De las redes sociales al fraude: cómo la IA ayuda a los estafadores.

La velocidad a la que evoluciona la inteligencia artificial implica que actividades que antes requerían varias horas o incluso días de trabajo de un ciberdelincuente experimentado ahora pueden realizarse en una fracción de ese tiempo por alguien con pocos o ningún conocimiento previo. ESET, compañía líder en detección proactiva de amenazas, asegura que esto reduce la barrera de entrada para los ciberdelincuentes y que esto se observa en la explotación de vulnerabilidades, en la generación básica de malware y en las tareas de reconocimiento de víctimas.

“Esta modificación debería poner en alerta incluso a los usuarios habituales de internet. Si los ataques se vuelven más baratos y fáciles de ejecutar para los estafadores, cualquiera podría convertirse en un objetivo”, comenta Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

Antes de la aparición de la IA, un adversario debía invertir tiempo en identificar las cuentas públicas de sus objetivos, sus intereses, amistades, familiares y colegas. También podía necesitar herramientas especializadas o revisar innumerables sitios web, perfiles y publicaciones, correlacionando y verificando información, estableciendo relaciones entre individuos y determinando qué elementos podrían utilizarse en un ataque. La recopilación de inteligencia de fuentes abiertas (OSINT, por sus siglas en inglés) solía ser una práctica reservada para objetivos de alto perfil y potencialmente de alto valor, ya que requería habilidades especializadas y mucho tiempo. 

Las herramientas de IA pueden localizar contenido disponible públicamente en toda la web, vincularlo con posibles víctimas y mapear las relaciones entre estas y otras personas. Lo que las hace especialmente eficaces para encontrar información no estructurada, en particular imágenes y videos. Esta realidad resulta preocupante ya que los estafadores pueden recopilar fácilmente información pública sobre una persona para hacer más convincentes las campañas de ingeniería social y escalar sus fraudes. Por ejemplo:

Un correo electrónico de phishing diseñado para engañar a la víctima y hacer que comparta sus credenciales o haga clic en un enlace que instale malware sin darse cuenta. Este mensaje sería mucho más convincente si incluyera datos personales como el lugar de trabajo, la escuela de un hijo, un evento reciente al que asistió la víctima, como un cumpleaños o unas vacaciones recientes. Toda esa información puede encontrarse en el dominio público y recopilarse fácilmente a gran escala.

Un video o una llamada telefónica que suplante la voz o la imagen de una persona podría utilizarse para convencer a un familiar o ser querido de que esta se encuentra en peligro. Los ciberdelincuentes pueden emplear deepfakes para solicitar dinero utilizando la “voz” de la víctima o para simular un secuestro y exigir el pago de un rescate para garantizar su seguridad. Incluso utilizar un deepfake para crear un video de carácter obsceno y amenazar con compartirlo no se les paga. En el Reino Unido, cientos de menores de 18 años reportaron haber sido víctimas de este delito.

“Los modelos de lenguaje de gran escala (LLM) son eficaces para reunir el tipo de información que los estafadores necesitan para que sus fraudes funcionen. Pueden perfilar grandes cantidades de posibles víctimas en poco tiempo, recopilando imágenes, videos e información personal, de trabajo, familiares y amigos que puede utilizarse con fines maliciosos. La IA también puede ayudar a diseñar los guiones de ingeniería social, permitiéndoles sonar convincentes a través del correo electrónico, las redes sociales u otros canales, incluso cuando no son hablantes nativos del idioma”, aclara Micucci.

Una vez que la información personal se encuentra en el dominio público, resulta difícil solicitar su eliminación, especialmente porque es posible que haya sido republicada en otros lugares. Las fotografías antiguas en redes sociales suelen ser más fáciles de eliminar, pero pocas personas tienen el tiempo necesario para revisar toda su vida digital en busca de información potencialmente útil para los ciberdelincuentes.

Por ello, ESET recomienda centrarse en aquello que sí está al alcance de cada usuario y comparte las siguientes recomendaciones:

Asegurarse de que los perfiles en redes sociales no sean accesibles públicamente, para limitar la capacidad de la IA de encontrar información, imágenes o videos contenidos en ellos.

Ser cuidadoso con la información que se comparte en redes sociales. Datos como fechas de nacimiento, a qué escuela asisten los hijos, vacaciones y eventos similares deberían mantenerse en privado.

Tener presente que las fotografías pueden contener información que permita identificar direcciones, datos de vehículos u otros detalles sensibles.

Evitar publicar contenido que pueda utilizarse para vincular la vida personal con la vida profesional.

Utilizar autenticación multifactor (MFA) y contraseñas robustas y únicas para añadir una capa adicional de seguridad a las cuentas.

No aceptar solicitudes de amistad o seguimiento de personas que no se conoce. Si se tienen dudas o curiosidad, contactar primero a esa persona a través de otro canal independiente.

“La IA está mejorando muchos aspectos de nuestras vidas. Sin embargo, también trae consigo riesgos de los que apenas estamos comenzando a tomar conciencia. La cautela sigue siendo la mejor estrategia. Conviene actuar bajo la premisa de que cualquier cosa que publiques podría ser leída y procesada por sistemas de IA. Actúa en consecuencia y anima también a familiares y amigos a hacer lo mismo”, concluye Micucci de ESET Latinoamérica. 

Para saber sobre ESET más ingrese a: https://www.welivesecurity.com/es/privacidad/ia-fraudes-recopilacion-informacion-victimas/

Los códigos QR también son blanco de los ciberdelincuentes

Cuanto más familiar resulta algo, más probable es que se deje de cuestionarlo. En ciberseguridad, esa complacencia puede ser especialmente peligrosa. Es el caso de los códigos QR, que se han vuelto algo habitual en menús, postes de alumbrado y parquímetros, y también en correos electrónicos durante los últimos años. En este sentido, ESET, compañía líder en detección proactiva de amenazas, advierte sobre el crecimiento del quishing (phishing basado en códigos QR) y como representa una forma de ocultar enlaces maliciosos, evadir algunos filtros de seguridad corporativos tradicionales y  los riesgos de que la interacción pase de una computadora corporativa a un teléfono personal con menos controles de seguridad. 

Un código QR es un código de barras bidimensional, abreviatura de Quick Response (respuesta rápida), capaz de codificar URL, datos de pago, información de contacto y otros datos, permitiendo a los usuarios acceder rápidamente a un sitio web, una aplicación u otro recurso digital. Según ESET, estos resultan atractivos para los actores de amenazas debido a uso habitual y generalizado, a que se integran fácilmente en las campañas de phishing: basta con reemplazar ese enlace o archivo adjunto malicioso por un código QR, y a que pueden generarse en segundos. 

Una de las principales ventajas para el atacante es la capacidad de ocultar el destino del enlace. El destino está codificado en un patrón visual y no se muestra como texto legible, lo que esconde las URL maliciosas y evita que algunos filtros tradicionales de correo electrónico puedan extraerlas e inspeccionarlas. En ocasiones se ocultan aún más al incrustarlas en archivos adjuntos PDF o JPEG. Esto aumenta las probabilidades de que lleguen a las bandejas de entrada de sus empleados. Y cuando lo hacen, el personal puede tener dificultades para distinguir un mensaje legítimo de uno malicioso. Normalmente hay poco texto para analizar en busca de errores ortográficos o gramaticales. Y como el enlace está codificado en un patrón visual, resulta invisible para el ojo humano.

"Los códigos QR se volvieron un elemento habitual en nuestra rutina diaria, lo que genera una falsa sensación de confianza. El cibercrimen aprovecha que el usuario no puede verificar visualmente la URL completa antes de avanzar hacia el sitio web. Lo más importante es que un solo escaneo sin precaución puede generar un acceso no autorizado a un entorno corporativo relativamente bien protegido a un dispositivo móvil potencialmente no gestionado, eludiendo así los controles de seguridad corporativos", menciona Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

Según el ESET Threat Report H1 2026, los códigos QR maliciosos estaban presentes en el 11% de todos los correos electrónicos de phishing detectados durante la primera mitad de 2026. “ESET rastrea los correos electrónicos de quishing bajo el nombre de detección QRCode/Phishing. Esta detección está diseñada para identificar códigos QR en la gran mayoría de los tipos de archivo y decodificar las URL que contienen. Las URL extraídas son analizadas mediante los motores antiphishing, antimalware y antispam de ESET; cualquier URL dañina es bloqueada y los correos electrónicos asociados son marcados o eliminados”, señala el informe.

Para reducir significativamente el riesgo de phishing con códigos QR en una organización, es necesario alcanzar una combinación equilibrada de capacitación, procesos y tecnología. Desde ESET comparten los puntos clave para tener en cuenta:

Comenzar por las personas: Incluir el quishing en los programas de concientización sobre seguridad y en los ejercicios de simulación. Promover que los empleados eviten escanear códigos QR presentes en correos electrónicos no solicitados y que reporten cualquier mensaje sospechoso. Si creen que el mensaje proviene de una fuente confiable, deben verificarlo directamente con el remitente utilizando datos de contacto obtenidos por una vía distinta al correo recibido.

Considerar los controles técnicos, incluida una solución de seguridad de correo electrónico de un proveedor confiable:  Para minimizar el riesgo de que los mensajes de quishing lleguen a las bandejas de entrada, incorporar también una solución de seguridad móvil en los dispositivos de los empleados para bloquear el acceso a sitios maliciosos y otras amenazas. Asimismo, exigir autenticación multifactor resistente al phishing (phishing-resistant MFA) para todas las cuentas sensibles, de modo que, incluso si los usuarios son engañados, los adversarios no puedan obtener acceso a los sistemas corporativos. Las herramientas de administración de dispositivos móviles (MDM) pueden ayudar a garantizar que todos los dispositivos estén protegidos de acuerdo con las políticas de la empresa.

Reducir la superficie de ataque: aplicar el principio de mínimo privilegio y el acceso just in time. Mantener actualizados todos los sistemas operativos móviles y el software corporativo, incluidas las herramientas de seguridad. Además, realizar una supervisión continua para detectar actividades sospechosas y poner a prueba los planes de respuesta a incidentes para estar preparados ante el peor escenario.

