La necesidad de higiene cibernética en América Latina en la era de la IA

Por: Martín Hoz, vicepresidente sénior de Ingeniería de Preventa de Fortinet América Latina y Caribe

Cada octubre, el Mes de la concientización en ciberseguridad nos devuelve a lo básico. Este año, lo básico tiene otra urgencia. La inteligencia artificial simplificó algo que antes exigía tiempo y oficio: encontrar, probar y aprovechar debilidades en código, configuración o procesos que ya existían. Muchas desde hace años e incluso con corrección disponible, pero no aplicada.

El Reporte del panorama global de amenazas 2026 de FortiGuard Labs de Fortinet lo plantea de forma directa: Las herramientas ofensivas con IA comprimen el tiempo necesario para validar y explotar la exposición que ya existe, haciendo posible en menos de 24 horas lo que antes tomaba semanas o meses. En una región donde los intentos de explotación crecieron casi 40 % en un año, esa idea debiera ordenar las prioridades de cualquier equipo de seguridad.

Lo viejo no caduca

Solemos tratar las vulnerabilidades como noticias, aparecen, se publica el parche y el riesgo pasa. Pero la telemetría de FortiGuard Labs cuenta otra historia.

Según el reporte, la persistencia de la explotación -es decir, el tiempo dura un atacante dentro de una red sin ser detectado- se relaciona más con el tiempo que tarda una organización en aplicar parches o ajustar configuración, que con la novedad de la falla. Una vez que una vulnerabilidad entra en los flujos automatizados de los atacantes, no envejece mientras la exposición siga ahí. Por eso fallas divulgadas hace años en componentes de software muy difundidos, en protocolos heredados para compartir archivos, y en la administración de routers  o dispositivos IOT como cámaras e impresoras siguen dominando la actividad maliciosa.

Lo nuevo, por otro lado, se aprovecha cada vez más rápido. En periodos anteriores, la explotación solía aparecer alrededor de una semana después de que se divulgaba una vulnerabilidad. En 2025, FortiGuard Labs observó de forma consistente que el tiempo de explotación pasó a un plazo de 24 a 48 horas, por delante de los ciclos tradicionales de parcheo. Las organizaciones quedan presionadas desde ambos extremos: la falla publicada esta semana y la que lleva cinco años sin corregirse en un dispositivo que nadie revisa. Todo, con los mismos recursos, presupuestos y personal.

Mitigado no es lo mismo que resuelto

Un parche cierra la puerta por la que entró el atacante. No necesariamente saca a quien ya entró ni invalida lo que se llevó. El reporte advierte que las credenciales, las rutas de acceso y la información sobre la infraestructura persisten mucho tiempo después del compromiso original. Se catalogan, se venden y se reutilizan para saltarse la etapa de descubrimiento e ir directo a la ejecución.

En la práctica, una exposición (vulnerabiliad o  mala configuración) ya corregida puede seguir siendo útil para un atacante: las contraseñas robadas siguen funcionando si nadie las cambia; una solución temporal aplicada en plena emergencia puede desaparecer con un cambio de configuración. Una restauración desde respaldo o un equipo nuevo instalado con la plantilla de siempre mantiene exposición. Las cuentas que un intruso creó quedan activas hasta que alguien compara la configuración con una versión confiable. Un equipo sin soporte del fabricante no recibirá la próxima corrección. Los protocolos heredados que nadie desactivó y que el reporte identifica como deuda técnica son capaces de abrir rutas predecibles de movimiento lateral.

La IA cambia la economía de cada uno de estos escenarios. Probar miles de credenciales antiguas contra servicios expuestos, revisar configuraciones o encadenar fallas conocidas era trabajo que consumía horas de un operador entrenado. Hoy se puede delegar a una herramienta automática.

América Latina en la telemetría

Los datos regionales del reporte apuntan en la misma dirección. En 2025, los sensores de FortiGuard registraron cerca de 15 mil millones de intentos de explotación en América Latina, 39,85 % más que el año anterior. El reporte describe a la región como de menor volumen absoluto, pero con un crecimiento más rápido, consistente con una mayor conversión de exposición en explotación.

