o reaccionando al último susto? Aumentar el presupuesto, como planea hacerlo el 86% de las empresas mexicanas este año, solo funciona si ese presupuesto responde a un diagnóstico, no a la ansiedad del momento.
- ¿Existe un responsable claro si algo falla mañana a primera hora, o la respuesta sería improvisada? La diferencia entre una crisis controlada y una crisis que se sale de control casi siempre se decide antes de que empiece.
El papel de un socio tecnológico en todo esto
Ninguna de estas seis preguntas se responde comprando una herramienta más. Se responden con un diagnóstico de cómo está diseñada hoy la operación, y con alguien que ayude a priorizar qué se corrige primero, qué se corrige después, y qué simplemente hay que rediseñar desde cero.
Un socio tecnológico que vale la pena no llega ofreciendo la próxima plataforma de moda. Llega haciendo las preguntas incómodas antes de recomendar nada: qué tan crítico es cada sistema, qué tan expuesta está la información más sensible, qué tan rápido puede la empresa recuperarse si algo sale mal, y quién es responsable de cada pieza cuando eso pasa.
En Alvatrix trabajamos exactamente desde ahí. No vendemos piezas sueltas de ciberseguridad para que la empresa las acomode como pueda. Diseñamos el sistema completo: detección continua, resguardo verdaderamente inmutable, control de accesos y un plan de recuperación que se prueba antes de necesitarse, no después.
Una conversación de doce meses, no de uno
El interés por la ciberseguridad ya existe en la mayoría de los comités de dirección en México. El presupuesto, cada vez más, también.
Las empresas que de verdad reducen su riesgo son las que convierten esta conversación en una revisión trimestral, con métricas concretas y un responsable de la iniciativa.
No queremos que esto se quede solo en un blog que generó cierta reflexión. Nos encantaría que detonara acciones y, sobre todo, decisiones para precisamente eso: la seguridad de su información y la continuidad de su negocio.
Conversemos: +52 81 8100 9092 · sales@alvatrix.com · alvatrix.com