“Los códigos QR han pasado de ser una novedad a convertirse en una herramienta habitual en los entornos corporativos. Y lo mismo ha sucedido con el quishing. La familiaridad no tiene por qué generar complacencia. Así como los empleados se han acostumbrado a desconfiar del phishing tradicional por correo electrónico y SMS, también pueden ser capacitados para identificar las señales de advertencia de un posible intento de quishing. Cuando se combina con capacitación y concientización, la familiaridad también puede contribuir a fortalecer la seguridad”, concluye Micucci de ESET.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-corporativa/quishing-codigos-qr-seguridad-corporativa/ 

Inteligencia artificial en las empresas: de la prohibición a la implementación de políticas de uso

Años atrás, las políticas de seguridad corporativas solían centrarse en los mismos temas: credenciales de acceso, contraseñas, uso de dispositivos USB, accesos remotos, clasificación de la información, phishing y ransomware. Hoy, cada vez más organizaciones incorporan políticas específicas para el uso de IA. Ante este escenario, ESET, compañía líder en detección proactiva de amenazas, analiza de qué manera las empresas están incorporando nuevas políticas que apuntan al uso de herramientas de inteligencia artificial, cuál es el desafío para aquellas organizaciones que pasaron de prohibirlas a gobernar su uso, qué regulaciones y estándares existen actualmente a nivel global, y a qué riesgos se exponen las que todavía no tienen políticas definidas.

Según los datos que surgen del último ESET Security Report, el 39,7% de las empresas promueve su uso bajo marcos internos, mientras que un 39,2% todavía deja la decisión en manos de cada empleado sin una política definida. Además, el 17,8% lo limita a determinados casos y solo el 3,4% de las organizaciones mantiene una prohibición total sobre estas herramientas.  

“De a poco, las organizaciones aceptaron que la IA había llegado para quedarse y que el verdadero desafío ya no era impedir su uso, sino gestionarlo. Los principales proveedores tecnológicos acompañaron esa creciente adopción de la IA, lanzando versiones empresariales de sus asistentes, con controles específicos de seguridad, privacidad y cumplimiento. ChatGPT Business y Enterprise, Microsoft 365 Copilot y Gemini para Google Workspace, fueron diseñadas para ofrecer más garantías sobre el tratamiento de los datos corporativos”, comenta Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

Entre 2024 y 2025, la discusión cambió y las empresas empezaron a trabajar en políticas internas, clasificación de datos, herramientas autorizadas, capacitación de empleados e integración de asistentes de IA en procesos de negocio.

Respecto del nivel de regulación que tomaron las empresas, como surge del ESET Security Report,  se observan diferencias entre sectores productivos: en Educación el uso de IA está más desregulado, con un 58,8 % de las instituciones sin ningún tipo de regla sobre la IA. En contraposición, en el sector financiero (Banca) el 47,6 % de las entidades fomenta su uso, pero bajo estrictas normativas internas.

El reporte muestra que el 39,2 % de las organizaciones todavía opera sin una política definida sobre el uso de herramientas de IA, dejando la decisión en manos de cada empleado. Esto no implica necesariamente que la IA esté prohibida o permitida: simplemente que no existen lineamientos claros que indiquen qué herramientas pueden utilizarse, qué tipo de información puede compartirse o qué responsabilidades asumen quienes recurren a ellas.

“En la práctica, significa que cada colaborador puede tomar decisiones diferentes frente a una misma situación: utilizar asistentes públicos o cuentas personales, compartir información sin conocer los riesgos o incorporar contenido generado por IA en procesos críticos sin validación. Aunque ninguna de estas acciones sea necesariamente maliciosa, la falta de reglas hace que la organización pierda visibilidad y control sobre cómo se utiliza la inteligencia artificial”, agrega Micucci.

Las problemáticas que buscan resolver las políticas de IA según ESET, son: 

Proteger la información sensible: Uno de los principales temores fue la posibilidad de que los empleados compartieran, de forma intencional o accidental, información confidencial en las plataformas públicas. Hoy, muchas políticas establecen qué tipo de datos pueden ingresarse en herramientas de IA y cuáles no. Así, es habitual encontrar restricciones respecto de la información de clientes, propiedad intelectual, código fuente, documentos internos o información financiera.

Reducir el riesgo del Shadow AI: Que una herramienta se encuentre prohibida, no siempre significa que deje de utilizarse. A través de las políticas, las empresas acercan alternativas aprobadas y reglas claras sobre cuándo y cómo utilizar estos asistentes. Así, se permite el uso de versiones empresariales, mientras que cuentas personales o servicios sin controles corporativos quedan fuera de la política. Otras organizaciones optan por modelos propios para procesar la información dentro de su infraestructura. El objetivo final es que los empleados no solo sepan si pueden usar IA, sino también qué herramientas tienen a disposición para hacerlo de forma segura.

Garantizar la supervisión humana: Muchas políticas incorporan el principio de supervisión humana, que establece que las personas siguen siendo responsables de validar todo contenido que generan estas herramientas, en especial si interviene en decisiones de negocio o procesos críticos.

Actualmente, ya existen marcos de referencia, estándares internacionales y regulaciones que sirven como guía para implementar una adopción de la IA más segura y responsable. Por ejemplo: 

NIST AI RMF (Artificial Intelligence Risk Management Framework) - Publicado en 2023 por el National Institute of Standards and Technology, propone buenas prácticas para que las empresas puedan identificar, evaluar, gestionar y monitorear los riesgos asociados a la IA. 

ISO/IEC 23894 - Esta norma se enfoca exclusivamente en la gestión de riesgos asociados a la IA. Ofrece lineamientos para identificar, analizar, tratar y monitorear los riesgos derivados del desarrollo o uso de sistemas de IA.

ISO/IEC 42001 - Es el primer estándar internacional para implementar un Sistema de Gestión de Inteligencia Artificial (Artificial Intelligence Management System – AIMS). La norma establece requisitos para definir políticas, asignar responsabilidades, evaluar riesgos, documentar procesos y promover la mejora continua.

EU AI Act - Es el primer marco regulatorio integral sobre IA aprobado por la Unión Europea. Busca establecer obligaciones para quienes desarrollan, comercializan o utilizan sistemas de IA, clasificándolos según el nivel de riesgo que representan. Si bien su aplicación se centra en el mercado europeo, también impacta a empresas de otros países que ofrecen productos o servicios basados en IA dentro de la Unión Europea.

NIST Cybersecurity Framework (CSF) 2.0 - Es uno de los marcos de ciberseguridad más utilizados a nivel mundial. Ofrece una estructura ampliamente adoptada para gestionar riesgos tecnológicos mediante funciones como Govern, Identify, Protect, Detect, Respond y Recover.

“Más allá de sus diferencias, estos estándares, marcos de referencia y regulaciones reflejan cómo la gobernanza de la IA ya no depende únicamente del criterio de cada organización. Hoy existen lineamientos reconocidos que ayudan a definir políticas, gestionar riesgos y establecer controles para incorporar la IA de forma segura, responsable y alineada con los objetivos del negocio”, destacan desde ESET.

El desafío para las organizaciones es encontrar un equilibrio. Ante restricciones rígidas, es probable que los empleados recurran a herramientas no autorizadas. En cambio, las políticas permisivas o ambiguas aumentan el riesgo de que se compartan datos sensibles, se confíe excesivamente en las respuestas de la IA o se utilicen sin los controles adecuados. Por eso, desde ESET recomiendan buscar complementar las políticas con capacitaciones, programas de concientización y herramientas corporativas que ofrezcan una alternativa segura a los servicios públicos. El objetivo es integrarlas en la cultura de cada organización sin que vayan en detrimento de la productividad. 

“La pregunta ya no es si estas herramientas tienen lugar dentro de la organización, sino que la dificultad es utilizarlas sin comprometer la seguridad, la privacidad o el cumplimiento normativo. Así como hace años las políticas de seguridad incorporaron reglas claras sobre dispositivos móviles, trabajo remoto o servicios en la nube, hoy la inteligencia artificial comienza a ocupar un lugar en la agenda de la ciberseguridad de las empresas”, concluye el investigador de ESET Latinoamérica.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-corporativa/inteligencia-artificial-empresas-implementacion-politicas-uso/

El 73% de las empresas en América Latina asegura que el phishing sigue funcionando

Según los datos relevados en el último informe “ESET Security Report”, el 73% de las empresas en América Latina afirman haber sido objetivo de campañas de phishing durante el 2025. Las organizaciones manufactureras registran el 81,4%, y el sector bancario alcanza el 100% de las instituciones que reportan intentos de phishing.

ESET, compañía líder en detección proactiva de amenazas, asegura que lo que hace que el phishing sea tan letal no es la sofisticación de la tecnología sino es la manipulación. La ingeniería social sigue siendo el vector de ataque más explotado, superando el acceso no autorizado, el malware y la explotación de vulnerabilidades. A diferencia de un ataque técnico que puede ser detectado por herramientas, el phishing depende de un clic humano. 

“El phishing no es un ataque sofisticado porque utilice tecnología avanzada. Es sofisticado porque explota el elemento más débil de cualquier sistema de seguridad: el ser humano. Además, los sectores con datos sensibles o acceso a recursos críticos son una prioridad para los delincuentes. Y no es casualidad que precisamente las industrias con menor capacidad defensiva terminen siendo las más atacadas”, comenta David González, investigador de seguridad informática de ESET Latinoamérica. 

El informe revela que no todos los sectores en América Latina experimentan el phishing en la misma medida. Los datos muestran una concentración de riesgo en industrias específicas, y las razones varían desde la naturaleza del trabajo hasta la madurez de las defensas. El sector manufacturero aparece como uno de los más atacados, con un 81,1% de las organizaciones latinoamericanas que reportaron haber sufrido ataques de phishing, lo que indica que las empresas manufactureras son objetivos especialmente atractivos. Por otro lado, el sector de educación registra un 81,4%, explicado en parte por un fenómeno que combina infraestructuras antiguas, ciclos de actualización más lentos y equipos con menos experiencia en seguridad. El sector de Banca y Finanzas registra el 79,6% de los intentos de phishing en América Latina. Gobierno y Salud, a su vez, registran el 72,6% y el 67,6% respectivamente en la región, cifras que siguen siendo alarmantemente altas.

La ingeniería social sigue siendo el vector de ataque más explotado en América Latina, superando el acceso no autorizado, el malware y la explotación de vulnerabilidades. Los delincuentes entienden que derrotar a una persona es mucho más fácil que superar un firewall. El phishing funciona porque explota tres cosas: confianza, prisa y conocimiento limitado. Un correo electrónico que parece legítimo, aparentemente de un compañero o responsable, con una solicitud urgente genera pánico. En este punto, el cerebro está en modo reactivo, no reflexivo. La persona hace clic antes de pensar.

