Las amenazas corren más rápido que las pymes
Casi la mitad de las pymes tuvo un incidente de seguridad el año pasado. Tres de cada cuatro ya incorporaron inteligencia artificial a su operación, y cuatro de cada diez lo hicieron sin ninguna política que diga cómo. La brecha se está abriendo.
Los números
El ESET SMB Cyber Readiness Index 2026 mide a las pequeñas y medianas empresas, que es el segmento donde trabajamos casi siempre. Cuatro datos alcanzan para ver el cuadro.
| Indicador | Valor | Lectura |
|---|---|---|
| Pymes con un incidente en el último año | 45% | Dejó de ser un problema de las grandes |
| Pymes que ya integraron IA | 73% | La adopción fue más rápida que cualquier plan |
| De esas, sin política sobre su uso | 40% | Datos de la empresa entrando a servicios de terceros sin criterio |
| Principal preocupación declarada | 40% | Interrupción de la operación, no el robo de datos |
Ese último dato dice algo importante sobre cómo piensa el dueño de una pyme, y coincide con lo que escuchamos. La pregunta no es tanto qué información se puede perder, es cuántos días se puede estar sin facturar.
La inteligencia artificial ensanchó la superficie
La adopción de IA en las pymes fue muy veloz, y eso no es criticable: resuelve cosas. El problema es lo que entra junto con la herramienta cuando no hay una política que ordene su uso.
Entre marzo y mayo de 2026, el análisis de ESET identificó más de 25.000 extensiones sospechosas y 3.000 directamente maliciosas en repositorios de IA. Son componentes que alguien instala para ganar funcionalidad y que corren con los permisos que se les da.
A eso se suma lo más difícil de controlar, que es lo cotidiano. Información de clientes, presupuestos y contratos que se pegan en un asistente para que los resuma, sin que nadie haya definido qué se puede pegar y qué no.
El problema real no es la herramienta, es quién mira
El informe señala algo que vemos en cada relevamiento. Los equipos internos están sobrecargados y muchas veces no tienen un especialista en seguridad, y los equipos chicos no tienen forma de investigar cada alerta.
Esta es la parte que no se resuelve comprando. Una pyme puede tener antivirus, firewall y respaldos, y aun así no tener a nadie cuya tarea sea mirar si algo anda mal. Las alertas se acumulan, se normaliza ignorarlas, y la que importaba pasa igual que las otras.
Saber qué tenés no es lo mismo que saber qué te funde. La primera es una lista de activos, la segunda es una decisión de negocio, y solamente la segunda sirve para priorizar cuando el presupuesto es el que es.
Entonces, qué hace una pyme que no tiene equipo propio
Es la pregunta que queda cuando se terminan los números, y merece una respuesta concreta antes que una recomendación general. La vamos a desarrollar en la próxima entrada, porque tiene una respuesta que se puede aplicar sin contratar a nadie de planta.
El punto de partida es corto. Definir qué tres cosas tienen que seguir funcionando para que la empresa no pare, y protegerlas a esas primero. El resto viene después, y viene ordenado por esa definición.
El tamaño no protege, y ya no disimula
Durante años la pyme se sintió a salvo por ser chica. Ese razonamiento dejó de funcionar cuando el ataque se automatizó: hoy no la eligen a usted, la encuentra un barrido que no distingue tamaños.
Saber qué tenés no es lo mismo que saber qué te funde. La primera es una lista de equipos, la segunda es una decisión de negocio, y solamente la segunda sirve para priorizar cuando el presupuesto es el que es.
El dato que más nos llama la atención del informe no es el 45% que tuvo un incidente. Es el 40% que incorporó inteligencia artificial sin ninguna política que diga qué se puede cargar ahí adentro. Ese número, dentro de un año, va a explicar varios incidentes.
Fuente: WeLiveSecurity
