En esta guía (10 secciones)
- La respuesta corta
- Cada año se publican más vulnerabilidades
- Explotarlas se volvió la puerta de entrada más común
- El tiempo para actualizar se reduce
- La IA ya se usa en ataques reales
- Lo que no está creciendo de forma constante
- Entonces, ¿es una pandemia?
- Lo que viene, según las autoridades
- Qué significa para una PyME
- Preguntas frecuentes
Hace unos años vivimos una pandemia. Con la llegada de la inteligencia artificial, muchas personas se preguntan si ahora vivimos otra, de ciberataques. No es una pandemia, y los datos no muestran un crecimiento exponencial en todo. Pero sí muestran algo que importa más a una empresa: cada vez hay más fallas que aprovechar y cada vez se aprovechan más rápido.
Revisamos las cifras de las fuentes originales. Esto es lo que dicen.
La respuesta corta
Lo que sí crece:
- Las vulnerabilidades que se publican cada año.
- La explotación de esas vulnerabilidades como forma de entrar a una empresa.
- La rapidez con que se explotan.
- El uso real de IA por parte de los atacantes.
Lo que no crece de forma constante: los pagos de rescate y las quejas por fraude cibernético en México, que suben y bajan.
1. Cada año se publican más vulnerabilidades
Una vulnerabilidad es una falla en un programa que un atacante puede aprovechar. Cada una recibe un número, llamado CVE. Estas son las publicadas cada año, según el programa oficial CVE (CVE.org):
| Año | Vulnerabilidades publicadas |
|---|---|
| 2016 | 6,457 |
| 2018 | 16,512 |
| 2020 | 18,375 |
| 2022 | 25,059 |
| 2023 | 28,961 |
| 2024 | 40,077 |
| 2025 | 48,244 |
En nueve años se publicaron más de siete veces más vulnerabilidades: un crecimiento promedio de 25 % al año. Una parte se explica porque hoy más organizaciones están autorizadas a publicarlas, pero el resultado es el mismo para quien administra equipos: más fallas que corregir.
2. Explotarlas se volvió la puerta de entrada más común
En los informes de Verizon, que analizan miles de brechas cada año, la explotación de vulnerabilidades como primer paso de un ataque pasó de 14 % de las brechas en el informe de 2024 (Verizon 2024) a 20 % en el de 2025 (Verizon 2025) y a 31 % en el de 2026, donde ya es la forma de entrada más común, por encima del robo de contraseñas (Verizon 2026).
3. El tiempo para actualizar se reduce
Mandiant, la división de inteligencia de amenazas de Google, mide cuánto tarda en explotarse una vulnerabilidad desde que se publica. En las vulnerabilidades que estudió, ese promedio pasó de 63 días en 2018 y 2019 a 44 días en 2020, a 32 días en 2021 y 2022, y a 5 días en 2023 (Mandiant).
Una precisión honesta: esos 5 días excluyen 15 casos atípicos; con ellos, el promedio de 2023 fue de 47 días. Aun así, la tendencia es clara: la ventana para actualizar se cerró de semanas a días.
4. La IA ya se usa en ataques reales
No es una hipótesis. Hay casos documentados por las propias empresas de IA:
- Google observó a atacantes que integran la IA para acelerar sus ataques, con mejoras en la investigación de víctimas, la ingeniería social y el desarrollo de malware (Google, febrero de 2026). En mayo de 2026 reportó, por primera vez, a un atacante usando una vulnerabilidad desconocida cuyo ataque, según su evaluación, se desarrolló con IA (Google, mayo de 2026).
- Anthropic documentó a un atacante que usó su herramienta de programación para extorsionar al menos a 17 organizaciones (Anthropic, agosto de 2025), y una campaña de espionaje en la que la IA descubrió y explotó vulnerabilidades en algunos de sus objetivos (Anthropic).
Estos casos son reales, pero no demuestran que la IA explique por sí sola el aumento de los ataques: muestran que los atacantes la usan para hacer lo mismo de siempre, más rápido.