A nivel global, los datos del ESET Threat Report del primer semestre de 2026 muestran la evolución de esta táctica. Los delincuentes no solo envían correos electrónicos evidentes con errores tipográficos. Están personalizando ataques, usando información específica de la empresa, suplantando dominios y expandiéndose a nuevas plataformas como los códigos QR en los correos electrónicos, que evaden el escaneo tradicional.

“El phishing funciona porque es sencillo de realizar, demasiado efectivo y, en la mayoría de los casos, la víctima no sabe que ha sido objetivo hasta mucho más tarde. El phishing de hoy no es el correo obvio con errores tipográficos y enlaces extraños. Es demasiado sofisticado para ser fácil de detectar. Los delincuentes están utilizando varias técnicas nuevas”, agrega el investigador.

ESET identificó una campaña reciente que enviaba correos electrónicos con el asunto "Nuevo buzón de voz" para suplantar la propia cuenta de la víctima como remitente, creando la ilusión de que el mensaje se había originado dentro de la empresa. En este caso, el archivo adjunto era un archivo .svg, un formato menos común que puede eludir los filtros de seguridad tradicionales. Cuando la víctima abría el archivo, era redirigida a una página que imitaba el inicio de sesión de Outlook, donde se les robaban las credenciales. A nivel global, ESET advierte que se han reportado otras tácticas que utilizan códigos QR distribuidos en correos electrónicos, o la técnica de ClickFix, que simulan fallos del navegador y piden al usuario que tome medidas urgentes.

Para mantenerse protegido ante esta amenaza, desde ESET comparten algunas recomendaciones: no hacer clic en links de mails no solicitados o de dudosa procedencia y desconfiar especialmente de asuntos que generen un sentido de urgencia o alerta. Además, tener especial cuidado con adjuntos inesperados, especialmente en formatos menos comunes como .SVG.

González aconseja: “En resumen, si algo parece urgente y llega por correo electrónico, es una señal de alarma, mejor comunícate con el remitente por una vía oficial. La seguridad contra el phishing no es solo responsabilidad de la empresa. Se comparte entre la organización y cada persona que utiliza el correo corporativo. Para las empresas, el primer paso de seguridad según ESET es la visibilidad. Si no se puede detectar un ataque, no hay posibilidad de responder. El firewall, el EDR y los sistemas de respaldo son defensas básicas que deben estar en su lugar y, lo que es más importante, deben ser monitorizadas. Y por supuesto, fortalecer las políticas de autenticación, mantener los sistemas actualizados”.

La formación en seguridad no es una actividad anual aburrida, es lo que diferencia a las empresas que filtran datos de las que no lo hacen. El phishing sigue funcionando porque realmente funciona. Los criminales no cambian de arma cuando el arma sigue las defensas corporativas. La seguridad solo cambia cuando las organizaciones entienden que la invisibilidad es el verdadero problema, no la falta de herramientas. Y cuando cada persona entiende que un clic equivocado no es un error personal, es exactamente lo que el criminal planeó.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-corporativa/phishing-empresas-latinoamerica-capacitacion-ciberseguridad/

Más de la mitad de las empresas detectó intentos de ataques informáticos durante el último año.

El ESET Security Report Latinoamérica 2026 reúne el análisis de las principales tendencias, desafíos y oportunidades que hoy enfrentan las empresas de la región en materia de ciberseguridad. Releva los principales ciberataques sufridos por las empresas, los vectores de intrusión más frecuentes, el nivel de adopción de tecnologías basadas en inteligencia artificial y el grado de adopción de soluciones de protección en los entornos corporativos.

Es el resultado de la encuesta anual realizada por ESET, compañía líder en detección proactiva de amenazas, a más de 1.500 profesionales vinculados a la ciberseguridad pertenecientes a 962 organizaciones de 10 países latinoamericanos. El 80 % de los encuestados desempeña funciones en áreas de seguridad, mientras que el resto corresponde a perfiles no técnicos, lo que permite obtener una perspectiva amplia que abarca todos los niveles de las organizaciones.

Una de las conclusiones del informe, en comparación con la edición anterior, es que la ciberseguridad en las organizaciones continúa siendo mayoritariamente reactiva. Si bien el 85% utiliza firewalls, el 82% cuenta con backups y el 73% implementa VPN, apenas el 23% incorpora plataformas de Threat Intelligence, una de las tecnologías clave para una detección proactiva. Persisten brechas estructurales que limitan la capacidad de las organizaciones para anticipar, detectar y responder de manera efectiva a las amenazas.

Entre los principales desafíos identificados se destacan la falta de visibilidad sobre los incidentes, la persistencia del phishing como principal vector de ataque, el uso de la inteligencia artificial, las debilidades en la protección de la identidad y los dispositivos móviles, así como problemas de higiene digital que continúan siendo aprovechados por los atacantes.

Aunque el 52,7% de las organizaciones detectó intentos de ataque durante el último año, un 15,4% no puede confirmar si fue víctima de un incidente, lo que confirma la persistencia de una falta de visibilidad sobre los entornos que limita la capacidad para comprender el nivel real de exposición y responder oportunamente frente a las amenazas.

Además, entre las organizaciones que no detectaron ataques, una de cada cuatro (25,1%) reconoce que los incidentes podrían haber ocurrido sin ser detectados por no contar con la tecnología suficiente, lo que permite estimar que cuatro de cada diez organizaciones carecen de la capacidad analítica necesaria para conocer su nivel real de exposición.

“Esta brecha continúa siendo uno de los principales desafíos para las empresas de la región, sobre todo por el impacto que puede tener en la capacidad de prevenir, detectar y gestionar incidentes de seguridad.”, asegura Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

El phishing se mantiene como el vector de ataque más frecuente en América Latina, y afectó al 73% de las organizaciones encuestadas. Los resultados muestran que la ingeniería social continúa siendo una de las herramientas más efectivas para los atacantes y ponen de manifiesto que la cultura de seguridad sigue siendo un aspecto crítico para las empresas.

En particular, se observan diferencias entre industrias, con una incidencia especialmente alta del phishing en los sectores de Educación (81,4%), Manufactura (81,1%) y Banca (79,6%).

La inteligencia artificial se consolida como uno de los principales desafíos para las organizaciones de la región. Mientras una mayoría de los profesionales consultados considera que facilitará ataques cada vez más sofisticados y automatizados, una proporción importante de organizaciones todavía no cuenta con políticas internas que regulen su utilización.

Entre los principales hallazgos del informe se destacan:

56,3% considera que la IA facilitará ataques más sofisticados.

19,6% identifica los deepfakes como la principal amenaza.

39,2% no tiene ninguna regulación interna.

39,7% sí posee marcos internos.

“Estos resultados ponen de manifiesto nuevos desafíos para la gobernanza, la gestión del riesgo y la definición de políticas corporativas en torno al uso responsable de estas tecnologías”, destaca Micucci.

Las organizaciones han fortalecido la adopción de controles tradicionales de seguridad. Sin embargo, persisten debilidades en aspectos fundamentales como la protección de la identidad, la seguridad de los dispositivos móviles y la gestión de vulnerabilidades conocidas. Entre las organizaciones encuestadas, solo el 57% utiliza autenticación multifactor, el 36% implementa soluciones DLP y apenas el 23% incorpora plataformas de Threat Intelligence.

“Esta aparente contradicción evidencia que la madurez en ciberseguridad depende cada vez más de la integración entre tecnología, procesos y personas, y no únicamente de la incorporación de nuevas herramientas”, enfatizan desde ESET Latinoamérica.

El informe también revela que las brechas no se limitan a la infraestructura tecnológica. Entre los colaboradores no técnicos, solo el 52,2% utiliza autenticación multifactor en sus cuentas laborales y el 26,9% reconoce que no aplica ninguna medida de seguridad en su teléfono corporativo, lo que confirma que el factor humano continúa siendo uno de los principales desafíos para las organizaciones.

“Desde ESET apostamos a que el conocimiento y la educación permite a las organizaciones tomar decisiones más informadas y fortalecer su capacidad de prevención y respuesta. La elaboración de este reporte apunta a acercar un panorama real de lo que hoy enfrentan las empresas de la región en materia de ciberseguridad para conocer de qué manera mantenerse protegidos”, concluye Micucci de ESET Latinoamérica.

El ESET Security Report Latinoamérica 2026 reúne el análisis de las principales tendencias, desafíos y oportunidades que hoy enfrentan las empresas de la región.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/

ESET lanza su informe de amenazas del primer semestre de 2026: La IA aumenta la eficiencia de los ciberatacantes

ESET, compañía líder en detección proactiva de amenazas, lanza el ESET Threat Report su informe de amenazas del primer semestre de 2026, que resume las tendencias del panorama de amenazas observadas en la telemetría de ESET, así como las perspectivas de especialistas en detección e investigación de amenazas de ESET, desde diciembre de 2025 hasta mayo de 2026. En el mismo revelan como los atacantes continúan mejorando la eficiencia y escalabilidad de sus operaciones, ya que, en lugar de depender de métodos y herramientas completamente nuevos, están adaptando rápidamente técnicas consolidadas a nuevas plataformas, tecnologías y comportamientos de los usuarios. 

Puntos destacados del informe:

ClickFix -una técnica de ingeniería social que aprovecha mensajes de error falsos- se ha expandido a páginas de ayuda con temática de IA, extensiones de navegador y escenarios de autenticación en la nube. 

El phishing con códigos QR -también conocido como «quishing»- ha alcanzado niveles récord en la telemetría de ESET. 

ESET analizó casi 900 000 habilidades de IA -pequeños componentes funcionales utilizados por agentes de IA- e identificó decenas de miles de instancias sospechosas y miles de instancias maliciosas. La IA también está comenzando a aparecer dentro del malware. 

El ransomware no mostró signos de desaceleración, con su uso continuo de «EDR killers» -herramientas diseñadas para desactivar el software de seguridad durante los ataques-.

La inteligencia artificial está desempeñando un papel cada vez más importante. Durante el primer semestre de 2026, ESET analizó cerca de 900.000 AI skills -pequeños componentes funcionales utilizados por agentes de IA- e identificó 25.000 de instancias sospechosas y más de 3.000 instancias directamente maliciosas. La cantidad de AI skills dentro de este nuevo ecosistema está creciendo, ampliando la superficie de ataque.

