El 31% de las pymes perdió dinero: qué hay detrás de la cifra

El dato circuló toda la semana: 31% de las pymes de América Latina reportó pérdidas económicas por su incidente de seguridad más grave en el último año. Sale de un estudio de Kaspersky que Industridea publicó el 11 de octubre de 2026, y que Infobae retomó el 30 de octubre con la misma cifra.

Vale la pena leerlo despacio, porque junta dos cosas distintas: incidente y pérdida.

El número, sin adorno

El 86% de las pymes españolas sufrió algún ciberincidente en el último año, según Kaspersky España (9 de septiembre de 2026), dentro del informe global «Inside the 2026 SMB Threat Landscape», que recogió la visión de especialistas en seguridad de 18 países.

Casi todas tuvieron un mal día. El 31% de las pymes latinoamericanas, en cambio, reportó que ese mal día les costó dinero. Las dos cifras no miden lo mismo, y conviene no leerlas como si midieran lo mismo.

El mismo estudio describe cómo se ve el daño por dentro: 27% tuvo que detener procesos y 25% suspendió servicios a clientes (Industridea, 11 de octubre de 2026). Debajo de esos dos números hay trabajo que se frena. Nadie escribe un titular con eso, pero es lo que se recuerda un año después.

Lo que se detuvo en la clínica de Mariana

Mariana lleva once años con una clínica odontológica de veinte personas. Un proveedor de insumos, un laboratorio, una cuenta de correo compartida en recepción. Por ahí pasan las citas, las confirmaciones y las facturas.

Un martes, alguien de recepción abrió un correo que decía venir del laboratorio. Tenía el logo, el nombre del contacto de siempre y un botón: «ver la factura». Lo apretó y escribió la contraseña del buzón en una página que se parecía bastante a la del proveedor. No hubo pantalla rara ni alarma. El día siguió normal.

El miércoles se detuvieron dos procesos.

El de las citas: las confirmaciones salían de ese buzón y ya no daba tranquilidad usarlo. Hubo que cambiar contraseñas, revisar qué se había configurado en la cuenta, y llamar paciente por paciente para confirmar por teléfono. Dos personas se pasaron el día con el auricular en la mano y la agenda abierta.

El de los pagos: la factura del laboratorio llegó con datos bancarios distintos a los de siempre. Mariana decidió no pagar hasta hablar con el proveedor por teléfono. La llamada duró cuatro minutos y confirmó lo que sospechaba.

El costo fue una mañana de agenda, dos días sin confirmaciones automáticas y una conversación incómoda con el laboratorio. Nada espectacular. Así se ve el 31% cuando se aterriza en una empresa de veinte personas: no es una película, es una semana rara con gente trabajando de más.

Por qué el phishing sigue entrando

De los incidentes más dañinos del estudio, 12% empezó con phishing y 9% con credenciales débiles o robadas (Industridea, 11 de octubre de 2026). En Colombia, el 25% de las pymes registró incidentes de phishing, el 20% ataques por vulnerabilidades de software y el 15% casos relacionados con cuentas (Infobae, 30 de octubre de 2026).

Phishing gana por una razón poco vistosa: no necesita un fallo en el sistema. Necesita un minuto de prisa. El correo del laboratorio no explotó nada. Aprovechó que recepción tenía seis pacientes esperando y un teléfono sonando.

Infobae menciona en la misma nota otro disfraz del mismo truco: aplicaciones falsas que se hacen pasar por servicios de inteligencia artificial. El mecanismo no cambia. Alguien descarga, alguien inicia sesión, alguien entrega la contraseña sin pensarlo dos veces.

Por eso el entrenamiento que sirve es el aburrido: ver el correo, dudar, decidir. Leer sobre phishing no mueve nada. Reconocerlo en el momento en que llega, sí.

Cuatro cosas que cuestan menos que esa mañana

• Doble factor en el buzón compartido. Es lo que corta el ataque justo después de la contraseña, y suele ser lo último que se configura.
• Un número de teléfono de siempre para los datos bancarios. Si una factura llega con otra cuenta, se llama. No se responde al correo preguntando si es verdad.
• Alguien que abra la configuración del buzón y mire las reglas de reenvío. Si hay una regla que nadie creó, alguien más está leyendo el correo.
• Practicar la decisión con mensajes reales, aunque sean inventados. Con el equipo, en voz alta, equivocándose sin costo.

Treinta segundos

Abre hoy el buzón que comparte tu equipo y busca las reglas de reenvío automático. Si aparece una que nadie recuerda haber creado, ya tienes la conversación de mañana.

Recorrer ese camino mensaje por mensaje, con tu sector y tu gente, es lo que hacemos en CiberPulso. Puedes verlo con datos inventados en https://ciberpulso.com/demo.