La cifra de botnets muestra el resultado. América Latina acumuló 2090 millones de detecciones de comunicaciones con infraestructura de comando y control, un alza de 12,05 % y la segunda cifra más alta del mundo, concentrada en México, Panamá, Venezuela, Brasil y Colombia. Cada una de esas detecciones corresponde a un equipo que ya fue comprometido y que hoy trabaja para alguien más.

El dato más revelador es otro. La región tuvo la mayor reducción anual de actividad de reconocimiento, pero el reporte no lo lee como un menor interés de los atacantes, sino como reutilización de datos históricos sobre activos expuestos una y otra vez. Los atacantes ya tienen el mapa. Si el servicio expuesto no cambió, si la contraseña no se rotó o si el firmware no se actualizó, ese mapa viejo sigue siendo exacto. El costo final aparece en el ransomware: 141 víctimas confirmadas en Brasil, 69 en México, 50 en Argentina y 41 en Colombia durante 2025, según la inteligencia de FortiRecon.

Higiene que sí cierra la puerta

Al igual que lavarse las manos para evitar contagios, la higiene puede ayudar a mantener sano un ambiente de cómputo. Ninguna de estas prácticas listadas abajo es nueva. Lo nuevo es que ahora ante la epidemia de vulnerabilidades la higiene se vuelve más importante que nunca. Entonces, ¿por dónde empezar?

1. Actualice siempre. Especialmente versiones recientes que quizá tengan incorporados arreglos a vulnerabilidades descubiertas por IA como parte del ciclo de calidad de los fabricantes. Quizá el más viejo de los consejos, pero también el más efectivo y a veces menos usado.
2. Parchear según la explotación, no solo según la severidad. Una falla calificada como media que ya se explota activamente merece más urgencia que una crítica que nadie ha logrado aprovechar. Los catálogos públicos de vulnerabilidades explotadas y las puntuaciones de probabilidad de explotación ayudan a ordenar la fila. El reporte propone, además, medir el tiempo de parcheo como un control de seguridad y tratarlo como un riesgo de negocio.
3. Cerrar el incidente completo, no solo la falla. Después de corregir una vulnerabilidad crítica en un equipo expuesto a internet, conviene cerrar las sesiones activas, rotar contraseñas y llaves, comparar la configuración con una versión confiable y buscar cuentas o accesos que nadie reconoce.
4. Autenticación multifactor en todo acceso remoto y administrativo. El reporte explica que la fuerza bruta tiene éxito por la reutilización de credenciales, la falta de límites de intentos y una aplicación inconsistente de MFA. Las tres se corrigen con configuración.
5. Sacar la administración del internet. Las interfaces de gestión deben ser accesibles solo desde redes y equipos de confianza.
6. Saber qué equipos ya no tienen soporte y qué mitigaciones dependen de una solución temporal. Lo primero define dónde no llegará el próximo parche. Lo segundo exige verificar después de cada cambio, restauración o equipo nuevo que la protección sigue activa. En la misma revisión, conviene desactivar los protocolos heredados que nadie usa.

Probar las propias defensas también rinde frutos. FortiGuard observó una relación inversa entre la frecuencia de las pruebas de penetración y el éxito del compromiso de identidades en la nube, por ejemplo.

Para los gobiernos y los operadores de servicios esenciales de la región, la higiene también es una decisión presupuestaria. Incluir el ciclo de vida del soporte en cada compra, y financiar la renovación antes de que un equipo quede sin actualizaciones, cuesta menos que responder a un incidente en un sistema que ya no tiene corrección posible.

La IA no vuelve obsoletas las prácticas básicas. Las vuelve más urgentes, porque reduce a casi nada el costo de encontrar a quien no las aplicó. Este mes, la pregunta útil para cualquier organización de la región va más allá de si instaló el último parche. También importa si las contraseñas, las configuraciones y los equipos que quedaron de incidentes anteriores siguen ahí, esperando a que alguien los pruebe.

Más columnas de OPINIÓN aquí.