La IA también está comenzando a aparecer dentro del propio malware. Poco después de la aparición del primer ransomware impulsado por IA en 2025, el equipo de investigación de ESET identificó PromptSpy, el primer malware para Android conocido que utiliza IA generativa en su flujo de ejecución. Este malware aprovecha la IA -específicamente Gemini de Google- para interpretar elementos de la interfaz de usuario y adaptarse a distintos dispositivos y entornos sin depender de comportamientos codificados de forma rígida (hardcoded).

«En lugar de recurrir a métodos y herramientas completamente nuevos, los atacantes están adaptando rápidamente técnicas ya establecidas a nuevas plataformas, tecnologías y comportamientos de los usuarios. El número de habilidades de IA dentro de este nuevo ecosistema está creciendo rápidamente en este mismo momento, lo que amplía aún más la superficie de ataque», afirma Jiří Kropáč, director de los Laboratorios de Prevención de Amenazas de ESET. «Por otro lado, PromptSpy ilustra el potencial de una mayor flexibilidad en las amenazas futuras, aunque es probable que las medidas de protección contra el abuso incluidas en los modelos de lenguaje grande (LLM) estén frenando su adopción», explica Kropáč.

Las habilidades de IA son pequeños complementos o conjuntos de instrucciones que indican a un agente de IA cómo realizar una tarea específica, incluyendo qué servicios o herramientas utilizar y a qué datos acceder. El informe publicado aborda detalles sobre habilidades de IA maliciosas que utilizan herramientas de piratería de terceros y una habilidad sospechosa que se auto-modifica, diseñada para crear un mecanismo de persistencia (archivo JSON) y una herramienta para la auto-modificación (código Python). Esto puede dar lugar a un comportamiento impredecible del agente o a su uso indebido por parte de un atacante. Y, por último, existen habilidades benignas pero problemáticas, como las que se comercializan como escáneres de seguridad, las cuales crean una falsa sensación de seguridad, pero solo implementan técnicas básicas de escaneo -como las herramientas antivirus de la década de 1990- o simplemente consultan la reputación de hash, URL y direcciones IP en VirusTotal.

Habilidades únicas de IA analizadas por los sistemas de ESET por día, promedio de siete días:

Mientras tanto, ClickFix -una técnica de ingeniería social que aprovecha mensajes de error falsos- se ha expandido más allá de las solicitudes falsas de CAPTCHA para abarcar páginas de ayuda relacionadas con la IA, extensiones de navegador y escenarios de autenticación en la nube. AI-fix muestra cómo los atacantes se aprovechan de la confianza en la IA generativa, incorporando cadenas de compromiso de ClickFix en contenido de resolución de problemas generado por IA para issues inexistentes en páginas que abusan de los dominios de gigantes de la IA. ConsentFix destaca una evolución hacia el robo de tokens, combinando la interacción al estilo ClickFix con el abuso de la autorización OAuth para secuestrar cuentas en la nube sin necesidad de robar credenciales, a menudo eludiendo el doble factor de autenticación (MFA) y basándose por completo en flujos de trabajo de inicio de sesión legítimos. Las detecciones de ESET de este vector se duplicaron con creces entre el segundo semestre de 2025 y el primer semestre de 2026, lo que indica una actividad sostenida y una adaptación constante. 

Las campañas de phishing también están evolucionando en respuesta al comportamiento de los usuarios. El phishing mediante códigos QR -también conocido como «quishing»- ha alcanzado niveles récord en la telemetría de ESET, con atacantes que incrustan enlaces maliciosos en códigos QR para eludir la inspección y desviar la interacción del usuario hacia dispositivos móviles, al tiempo que se aprovechan de la confianza implícita que muchas personas depositan en los códigos de barras con patrones cuadrados. Aproximadamente el 11 % de todos los correos electrónicos de phishing detectados en el primer semestre de 2026 utilizaban códigos QR, y las amenazas de phishing con códigos QR fueron más frecuentes en EE. UU. (19 % de las detecciones), España (17 %) y México (6 %).

Por último, la actividad del ransomware no mostró signos de desaceleración, con el uso continuo de «EDR killers» -herramientas diseñadas para desactivar el software de seguridad durante los ataques-. El equipo de investigación de ESET ha documentado más de 100 «EDR killers» diferentes en circulación, y aparecen nuevas variantes con regularidad. El número de ataques de ransomware siguió creciendo en el primer semestre de 2026, pero el número de víctimas dispuestas a pagar alcanzó mínimos históricos. Tres informes recientes de la industria confirmaron esta tendencia a la baja, indicando que entre el 14 % y el 28 % de las víctimas pagaron el rescate.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/informes/eset-threat-report-informe-de-amenazas-primer-semestre-2026/

IA y servicios MDR fortalecen la protección empresarial

“En un entorno donde las amenazas cibernéticas evolucionan con mayor rapidez y sofisticación, las organizaciones requieren estrategias de seguridad capaces de anticipar riesgos, responder de forma inmediata y reducir el impacto de los incidentes”, expuso Marcello Zúñiga, gerente de Desarrollo de Negocios de ESET Nicaragua.

En este contexto, la inteligencia artificial (IA), los servicios gestionados de detección y respuesta (MDR, por sus siglas en inglés) y las plataformas de protección inteligente se han convertido en pilares fundamentales para garantizar la continuidad de los negocios.

ESET, compañía líder en ciberseguridad con más de tres décadas de experiencia en investigación y desarrollo de tecnologías de protección digital, impulsa esta nueva generación de soluciones mediante la combinación de inteligencia artificial, análisis de comportamiento y el conocimiento de expertos en ciberseguridad para ofrecer una defensa multicapa frente a las amenazas actuales y futuras.

Inteligencia artificial para una detección más precisa

La inteligencia artificial desempeña un papel clave en la evolución de la ciberseguridad. La empresa integra capacidades de IA y aprendizaje automático en sus tecnologías de detección para identificar patrones maliciosos, analizar grandes volúmenes de información en tiempo real y detectar amenazas conocidas y desconocidas con mayor precisión.

Estas capacidades complementan la experiencia de sus investigadores, permitiendo reducir los falsos positivos y acelerar la identificación de actividades sospechosas antes de que puedan convertirse en incidentes de seguridad. La IA también fortalece la detección de malware avanzado, ataques de día cero y campañas de ransomware cada vez más complejas.

MDR: monitoreo y respuesta experta las 24 horas

Ante la creciente escasez de talento especializado en ciberseguridad y la necesidad de monitoreo continuo, los servicios gestionados de detección y respuesta se han convertido en una alternativa estratégica para empresas de todos los tamaños.

Con el servicio ESET MDR, las organizaciones cuentan con un equipo de especialistas que supervisa permanentemente los entornos protegidos, investiga actividades sospechosas, valida alertas y responde de manera rápida ante posibles incidentes, reduciendo significativamente el tiempo de detección y contención de amenazas.

Este servicio permite que los equipos internos de TI se concentren en iniciativas estratégicas, mientras especialistas en ciberseguridad realizan la vigilancia continua, el análisis de amenazas y la respuesta coordinada frente a ataques sofisticados.

Prepararse para el futuro de la ciberseguridad

La transformación digital, el crecimiento del trabajo híbrido, la adopción de servicios en la nube y el incremento de los ataques impulsados por inteligencia artificial exigen una evolución constante de las estrategias de protección.

La compañía apuesta por una ciberseguridad proactiva que combina innovación tecnológica, inteligencia artificial, automatización y el respaldo de expertos para ofrecer a las empresas una protección integral frente a un panorama de amenazas en constante cambio.

La integración de tecnologías avanzadas de inteligencia artificial, servicios MDR y soluciones inteligentes de protección permite a las organizaciones fortalecer su resiliencia digital, reducir los riesgos operativos y garantizar la continuidad del negocio en un entorno digital cada vez más complejo.

“La inteligencia artificial está transformando la ciberseguridad desde ambos frentes: mientras los atacantes la utilizan para hacer sus campañas más sofisticadas, nosotros la empleamos para detectar patrones, identificar anomalías y responder con mayor velocidad. La clave está en combinar la tecnología con la experiencia humana para ofrecer una protección realmente efectiva”, finalizó Zúñiga.

Para saber más puede ingresar a WeLiveSecurity, es sitio de noticias de ESET: https://www.welivesecurity.com/es/investigaciones/scarcruft-ataque-cadena-suministro-juegos-malware/

La resiliencia digital, un reto para las pymes tras el aumento de incidentes cibernéticos

La ciberseguridad en las pequeñas y medianas empresas (pymes) no siempre recibe la atención que merece, incluso por parte de las propias organizaciones, y esto resulta preocupante dado que representan el 90 % de las empresas del mundo, el 70 % del empleo global y el 50 % del PBI mundial, según el Foro Económico Mundial (WEF). Un nuevo informe de ESET, compañía líder en detección proactiva de amenazas, detalla qué tan bien están posicionadas las pymes, cuáles son sus mayores desafíos y qué debería ocurrir a continuación.

Para este tipo de organizaciones, la resiliencia cibernética es esencial: es decir, la capacidad de continuar operando y recuperarse incluso durante un incidente grave. La preparación cibernética consiste en implementar procesos y controles que permitan prevenir, detectar y responder a amenaza.

“En muchos aspectos, las pymes no difieren de las grandes empresas. Enfrentan un panorama de amenazas que evoluciona rápidamente, con adversarios que aprovechan las tecnologías más recientes para aumentar el volumen, la escala y la velocidad de los ataques. La superficie de ataque corporativa se amplía con cada nueva herramienta digital y cada inversión tecnológica. Los empleados siguen siendo una fuente de riesgo. Y las empresas deben cumplir con un número creciente de exigencias regulatorias”, comenta Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

Según el informe de ESET, el 45 % de las pymes sufrió un incidente de ciberseguridad el año pasado, y un porcentaje aún mayor (61 %) teme sufrir un ataque en los próximos 12 meses. Las principales preocupaciones están relacionadas con la pérdida de datos, la interrupción operativa y el impacto financiero.

Estas son las mismas preocupaciones que comparten los dueños de pymes con los CISO y los directorios de las mayores multinacionales. Reflejan el carácter crítico de la preparación cibernética para el negocio y explican por qué la seguridad debe funcionar como una condición operativa: no como una función aislada del área de IT, sino como algo integrado en la cultura y en las operaciones del negocio. Este cambio es clave porque, si bien muchas pymes logran recuperarse, el 34 % aún necesita entre dos y seis semanas para resolver un incidente, un período de impacto operativo que puede resultar devastador para muchas empresas.

