{"id":180202,"date":"2026-07-14T12:00:21","date_gmt":"2026-07-14T15:00:21","guid":{"rendered":"https:\/\/www.itsitio.com\/co\/?p=180202"},"modified":"2026-07-14T12:00:21","modified_gmt":"2026-07-14T15:00:21","slug":"109-billones-de-intentos-de-ataque-por-que-las-cifras-de-ciberseguridad-pueden-confundir-a-las-empresas-colombianas","status":"publish","type":"post","link":"https:\/\/www.itsitio.com\/co\/seguridad\/109-billones-de-intentos-de-ataque-por-que-las-cifras-de-ciberseguridad-pueden-confundir-a-las-empresas-colombianas\/","title":{"rendered":"10,9 billones de intentos de ataque: por qu\u00e9 las cifras de ciberseguridad pueden confundir a las empresas colombianas"},"content":{"rendered":"

Cada a\u00f1o, nuevos informes ubican a Colombia entre los pa\u00edses m\u00e1s golpeados por el cibercrimen. En algunos casos se habla de 10,9 billones de intentos de ataque<\/strong>, mientras que otros estudios muestran miles de incidentes o unas pocas decenas de organizaciones comprometidas en campa\u00f1as espec\u00edficas. A primera vista, los datos parecen contradictorios, pero el problema no necesariamente est\u00e1 en las cifras sino en las m\u00e9tricas utilizadas.<\/p>\n

En ciberseguridad no es lo mismo contabilizar paquetes maliciosos bloqueados por un firewall, alertas generadas por un sistema de monitoreo, incidentes confirmados por un equipo de respuesta o filtraciones efectivas de informaci\u00f3n. Sin embargo, con frecuencia estos conceptos terminan mezcl\u00e1ndose en informes comerciales o titulares, generando una percepci\u00f3n distorsionada del riesgo.<\/p>\n

Intento, alerta, incidente, intrusi\u00f3n y filtraci\u00f3n: cinco conceptos diferentes<\/span><\/h2>\n

Uno de los principales errores consiste en utilizar la expresi\u00f3n “intentos de ataque”<\/strong> como sin\u00f3nimo de empresas vulneradas.<\/p>\n

Un intento de ataque<\/strong> puede ser simplemente una conexi\u00f3n automatizada desde Internet hacia un servidor o firewall. Millones de estos eventos ocurren diariamente y la gran mayor\u00eda son bloqueados de forma autom\u00e1tica sin que exista un compromiso real.<\/p>\n

Una alerta<\/strong> corresponde a una notificaci\u00f3n generada por herramientas de seguridad como EDR, SIEM o firewalls inteligentes. Muchas alertas terminan siendo falsos positivos y requieren validaci\u00f3n.<\/p>\n

El incidente de seguridad<\/strong> aparece cuando un equipo especializado confirma que existi\u00f3 una actividad que afect\u00f3 o pudo afectar la confidencialidad, integridad o disponibilidad de los sistemas.<\/p>\n

La intrusi\u00f3n<\/strong> implica que un atacante consigui\u00f3 acceso no autorizado a la infraestructura tecnol\u00f3gica, mientras que una filtraci\u00f3n de datos<\/strong> representa el escenario m\u00e1s grave: informaci\u00f3n sensible fue efectivamente extra\u00edda o publicada.<\/p>\n

Esta diferencia explica por qu\u00e9 dos organizaciones pueden analizar el mismo fen\u00f3meno utilizando m\u00e9tricas completamente distintas.<\/p>\n

\"Las
Las empresas ya no solo deben impedir los ataques: tambi\u00e9n necesitan identificar comportamientos an\u00f3malos dentro de sus redes antes de que ocurra una filtraci\u00f3n de datos.<\/figcaption><\/figure>\n

Lo que muestran los datos de ColCERT<\/span><\/h2>\n

Las alertas publicadas por ColCERT<\/strong>, el Equipo de Respuesta a Incidentes de Seguridad Inform\u00e1tica de Colombia, permiten observar la diferencia entre exposici\u00f3n e impacto real.<\/p>\n