Lo que no está creciendo de forma constante
- Los pagos de rescate. Según Chainalysis, bajaron 35 % en 2024 frente al récord de 2023 (Chainalysis). Pero menos pagos no significa menos ataques: significa que menos víctimas pagan. En el informe de Verizon de 2026, el ransomware apareció en el 48 % de las brechas.
- Las quejas por fraude cibernético en México. Según la CONDUSEF (CONDUSEF):
| Año | Quejas por fraude cibernético |
|---|---|
| 2018 | 4,313,844 |
| 2019 | 5,887,729 |
| 2020 | 5,866,524 |
| 2021 | 5,318,955 |
| 2022 | 4,798,983 |
| 2023 | 5,762,195 |
Suben y bajan, aunque la escala es enorme: millones de quejas cada año.
Entonces, ¿es una pandemia?
No. Ninguna de las autoridades que revisamos (CISA, ENISA, el NCSC del Reino Unido, el FBI o la CONDUSEF) usa esa palabra, y las cifras no muestran un crecimiento exponencial en todo. Lo que describen es más concreto: una carrera contra el tiempo. Hay más fallas, se explotan antes y los atacantes tienen herramientas que los hacen más rápidos.
Lo que viene, según las autoridades
El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) evaluó que la IA “casi con certeza” seguirá haciendo más efectivos los ataques, con más frecuencia e intensidad. Y advirtió algo directo para cualquier empresa: hacia 2027, las herramientas con IA aumentarán el volumen de ataques contra sistemas que no se han actualizado (NCSC).
Qué significa para una PyME
Si la ventana para actualizar se mide en días, la defensa también tiene que ser rápida y constante:
- Actualizar a tiempo, con prioridad. No todas las actualizaciones pesan igual; las fallas que ya se explotan van primero. Lo explicamos en cómo decidir qué actualización aplicar.
- Una protección que detecte comportamientos de ataque, no solo virus conocidos, para frenar lo que todavía no tiene parche. Es lo que hace una protección EDR operada.
- Respaldos que no se puedan borrar, porque el ransomware sigue presente en casi la mitad de las brechas. Lo explicamos en respaldo administrado.
- Verificación en dos pasos en el correo y en los accesos remotos.
- Alguien que vigile, porque una alerta que nadie lee no detiene nada.
Si quieres saber cómo está tu empresa frente a esto, empieza por el diagnóstico sin costo.
Fuentes consultadas en octubre de 2026.
Preguntas frecuentes
¿Es cierto que los ciberataques crecen de forma exponencial?
No en todo. Las vulnerabilidades publicadas y su uso como puerta de entrada crecen con fuerza, pero otras cifras, como los pagos de rescate o las quejas por fraude en México, suben y bajan. Lo que sí es claro es que cada vez hay menos tiempo para corregir una falla antes de que la exploten.
¿La IA está detrás del aumento?
Hay casos reales documentados de atacantes que usan IA para investigar víctimas, escribir malware, extorsionar e incluso explotar vulnerabilidades. Pero esos casos no demuestran que la IA explique por sí sola el aumento. Las autoridades sí prevén que la hará más eficiente.
¿Por qué importa tanto actualizar rápido?
Porque explotar vulnerabilidades ya es la forma de entrada más común en las brechas que analiza Verizon, y el tiempo entre que se publica una falla y se explota se redujo de semanas a días en las vulnerabilidades que estudió Mandiant.
Si los pagos de rescate bajan, ¿el ransomware ya no es un problema?
Sigue siéndolo. Que bajen los pagos significa que menos víctimas pagan, no que haya menos ataques: en el informe de Verizon de 2026, el ransomware apareció en el 48 % de las brechas.
¿Qué hago primero en mi empresa?
Actualizar a tiempo tus equipos y programas, tener una protección que detecte comportamientos de ataque, respaldos que no se puedan borrar y verificación en dos pasos en tu correo. Si no sabes cómo estás, empieza por un diagnóstico.
¿En México crecen los fraudes cibernéticos?
Las quejas por fraude cibernético ante la CONDUSEF suben y bajan: crecieron en 2019, bajaron tres años seguidos y repuntaron 20.1 % en 2023. Son millones de quejas al año, lo que muestra la escala del problema, aunque no un crecimiento constante.