El informe también revela que la mayoría de las pymes (73 %) está incorporando inteligencia artificial en su negocio, aun cuando reconoce que esto introduce nuevos riesgos. También existen preocupaciones sobre su potencial en manos equivocadas, de hecho, el malware impulsado por IA es mencionado como la “amenaza más preocupante” por una pluralidad de los encuestados. 

Desde ESET señalan que el malware que utiliza IA de forma automatizada y en tiempo real sigue siendo poco común, pese a lo que puedan sugerir los titulares. Los casos observados son relativamente escasos, lo que lo convierte más en un tema de investigación para especialistas que en una preocupación inmediata para las pymes.

El phishing y las vulnerabilidades sin parchear encabezan la lista de los incidentes de ciberseguridad, según un informe de Verizon, que los señala entre los tres principales vectores de acceso inicial para las pymes. Las contraseñas débiles y la falta de monitoreo de seguridad también ocupan posiciones destacadas en los datos de ESET.

Según el DBIR, el shadow AI es la tercera acción interna no maliciosa más común. La IA y la automatización están ayudando a los actores de amenazas a mejorar sus capacidades y escalar sus operaciones, especialmente en ingeniería social, investigación y explotación de vulnerabilidades y otras amenazas “tradicionales”. Las pymes consultadas por ESET muestran interés en utilizar IA para combatir estas amenazas, anticiparlas antes de que ocurran, identificar y mitigar ataques con mayor rapidez y detectar ingeniería social.

Las pymes que adoptan programas de concientización en ciberseguridad están encaminadas hacia una postura de mayor preparación. Sin embargo, ESET detectó que la adopción de capacitación es más alta entre las empresas que han experimentado múltiples incidentes (81 % frente a 53 %). Estas organizaciones también muestran una mayor confianza en su resiliencia, posiblemente porque adoptaron de forma reactiva medidas de seguridad consideradas buenas prácticas. En este contexto, cuatro de cada cinco encuestados consideran que su presupuesto de seguridad es suficiente o más que suficiente, y la mitad espera que aumente el próximo año. 

La confianza aumentó del 48 % en 2022 al 87 % este año. Para ESET, las pymes deberían seguir enfocándose en:

Tecnologías y procesos con enfoque preventivo, incluyendo capacitación, parches regulares y una gestión sólida de identidades.

Evaluaciones de riesgo realistas y periódicas que ayuden a priorizar inversiones en seguridad.

Respuesta a incidentes que permita una recuperación más rápida y reduzca el impacto en el negocio.

Externalización de capacidades cuando corresponda, como servicios de detección y respuesta gestionadas (MDR).

Mejora del gobierno de IT para reducir el shadow IT y el shadow AI.

A pesar de una gestión presupuestaria cuidadosa, según la encuesta, una cuarta parte de las pymes afirma que contar con más fondos les permitiría mejorar su postura de ciberseguridad con mayor rapidez. La complejidad y la integración siguen siendo desafíos persistentes para quienes disponen de menos recursos. Los encuestados señalan que buscan servicios y soluciones confiables, completos y fáciles de usar.

“Si realmente se busca mejorar la preparación cibernética de las pequeñas empresas, la comunidad de proveedores debería asumir un rol más activo. Aun así, no existe una solución única. Las pymes han demostrado que están bien encaminadas hacia una mayor resiliencia, pero este es un proceso continuo que evolucionará junto con la tecnología y las amenazas. La vigilancia constante y la capacidad de adaptación serán claves a largo plazo” concluye Micucci, de ESET Latinoamérica. 

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-corporativa/ciberseguridad-pymes-resiliencia/

Falsas llamadas de emergencia ponen en evidencia riesgos en sistemas críticos

Un supuesto ataque al sistema de alertas de la Defensa Civil, basado en tecnología de difusión celular (Cell Broadcast), provocó el envío de falsas alertas a teléfonos celulares en diversas ciudades brasileñas entre la noche del último viernes (20) y la madrugada del sábado (21), lo que generó preocupación por la seguridad de infraestructuras críticas utilizadas para la protección de la población. ESET, compañía líder en detección proactiva de amenazas, contextualiza el caso y analiza distintas estrategias de protección relacionadas a este tipo de sistemas. 

De acuerdo con un informe emitido por el Gobierno Federal y enviado a la Policía Federal (PF), los primeros envíos se registraron en Río de Janeiro. Posteriormente, residentes de Curitiba, Brasilia, São Paulo, Salvador y otras localidades también recibieron notificaciones clasificadas como “alerta extrema”, considerado el nivel más alto del sistema de alertas de la Defensa Civil. Este tipo de mensaje se utiliza en situaciones de riesgo inminente para la vida, requiriendo que la población adopte medidas de protección de forma inmediata.

En el caso de Río de Janeiro, el mensaje hacía referencia a una supuesta posibilidad de deslizamientos de tierra, información especialmente sensible en una región históricamente afectada por tragedias relacionadas con lluvias intensas. Además, circularon mensajes que mencionaban una supuesta posibilidad de tornado en la región de Belo Horizonte (MG) y otros avisos sin fundamento. Los textos presentaban frases inconexas, campos corruptos y expresiones inusuales, incluyendo referencias a un supuesto “ataque alienígena”.

El incidente ocurre en un momento en el que América Latina enfrenta un aumento sostenido de eventos climáticos extremos. Según la Organización Meteorológica Mundial (OMM), en los últimos años la región ha sido afectada por fenómenos como inundaciones, sequías, huracanes e incendios forestales de gran magnitud, lo que refuerza la importancia de los sistemas de alerta temprana para proteger a la población.

“En este contexto, varios países de la región están adoptando sistemas de alerta basados en Cell Broadcast, una tecnología que permite enviar mensajes masivos a todos los dispositivos móviles en un área específica, sin necesidad de aplicaciones ni conexión a internet”, agrega Jonathan Ramos, investigador de seguridad informática de ESET Latinoamérica.

Algunos casos de implementación en la región son: 

Chile es el caso más consolidado, con su Sistema de Alerta de Emergencia (SAE) plenamente operativo y utilizado regularmente ante desastres naturales, mientras que Brasil ya cuenta con infraestructura de alertas móviles a gran escala, como se evidenció en este incidente.

México ha realizado pruebas durante los últimos años integrando parcialmente Cell Broadcast en su sistema de alerta sísmica. Otros países, como Ecuador, se encuentran en etapas iniciales o pilotos.

Argentina está avanzando en el despliegue de su sistema nacional AlertAR, basado en esta tecnología.

“A medida que los gobiernos adoptan tecnologías más eficientes para alertar a la población, también aumenta la superficie de ataque sobre sistemas críticos. Un sistema de alertas comprometido puede generar pánico, desinformación y eventualmente disminuir la credibilidad de las comunicaciones oficiales en situaciones reales de emergencia”, destaca Ramos de ESET.

Un detalle que llamó la atención en este caso, fue la repetición de la palabra “misantropía” en distintos mensajes, funcionando como una especie de firma dejada por los responsables. El término se utiliza para describir a personas que manifiestan aversión, desconfianza o rechazo hacia la humanidad y la convivencia social.

El caso está siendo investigado por la Defensa Civil Nacional en conjunto con la Agencia Nacional de Telecomunicaciones (Anatel). La sospecha es que el incidente haya involucrado un acceso indebido a la Interfaz de Difusión de Alertas Públicos (Idap), plataforma utilizada por el Ministerio de Integración y Desarrollo Regional (MIDR), con el apoyo de la Defensa Civil Nacional, para el envío de alertas relacionadas con riesgos de desastres naturales y otras emergencias.

En las primeras horas posteriores al incidente, un usuario identificado como “Misantropo”, en la red social X, publicó imágenes y un video adjudicándose la autoría de los mensajes. El material difundido sugiere el uso de una plataforma gubernamental para el envío de las alertas.

En una entrevista con el portal TecMundo, el presunto atacante afirmó haber utilizado credenciales antiguas del Idap que habrían sido expuestas en filtraciones previas. Según su relato, el acceso habría sido obtenido mediante la técnica conocida como credential stuffing, que consiste en la reutilización automatizada de combinaciones de usuario y contraseña previamente comprometidas en otros incidentes.

“Aunque la autoría y los detalles de la invasión aún están bajo investigación, el episodio refuerza la importancia de adoptar mecanismos robustos de autenticación, monitoreo continuo y revisión periódica de credenciales en sistemas considerados críticos para la seguridad pública”, agregan de ESET.

La respuesta de las autoridades fue la desactivación temporal de la plataforma. En un comunicado oficial, la Defensa Civil del estado de São Paulo informó que el mensaje recibido por la población no fue emitido por el organismo y que inició de inmediato procedimientos de verificación junto con la Defensa Civil Nacional, Anatel y otras instituciones involucradas en la operación del sistema. “Hasta el momento, no existe registro de ningún evento que justifique la emisión de una alerta extrema relacionada con el contenido reportado”, afirmó el organismo.

“El incidente evidencia los riesgos asociados a la protección de sistemas gubernamentales responsables de servicios esenciales. Los incidentes cibernéticos en plataformas de infraestructura crítica exponen vulnerabilidades que trascienden la esfera tecnológica, evidenciando fallas en políticas y procedimientos de seguridad. El uso de credenciales supuestamente filtradas refuerza la urgencia de prácticas de gobernanza, como la aplicación del principio de privilegio mínimo, la obligatoriedad de la autenticación multifactor (MFA) y la rotación periódica de contraseñas. Para sistemas de alto impacto social, resulta indispensable la implementación del principio de doble control (Four-Eyes Principle). Esta capa de validación mitiga el riesgo de acciones aisladas, ya sean maliciosas o accidentales, evitando que falsas alertas generen pánico y desinformación y, sobre todo, preservando la confianza de la población en los mecanismos legítimos de protección del Estado”, concluye Jonathan Ramos de ESET.

El resultado de la investigación deberá esclarecer si efectivamente hubo una intrusión en los sistemas de la Defensa Civil o si el incidente fue provocado por el uso indebido de credenciales válidas obtenidas en filtraciones anteriores.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/seguridad-digital/falsas-alertas-emergencia-brasil-acceso-indebido-defensa-civil

Correo hackeado: los pasos clave para recuperar el control de tus cuentas

Un hackeo de mail hoy no significa solamente perder el acceso a “los correos”, sino que toda la vida digital: WhatsApp, Instagram, Facebook, Netflix, Spotify, Mercado Pago, homebanking y muchas otras plataformas y servicios que tienen el correo como llave en ingreso, pueden estar en riesgo. ESET, compañía líder en detección proactiva de amenazas, comparte un paso a paso sobre qué se debe hacer si un mail fue hackeado, para reducir sensiblemente el impacto del incidente. A su vez, analiza cómo pudo haber sido hackeado, qué señales dan indicios del hackeo y qué medidas se pueden tomar para protegerse.