Por ejemplo, la alerta sobre la campa\u00f1a FortiBleed<\/strong> se\u00f1ala que Colombia fue el s\u00e9ptimo pa\u00eds m\u00e1s afectado<\/strong> por la exposici\u00f3n de dispositivos Fortinet, con 2.436 interfaces administrativas comprometidas<\/strong> dentro de una operaci\u00f3n global que alcanz\u00f3 cerca de 74.000 dispositivos en 194 pa\u00edses. Sin embargo, el documento aclara que la afectaci\u00f3n confirmada corresponde a 27 organizaciones colombianas<\/strong>, una cifra muy distinta a la de miles de dispositivos expuestos.
\nAlgo similar ocurre con la reciente campa\u00f1a de phishing que suplant\u00f3 a la Registradur\u00eda Nacional durante el proceso electoral colombiano. ColCERT detect\u00f3 una infraestructura altamente sofisticada capaz de superar controles SPF, DKIM y DMARC, utilizar archivos cifrados y descargar un infostealer mediante PowerShell y MSHTA. Sin embargo, la alerta describe una campa\u00f1a activa y los indicadores de compromiso, no un n\u00famero determinado de v\u00edctimas exitosamente comprometidas.
\nEn ambos casos, la informaci\u00f3n resulta mucho m\u00e1s \u00fatil para medir el riesgo operativo que una simple suma de “intentos de ataque”.<\/p>\n

Los sectores que realmente concentran el impacto<\/span><\/h2>\n

El Lumu Compromise Report 2026<\/strong> aporta otra perspectiva. En lugar de medir \u00fanicamente ataques bloqueados, analiza compromisos detectados dentro de las redes corporativas.<\/p>\n

Para Sudam\u00e9rica, el informe identifica que los sectores m\u00e1s afectados por infostealers son telecomunicaciones (22,1%)<\/strong>, gobierno (17,5%)<\/strong>, educaci\u00f3n (15,3%)<\/strong> y servicios financieros (14,5%)<\/strong>. En ransomware, los ataques exitosos se concentran principalmente en telecomunicaciones, educaci\u00f3n, gobierno y entidades financieras.<\/p>\n

El estudio tambi\u00e9n destaca que Colombia aparece entre los principales objetivos regionales junto con Brasil y Argentina, especialmente en campa\u00f1as orientadas al robo de credenciales bancarias y extorsi\u00f3n mediante ransomware.
\nLa diferencia respecto de otros informes es significativa: aqu\u00ed no se contabilizan simples conexiones bloqueadas sino evidencias de compromiso observadas dentro de las organizaciones.<\/p>\n

El verdadero desaf\u00edo: detectar la intrusi\u00f3n antes del ransomware<\/span><\/h2>\n

Los especialistas coinciden en que el problema ya no consiste \u00fanicamente en impedir el ingreso del atacante.<\/p>\n

El informe de Lumu sostiene que las organizaciones deben asumir que el adversario ya logr\u00f3 ingresar y concentrarse en detectar comportamientos an\u00f3malos dentro de la red. Entre las principales se\u00f1ales aparecen el uso de t\u00faneles DNS, conexiones hacia infraestructura de comando y control, dominios reci\u00e9n registrados y patrones de comportamiento imposibles de identificar mediante firmas tradicionales.<\/p>\n

En este contexto cobra importancia el Mean Time to Detect (MTTD)<\/strong>, indicador que mide cu\u00e1nto tarda una empresa en descubrir una intrusi\u00f3n.<\/p>\n

Aunque el informe no publica un promedio de d\u00edas, s\u00ed advierte que los atacantes actuales privilegian operaciones silenciosas, utilizando herramientas leg\u00edtimas, credenciales robadas y tr\u00e1fico cifrado para permanecer ocultos durante largos per\u00edodos antes de desplegar ransomware o exfiltrar informaci\u00f3n.
\nMientras m\u00e1s tiempo permanezca un atacante dentro de la red, mayor ser\u00e1 el impacto econ\u00f3mico y operativo.<\/p>\n

\"Las
Las alertas de ColCERT muestran que una campa\u00f1a puede afectar miles de dispositivos expuestos, pero comprometer efectivamente a un n\u00famero mucho menor de organizaciones.<\/figcaption><\/figure>\n

Las m\u00e9tricas que un CIO deber\u00eda exigir<\/span><\/h2>\n

Para los responsables de tecnolog\u00eda, la conclusi\u00f3n es clara: no basta con recibir un reporte que indique millones o billones de ataques bloqueados.<\/p>\n

Las m\u00e9tricas realmente \u00fatiles para evaluar la postura de seguridad incluyen:<\/p>\n