Ciberataques a empresas en Perú: qué dicen los datos de 2026 y qué revisar en tu correo

Ciberseguridad

Más de 1.700 familias de malware detectadas en Perú en los primeros nueve meses de 2026. Es la cifra de la telemetría de ESET que publicó Gestión el 29 de octubre. El número impresiona, pero lo útil para una empresa está en otro dato: el correo electrónico está detrás de al menos el 23 % de esas detecciones.

Dicho de otra forma: buena parte de los ataques no empieza con un experto rompiendo un servidor. Empieza con alguien de tu equipo abriendo un adjunto un martes por la mañana.

Qué ha cambiado este año

Tres datos de ESET explican por dónde vienen los problemas:

Los fallos antiguos de Microsoft Office pasaron del 1,3 % de las detecciones mensuales en enero a más del 17 % entre abril y julio.
Los downloaders, programas que entran primero y descargan el resto del ataque, sumaron 121 detecciones entre enero y junio y más de 15.700 entre julio y septiembre.
Se detectaron más de 2.400 webshells, herramientas que un atacante deja en un servidor web para volver a entrar cuando quiera.

El primer punto es el que más debería molestarte. En América Latina, más del 81,8 % de los incidentes de explotación se concentra en dos fallos de Office de 2017, según el informe de ESET que recogió El Comercio. Son agujeros con casi diez años que siguen funcionando porque hay equipos sin actualizar.

Y no solo les pasa a los grandes. En el índice de ESET sobre 4.400 pymes de 13 países, el 45 % tuvo al menos un incidente de seguridad en el último año.

Qué revisar esta semana

Nada de esta lista exige comprar otra herramienta. Es orden, y se puede hacer en pocos días:

Actualiza Office y el sistema operativo en todos los equipos, también en el portátil del gerente y en el de la recepción. Si usas versiones sin soporte, ese es tu primer problema.
Activa la verificación en dos pasos en todas las cuentas de correo, empezando por gerencia, contabilidad y quien administra la cuenta.
Da de baja las cuentas de quienes ya no trabajan contigo. Una cuenta olvidada es una puerta abierta que nadie vigila.
Comprueba que tu dominio tiene SPF, DKIM y DMARC. Sin ellos, otra persona puede enviar correos que parecen tuyos a tus propios clientes.
Acuerda una regla simple para los pagos: ningún cambio de cuenta bancaria se acepta solo por correo. Se confirma por teléfono, a un número que ya tengas.
Prueba una restauración de tus copias de seguridad. Una copia que nunca se ha restaurado es una suposición.

Si tienes una web o un servidor

Las webshells apuntan a otro frente: webs y servidores sin mantenimiento. Un plugin sin actualizar o un panel con una clave débil bastan para que alguien se instale y se quede meses sin que nadie lo note. Si nadie revisa tu servidor, nadie va a ver esa entrada.

Y si pasa algo

Ten escrito de antemano quién decide y a quién se llama. Si el incidente afecta a datos personales de clientes o empleados, el reglamento peruano de protección de datos exige notificar a la autoridad en un máximo de 48 horas desde que lo conoces. Con el problema encima no es el momento de buscar ese dato.

No sustituye a tu asesor legal, pero tenerlo claro antes evita perder las primeras horas, que son las que más cuentan.

En Enigma administramos correo corporativo y servidores para empresas en Perú, y ayudamos a dejar en orden lo que no se está mirando. Si no sabes cómo están tus cuentas, empieza por esa revisión.

Seguir leyendo

Fuentes