“Hoy el mail dejó de ser solo una herramienta de comunicación para convertirse en la puerta de entrada a tu vida digital, y justamente por eso es uno de los blancos más explotados por el cibercrimen. Así, ya no alcanza con “tener cuidado”, ya que muchas amenazas están diseñadas para pasar desapercibidas incluso para usuarios atentos”, comenta Mario Micucci, investigador de ESET Latinoamérica.

A continuación, el equipo de ESET detalla qué se debe hacer para mitigar el daño y recuperar el control total de una cuenta de correo hackeada:

Recuperar el acceso: El primer paso clave es intentar ingresar a la cuenta hackeada, sea desde el sitio o la aplicación oficial. Si se puede ingresar normalmente, se debe cambiar de inmediato la contraseña por una nueva, que sea robusta y única. Nunca reutilizar claves viejas ni variantes similares.

También es importante cerrar todas las sesiones que estén abiertas en otros dispositivos. Servicios como Gmail y Outlook permiten identificar en qué equipos o ubicaciones hay sesiones activas, y forzar el cierre de manera remota. Si ya no se puede ingresar al correo debido a que el ciberatacante cambió la contraseña, se debe recurrir de inmediato al proceso oficial de recuperación de cuenta, que se encuentra disponible en la página de inicio de sesión de tu proveedor. 

Activar el doble factor de autenticación: Una vez que se haya recuperado el acceso al mail, activar la autenticación es dos pasos (también conocida como 2FA). Esto agrega una barrera de seguridad extra, y por más que el ciberatacante tenga en su poder la contraseña, sin este doble factor no podrá ingresar.

Revisar el impacto en otras cuentas y servicios: Un mail es la llave maestra que da acceso a otras cuentas y servicios, por eso es fundamental revisar todo lo que esté vinculado a esa cuenta: redes sociales, plataformas de streaming, billeteras virtuales, homebanking, apps de mensajería, cuentas laborales, tiendas online, servicios en la nube, entre otros. Lo ideal es cambiar las contraseñas de cada una, para evitar cualquier tipo de inconveniente.

Identificar si hubo actividad maliciosa: Con la cuenta de correo en su poder, muchos ciberatacantes la utilizan de inmediato para lanzar estafas y encontrar nuevas víctimas. Se deben revisar los correos enviados recientemente, si hay nuevas reglas automáticas sospechosas, si se aplicaron filtros desconocidos o si se eliminaron mensajes. Aquí se puede consultar a los contactos si recibieron algún mensaje extraño desde la cuenta.

Analizar los dispositivos: El hackeo de un mail pudo deberse a diversos motivos: el robo de credenciales, un ataque de phishing, o bien la infección por malware. Siempre conviene realizar un análisis de seguridad en todos los dispositivos en los cuales se utiliza esa cuenta. Ya sea teléfono celular, tablet, PC o notebook. Luego, realizar todas las actualizaciones correspondientes al sistema operativo, navegador y aplicaciones, y eliminar cualquier tipo de extensión sospechosa o app que no se conozca.

En cuanto a las señalas de hackeo, si bien hay algunas señales que son muy obvias, hay otras que no, ya que el ciberatacante intentará pasar desapercibido el mayor tiempo posible. Por eso, desde ESET repasan las 5 principales alarmas que indican que un mail fue vulnerado:

No puedes ingresar con tu contraseña habitual: Sin dudas, esta es la señal más evidente. Si ya no puedes ingresar con tu clave, es porque alguien la cambió (los actores maliciosos suelen hacerlo de inmediato).

Recibes alertas de inicio de sesión: Los proveedores de servicio de mail envían notificaciones a los usuarios cuando identifican algún acceso extraño, sea desde un dispositivo nuevo, de alguna ubicación desconocida o de un país desde el cual nunca te conectaste. Y si bien algunas personan desestiman esas alertas creyendo que se trata de un error, es clave prestar más atención a este tipo de avisos. A su vez, si recibes correos para “restablecer contraseña” desde tus redes sociales, servicios financieros o cualquier otro servicio online, pero que nunca solicitaste, es otro indicio que un actor malicioso está intentando utilizar tu mail para vulnerar otras cuentas.

Contactos reciben mensajes que no enviaste: Otra señal clara que la cuenta fue comprometida. Es muy común que una vez que logran el acceso, los ciberatacantes usen el correo hackeado para lanzar nuevas estafas. Además, revisar si existen correos eliminados, que fueron movidos de carpeta o marcados como leídos.

Cambios en los datos de tu cuenta: Si en tu cuenta evidencias cambios que nunca realizaste, puedes estar en riesgo. Una señal podría ser que haya un nuevo número telefónico asociado, no se reconoce la dirección de recuperación, la firma es diferente, el idioma cambió, existen nuevas reglas o hay dispositivos vinculados que no conoces.

Actividad extraña en plataformas vinculadas: Muchas veces, el indicio de un hackeo se evidencia en otros servicios asociados. Por ejemplo: Facebook te informa un cambio de contraseña, Netflix detecta un nuevo inicio de sesión, o WhatsApp envía códigos inesperados. Recordá que el mail es la llave para recuperar accesos en otras plataformas y su compromiso puede desencadenar el hackeo de otras plataformas.

Por otro lado, también es útil conocer de qué manera un ciberatacante puede vulnerar una cuenta de correo electrónico. Las opciones más comunes pueden ser los ataques de phishing, la reutilización de contraseñas en más de un servicio, una Infección con malware, o la conexión en redes inseguras de Wi-Fi.

Para prevenir el hackeo, ESET comparte algunas hay acciones concretas que se pueden implementar para reforzar la seguridad:

Utilizar contraseñas robustas y únicas

Activar el doble factor de autenticación

Prestar atención antes de descargar un archivo o hacer clic en un correo inesperado

Revisar accesos y dispositivos conectados regularmente

Eliminar aquellas apps o servicios que tengan acceso a las cuentas y no reconozcas

Mantener todos los dispositivos actualizados

Verificar que el mail y teléfono de recuperación sean correctos

Evitar redes Wi-Fi públicas para accesos sensibles

“En este contexto, tener una capa adicional de protección que actúe en tiempo real es clave, para analizar enlaces, detectar comportamientos sospechosos y bloquear cualquier intento de fraude antes de que lleguen a tu bandeja de entrada. Es allí donde soluciones especializadas, con tecnologías de detección proactiva, antiphishing y análisis basado en inteligencia artificial, marcan la diferencia y son un factor clave para proteger tu identidad digital”, concluye Micucci de ESET.

Falsas ofertas laborales suplantan a grandes empresas para robar datos personales en Latinoamérica.

La búsqueda de una nueva oportunidad profesional puede ser un momento de expectativa y entusiasmo. Sin embargo, los ciberdelincuentes aprovechan este contexto para llevar adelante estafas cada vez más sofisticadas.  Recientemente, el equipo de investigación de ESET, compañía líder en detección proactiva de amenazas, identificó una campaña de correos electrónicos falsos que usan el nombre de reconocidas empresas como L’Oréal, Coca-Cola y Red Bull, que ofrecen supuestas oportunidades de empleo como anzuelo para captar datos personales. 

Es importante señalar que las empresas afectadas son también víctimas de los ciberdelincuentes ya que son utilizadas como parte de la estafa. Los atacantes aprovechan el reconocimiento de estas marcas para intentar legitimar el engaño y mediante el uso de su imagen aumentar la probabilidad de éxito del fraude. 

“Esta estafa no es nueva, y varios usuarios llevan advirtiendo sobre este mismo fraude desde al menos 2025. En algunos casos, los delincuentes también usaron el nombre de otras empresas, como Meta, y otras compañías para dar credibilidad al esquema”, advierte Mario Micucci, investigador de ESET Latinoamérica.

Correos falsos que suplantan grandes marcas 

La estrategia comienza de forma relativamente sencilla: los delincuentes envían correos electrónicos que parecen haber sido enviados desde alguna oficina de recursos humanos de las empresas suplantadas o por supuestos reclutadores, con una oferta concreta, dirigida a nombre del remitente, para ofrecerle participar en un proceso de selección de personal. 

El mensaje suele presentar una vacante atractiva e incluye un enlace para que la parte interesada avance en las siguientes fases de la solicitud.  

En uno de los casos analizados, podemos observar que el mensaje inicial ya tiene señales de alerta que anuncian que se trata de una comunicación falsa: el nombre mostrado es el de un supuesto reclutador de L'Oréal, la dirección de correo electrónico utilizada no tiene relación con los dominios oficiales de la empresa. 

En algunos casos, como el que detectó ESET que simula ser de Adidas, el remitente es una persona real, que posiblemente los delincuentes investigaron que pertenece a la empresa.  

En este punto, plataformas profesionales como LinkedIn pueden jugar un rol clave: los atacantes pueden recopilar información pública sobre empleados, roles y estructuras internas para hacer más creíble la suplantación de identidad. Lo que les permite personalizar los ataques y aumentar significativamente la tasa de éxito.  

Al hacer clic en el enlace, en los distintos correos que se distribuyeron suplantando a las empresas, el usuario accede a una página que imita un formulario legítimo, similar a los servicios ampliamente utilizados por las empresas para el reclutamiento. La apariencia profesional del sitio contribuye a transmitir una falsa sensación de confianza y legitimidad.  

Este tipo de inconsistencia es una de las principales señales de phishing y debería servir de advertencia para los candidatos.  

Una vez en el sitio, se anima al candidato a entregar información personal y profesional, como nombre, número de teléfono, experiencia profesional y dirección de correo electrónico. Hasta ahora, el proceso parece compatible con una candidatura legítima. 

Falsa verificación de cuenta 

Tras completar el formulario, la víctima es redirigida a una pantalla que imita el proceso de inicio de sesión de Google, con el objetivo de robar credenciales. A simple vista, la interfaz resulta familiar y "profesional", ya que reproduce el diseño típico de selección de cuenta de Google. Sin embargo, al observar con atención, es posible detectar inconsistencias clave, como el dominio del sitio web —que no corresponde a Google—, lo que evidencia que se trata de una página fraudulenta. 

“Un aspecto clave para identificar este tipo de engaños es verificar el dominio en la barra de direcciones: aunque la interfaz imite servicios legítimos como Google, las credenciales solo deben ingresarse en sitios oficiales”, señala el investigador de ESET. 

En este punto se revela el verdadero propósito del engaño: lograr que la víctima, bajo engaño, entregue voluntariamente sus credenciales a los ciberdelincuentes. La página solicitará el acceso al correo electrónico, con la excusa de que se trata de un paso necesario para continuar con el proceso de selección.  

La solicitud previa del correo electrónico no ocurre por casualidad. Al recopilar esta información con antelación, los atacantes pueden personalizar la siguiente fase del engaño y aumentar su credibilidad. 

El uso de interfaces conocidas y visualmente legítimas es una táctica habitual en campañas de phishing, ya que reduce la desconfianza del usuario y aumenta la probabilidad de que entregue sus credenciales. 

“Con acceso a la cuenta de correo electrónico de la víctima, los delincuentes pueden restablecer contraseñas de otros servicios vinculados al correo comprometido; acceder a información personal y profesional almacenada en la bandeja de entrada; enviar mensajes falsos en nombre de la víctima a sus contactos e, incluso, usar la cuenta para difundir nuevas campañas de phishing. Dependiendo de los servicios asociados al correo electrónico, el compromiso también puede resultar en un acceso indebido a cuentas bancarias, redes sociales, plataformas corporativas y otros sistemas sensibles, amplificando significativamente el impacto del ataque”, agrega Micucci.

Para reducir el riesgo de caer en este tipo de fraude, desde ESET señalan que es importante adoptar algunas medidas de seguridad: 

Desconfiar de cualquier proceso de selección que  pida la contraseña del correo electrónico. 

Comprobar cuidadosamente la dirección del remitente y el dominio de los enlaces recibidos. 

Confirmar la existencia de la vacante directamente en los canales oficiales de la empresa. 

Activar la autenticación de dos pasos (MFA) en las cuentas. 

Nunca compartir credenciales de acceso a través de formularios online mensajes recibidos por correo electrónico. 

“Aunque las campañas de phishing que involucran oportunidades de empleo falsas no son nada nuevo, los delincuentes siguen perfeccionando sus técnicas para hacerlas más convincentes. Por lo tanto, ante cualquier proceso de selección que solicite credenciales de acceso o presente inconsistencias en las direcciones de correo electrónico y enlaces utilizados, la recomendación es detener inmediatamente la interacción y verificar la autenticidad de la vacante a través de los canales oficiales de la empresa”, concluye el investigador de ESET. 

Además, desde ESET adviertes que si bien las empresas legítimas pueden solicitar currículums, información de contacto y datos profesionales durante el proceso de reclutamiento. Sin embargo, nunca pedirán la contraseña de una cuenta de correo electrónico como requisito para participar en un proceso de selección. Ante cualquier solicitud de este tipo, detener inmediatamente la interacción y confirmar la autenticidad de la vacante a través de los canales oficiales de la organización.

Para saber más ESET puede ingresar a: https://www.welivesecurity.com/es/estafas-enganos/ofertas-laborales-falsas-phishing-suplantan-grandes-marcas

¿Le pedirías consejo médico a una IA? Aspectos clave antes de hacerlo.

Los chatbots están cambiando la forma en que pensamos, aprendemos y percibimos el mundo que nos rodea. Este tipo de disrupción se manifiesta en muchas áreas de la vida, pero quizás una de las más sensibles sea el creciente uso de herramientas de inteligencia artificial generativa (GenAI) en el ámbito de la salud. Grandes empresas tecnológicas han incursionado en la IA de salud orientada al consumidor con el lanzamiento de servicios como Copilot Health, ChatGPT Health y Amazon’s HealthAI, cuyos modelos ayudan a los usuarios a interpretar sus historiales médicos y a hacer preguntas sobre sus síntomas, resultados de laboratorio y opciones de tratamiento. Sin embargo, ESET, compañía líder en detección proactiva de amenazas, advierte que existen riesgos al esperar que una herramienta de IA asuma el rol de tu médico. 

“El riesgo no es solo recibir un consejo incorrecto, sino también que los usuarios compartan información personal altamente sensible con sistemas cuyas protecciones de privacidad, prácticas de intercambio de datos y obligaciones legales pueden diferir de las de un médico o un hospital, así como que sus datos queden expuestos a entidades inesperadas. El mal uso de los chatbots de IA en general es actualmente el principal riesgo tecnológico en salud, según una organization de seguridad del paciente de EE. UU”, comenta Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica.

Segú Microsoft, las personas en sus dispositivos móviles hablan sobre su salud y la de sus seres queridos más que de cualquier otro tema. Los chatbots están disponibles las 24 horas, los 7 días de la semana, con una respuesta para todo, expresada en un tono seguro que ayuda a tranquilizar a los pacientes nerviosos.

En un momento en que los sistemas nacionales de salud están cada vez más presionados, es probable que muchas personas se auto diagnostiquen con ayuda de la IA antes de decidir si deben buscar atención médica. 

Sin embargo, ya están surgiendo preocupaciones. La primera es la de las alucinaciones o el asesoramiento incorrecto. Un estudio de la Universidad de Oxford de febrero, publicado en Nature Medicine, encontró que los usuarios a menudo no sabían qué información debían compartir, que se les proporcionaban respuestas muy diferentes, incluso si las preguntas variaban solo ligeramente y que los modelos a menudo ofrecían tanto buenos como malos consejos, pero los usuarios tenían dificultades para distinguir entre ambos.

“A pesar de todo el entusiasmo, la IA simplemente no está lista para asumir el rol de médico”, advirtió la autora principal del estudio, la doctora Rebecca Payne. “Los pacientes deben ser conscientes de que preguntarle a un modelo de lenguaje sobre sus síntomas puede ser peligroso, generar diagnósticos erróneos y no reconocer cuándo se necesita ayuda urgente”.

Riesgos de privacidad

El compartir información médica sensible con un chatbot público puede implicar que esos datos se utilicen para entrenar al modelo y, por lo tanto, puedan terminar reapareciendo en respuestas a otros usuarios. Incluso de forma involuntaria, ya hubo casos de modelos que han expuesto datos introducidos por sus usuarios.

Algunos proveedores pueden utilizar los datos para mejorar sus modelos, a menos que los usuarios opten por no participar, mientras que otros hacen promesas más firmes de no usar información relacionada con la salud para el entrenamiento. En cualquier caso, todos deberían saber con qué tipo de servicio están interactuando antes de subir información sensible. Por otro lado, la mayoría de los principales chatbots centrados en salud prometen no usar estos datos para entrenamiento. Aun así, el entrenamiento es solo una parte del panorama de privacidad, y es posible que estos servicios no hagan las mismas promesas respecto al intercambio de datos con terceros. La información médica personal podría terminar en manos de un agregador de datos, un tercero que actúa como intermediario entre el proveedor del modelo y el  proveedor de salud. También podría compartirse con anunciantes, ya sea directamente o a través de estos intermediarios, aunque normalmente se anonimiza antes de su uso. Aun así, conviene actuar con cautela: los datos de salud son especialmente sensibles, y la anonimización no siempre elimina todos los riesgos.

El problema de que datos sensibles circulen por tantas organizaciones es que hay mayores probabilidades de que queden expuestos a ciberdelincuentes y estafadores. Legisladores estadounidenses afirman haber identificado pérdidas por valor de 21.000 millones de dólares vinculadas a un puñado de brechas en empresas de intermediación de datos. Los datos de salud son altamente valiosos para los delincuentes ya que mantienen su valor durante largos períodos, pueden incluir información de seguros para presentar reclamaciones fraudulentas o recibir servicios médicos a nombre de otra persona, y pueden usarse para extorsiones.

“Cuantas más empresas tengan estos datos, más oportunidades existen para que los atacantes las comprometan y los roben. El desafío es que la mayoría de las herramientas de IA para salud no están reguladas por HIPAA, ya que se consideran servicios para consumidores y no de nivel empresarial. Esto implica que los proveedores pueden no estar sujetos a las estrictas normas de protección de datos que normalmente cabría esperar”, destaca Micucci.

Para minimizar la exposición a los riesgos de la GenAI en salud, desde ESET detallan que es importante evitar los bots de uso general y optar por aquellos diseñados específicamente para responder preguntas relacionadas con la salud. Además, revisar si el servicio explica cómo gestiona los datos, si se utilizan las interacciones para entrenamiento, si se comparte información con terceros y si está cubierto por HIPAA o un régimen de privacidad equivalente en el país.

“No confíes ciegamente en los resultados, a menos que haya enlaces de citación para verificarlos. Incluso así, no tomes las respuestas como una verdad absoluta: consulta siempre con un profesional de la salud y/o con fuentes oficiales (por ejemplo, NHS, MedlinePlus)”, advierte el investigador de ESET.

Para proteger la privacidad, ESET aconseja considerar lo siguiente:

Nunca compartir o subir documentos médicos, resultados de laboratorio u otra información sensible con una herramienta de IA sin entender cómo maneja esos datos

Evitar introducir nombres, direcciones, datos de seguros, números de paciente u otros identificadores

Asegurarse de desactivar las funciones de entrenamiento y el historial de chat

Compartir solo la información mínima necesaria para la tarea

Asumir que todo lo que se escriba podría almacenarse o exponerse y ajustar sus consultas en consecuencia

“En última instancia, los chatbots de IA pueden servir para ayudarte a pensar preguntas sobre una condición específica antes de acudir al médico o para explicar un término médico que no conoces. Pero hay una gran diferencia entre usar la IA para prepararte para la atención médica y usarla como sustituto de esta. No tomes una respuesta con tono seguro como un diagnóstico, y no ignores síntomas urgentes porque una máquina haya sonado tranquilizadora”, concluye Mario Micucci, investigador de ESET.

Copa del Mundo 2026: 8 amenazas cibernéticas que podrían afectar a los aficionados

Según marca calendario oficial, la Copa del Mundo 2026 comienza en 11 de junio, con el encuentro entre México y Sudáfrica. Pero desde ESET, compañía líder en detección proactiva de amenazas, alertan que los cibercriminales ya están jugando su partido en el mundo digital y comparte las diversas formas en las que se está aprovechando el interés masivo que despierta la Copa Mundial de Fútbol como señuelo para realizar diversos engaños y estafas.

ESET analiza 8 formas en la que los ciberatacantes están usando la Copa del Mundo 2026 para estafar:

1- Apps y sitios para ver los partidos del Mundial: La ansiedad por no perderse ningún partido del Mundial es la emoción más explotada por los cibercriminales para llevar a cabo sus ataques. A través de aplicaciones y sitios webs que no se encuentran en los repositorios oficiales y prometen transmitir en vivo y en directo cada partido del torneo, sin cortes, en calidad HD y de manera gratuita.

Por ejemplo, Magis TV, aplicación que en el último tiempo ganó popularidad sobre todo en Argentina, Colombia y México, presentándose como un medio para ver series, películas y deportes en vivo sin pagar una suscripción mensual. Si bien ya fue bloqueada en varios países (dando lugar a su sucesora Xuper TV), observamos desde ESET que solicitaba permisos críticos e invasivos que no corresponden a una app convencional de streaming.

“En cuanto a las plataformas online, el riesgo radica en el pedido por parte del sitio de crear una cuenta, pagar un cargo mínimo, iniciar sesión con Google, vincular con Facebook, o ingresar datos personales. El objetivo es robar credenciales de acceso, tarjetas, datos bancarios, entre otros datos sensibles y personales. A su vez, el uso de estas plataformas y apps implica un riesgo legal: retransmitir contenido sin contar con los derechos vulnera la propiedad intelectual de los titulares. Esto puede derivar en bloqueos por parte de proveedores de servicios de Internet o acciones judiciales”, alerta Mario Micucci, investigador de Ciberseguridad de ESET Latinoamérica. 

Es importante, en este sentido, tener en cuenta que DirecTV tiene los derechos para trasmitir los 104 partidos que completan el cronograma de la Copa Mundial en Latinoamérica, mientras que otros servicios emitirán solamente algunos partidos puntuales.

2-Venta de entradas para el Mundial: La ilusión de ver un partido de la Copa del Mundo en vivo puede verse empañada si la compra del boleto no se realiza mediante los canales oficiales. De hecho, FIFA, ente organizador del evento, es terminante: “Existen riesgos al adquirir boletos para la Copa Mundial de la FIFA 2026™ fuera del sitio FIFA.com/tickets”. Al punto que recomienda “que todas las compras se realicen exclusivamente” en ese sitio.

“Adquirir tickets por otros medios puede ser al menos riesgoso. Sobre todo, cuando las páginas falsas reproducen logotipos, tipografías, colores, diseño y experiencia de compra con el objetivo de ganar credibilidad y que las personas entreguen sus datos personales y bancarios. Para persuadir a sus víctimas, los cibercriminales suelen apelar a anuncios donde se destacan la urgencia y la oportunidad, con frases del tipo: “Últimas entradas disponibles”, “Descuento por tiempo limitado” o “Oferta única”, advierten desde ESET.

3-Sitios que suplantan la identidad de FIFA: El interés por conseguir alojamiento y merchandising oficial también es aprovechado por el cibercrimen a través de la suplantación de identidad de entes u organismos oficiales vinculados a la Copa Mundial. FIFA es un claro ejemplo: recientemente, desde ESET se encontraron al menos cinco sitios apócrifos, que apelan a la similitud de su URL con la oficial, y también a la imitación del diseño, colores y el flujo de compra para hacer sentir a la víctima que la experiencia es legítima.

Estos son ejemplos de sitios apócrifos activos que suplantan al sitio web de FIFA: “fifa**.shop”, “fifa**.store” y  “wc***-fifa.com”. Al punto que estos sitios falsos también replican al detalle el registro que pide la página oficial de la FIFA. Aprovechan un elemento clave como el FIFA ID para generar confianza, y hacen creer a la víctima que están por comprar entradas, merchandising o reservando alojamiento por un canal oficial, cuando no es así.

4-Visas y paquetes para el Mundial: Otro producto que puede servir de señuelo para el cibercrimen son los paquetes armados, con la inclusión de una supuesta visa para el Mundial (la cual no existe). De hecho, ESET observó que existen sitios que aprovechan la temática del mundial para ofrecer guías y asesoramiento pagos para quienes necesitan tramitar la visa.

En este punto, desde ESET señalan que es importante mencionar el ejemplo del Departamento de Estado de EE. UU. que dejó en claro que las personas extranjeras que visiten el país durante la Copa deben tener la misma visa de visitante B1/B2, o el Programa de Exención de Visa con autorización ESTA.

Aquí también se menciona al FIFA PASS, sistema para programar citas prioritarias para quienes tengan entradas para el certamen. Pero no es un mecanismo que permita evitar las entrevistas o emitir una visa directamente, como prometen los sitios falsos. Para consultar qué tipo de visa se necesita para ingresar a cada país anfitrión (Estados Unidos, Canadá y México), se puede visitar el sitio oficial de FIFA de la Copa Mundial 2026.

5-Sitios de apuestas, prode y predicciones para el Mundial: El auge de las apuestas deportivas es innegable: en 2023 representó un mercado de 84 mil millones de dólares a nivel global, y se espera que para 2030, su valor de mercado se triplique. Tampoco se puede negar el interés por parte del cibercrimen en explotar la fiebre mundialista depositada en los sitios de apuestas, por lo que son muchas las estafas que circulan en este ámbito.

“Desde ESET detectamos diversos sitios apócrifos que copian el diseño, los colores y la experiencia del usuario que ofrecen las páginas oficiales. Lo peligroso es que estos sitios, que son detectados como maliciosos, invitan a la víctima a descargar una aplicación que no se encuentra en los repositorios oficiales. Su objetivo es infectar el dispositivo, obtener dinero, credenciales de acceso y cualquier otro tipo de información sensible”, agrega Micucci de ESET.

Otra variable son los sitios que invitan a sus víctimas a realizar predicciones sobre los resultados de la Copa Mundial. La víctima paga una supuesta inscripción inicial, para participar por un “suculento” premio. Desde ESET advierten que este tipo de sitios operan sin licencias oficiales ni supervisiones claras.

6-Apps de la Copa del Mundo 2026: Además de aquellas apps que prometen transmitir los partidos del Mundial en vivo, también existen aplicaciones falsas relacionadas con calendarios, resultados en vivo y supuestos servicios “oficiales”. Se valen de logos de FIFA, nombres similares a apps legítimas y promesas tentadoras para captar más víctimas.

Una alarma clave es que pidan permisos extraños (acceso a mensajes, fotos o contactos) u obligar a descargar archivos. Su objetivo es robar cuentas, información bancaria, datos personales o instalar malware. Por ello, ESET recomienda descargar solamente aplicaciones desde tiendas oficiales como Google Play o App Store, revisar el nombre del desarrollador, leer comentarios y verificar la cantidad de descargas antes de instalar cualquier app vinculada al Mundial. Como también, desconfiar de aquellas apps que prometan recompensas imposibles como acceso premium o funciones “exclusivas".

7-Estafas en torno al álbum oficial: Tal es el alcance del cibercrimen respecto a aprovechar el gran interés del mundo por la Copa de Fútbol, que también existen estafas actuales respecto del álbum oficial de Panini. Por un lado, sitios fraudulentos que imitan al oficial, con precios mucho más bajos que los del mercado o álbumes falsos. Pero también supuestas promociones y preventas que circularon en redes sociales y aplicaciones de mensajería.

Un medio de comunicación argentino mostró cómo estafaron a una de sus periodistas, mostrando las diferencias entre el álbum real y el obtenido a través de una app de pedidos (que incluía stickers apócrifos). Al través de su cuenta de Instagram oficial, Panini Argentina aclaró al respecto: “Nuestros únicos canales de venta online es a través del sitio web www.zonakids.com y de nuestra Tienda Oficial Panini en Mercado Libre. En consecuencia, alertamos al público a fin de que nadie se vea sorprendido en su buena fe y para evitar que se produzcan fraudes”.

8-Criptomonedas y NFTs de la Copa del Mundo: En el ecosistema cripto también existen estafas y engaños con el Mundial como gran señuelo. De hecho, son varios los sitios webs que insinúan tener un vínculo legítimo con el certamen, a través de afirmaciones como “token oficial de la Copa Mundial”.

En el caso del sitio , por ejemplo, promete un supuesto reparto gratuito de tokens que asciende a más 1.400.000.000 de $WC y evidencia un detalle que llama la atención: el contador de participantes justo muestra el número 48, que es la cantidad de selecciones participantes del torneo por primera vez en la historia. Sí es importante mencionar que FIFA cuenta con un ecosistema propio (y legítimo, claro está) de activos digitales, como por ejemplo FIFA Collect.

Desde ESET señalan que si bien el señuelo puede cambiar según el caso (entradas en oferta, streaming exclusivo, apuestas o preventa de álbumes), la gran mayoría de los engaños comparten características:

Urgencia: con frases como “últimas entradas”, “solo por hoy”, “descuento imposible”.

Exclusividad: “acceso anticipado”, “beneficio VIP”, “streaming exclusivo”.

Recompensa inmediata: “ver partidos gratis”, “obtener tu visa hoy”.

Apariencia legítima: incluyendo logos, colores y tipografías.

Aprovechamiento la reputación de empresas reconocidas: suplantan la identidad de entes relacionados al Mundial como FIFA, Panini o Bet365.

Pedido de datos sensibles, pago de dinero o instalación de apps externas.

En este sentido, para no víctima de las estafas que rodean el ecosistema del Mundial de futbol, ESET comparte un checklist rápido y útil: 

Descargar aplicaciones vinculadas a la Copa del Mundo solo desde repositorios oficiales.

Verificar siempre una URL antes de ingresar datos personales o bancarios.

Desconfiar de cualquier oferta demasiado buena para ser real.

No ingresar credenciales de Google o Facebook en sitios dudosos o sospechosos.

Evitar hacer clic en enlaces que llegan a través de redes sociales o WhatsApp.

Revisar permisos y comentarios de usuarios antes de instalar aplicaciones.

Comprar entradas y merchandising únicamente desde canales oficiales.

“En un contexto donde las estafas digitales vinculadas a la Copa del Mundo se multiplican, contar con herramientas de protección confiables puede marcar la diferencia. Soluciones como ESET HOME Security incorporan tecnologías de detección en tiempo real, protección antiphishing y navegación segura para ayudar a identificar sitios falsos, enlaces maliciosos y otras amenazas comunes en este escenario mundialista. Una defensa clave para que puedas disfrutar de la Copa del Mundo, y solo te preocupe el resultado de tu equipo”, concluye Mario Micucci de ESET Latinoamérica.

Para saber más ESET puede ingresar a: https://www.eset.com/latam/blog/cultura-y-seguridad-digital/8-formas-ciberatacantes-copa-del-mundo-2026-estafar-personas/