Colombia registró 7.100 millones de intentos de ciberataques durante el primer semestre de 2025, según cifras de Fortinet citadas por la firma tecnológica colombiana LinkTIC, que advierte que la conversación sobre seguridad digital dejó de ser un asunto exclusivo de los departamentos de sistemas para instalarse en las juntas directivas y las áreas financieras de las empresas del país.
El impacto económico ayuda a explicar ese cambio de prioridades. Según el informe State of Ransomware 2025 de Sophos, recuperarse de un ataque de ransomware en Colombia cuesta en promedio 870.000 dólares —cerca de 3.500 millones de pesos—, una cifra que contempla la recuperación operativa posterior al incidente, sin incluir el eventual pago de un rescate. Para las pequeñas y medianas empresas, el golpe puede ser proporcionalmente mayor: estimaciones de la Asociación Colombiana de Ingenieros de Sistemas (ACIS) calculan que un ataque de ransomware acompañado de tres días de inactividad puede generarle a una pyme pérdidas de entre 470 y 520 millones de pesos, un monto que muchas de estas compañías no están en capacidad financiera de absorber sin comprometer su continuidad.
El costo de un ciberataque, sin embargo, no se agota en la cifra que exige el delincuente. Incluye la interrupción de la operación, la investigación del incidente, la atención a clientes afectados, la eventual pérdida de ingresos y las consecuencias regulatorias que pueda enfrentar la compañía. «La ciberseguridad ya es una decisión de negocio», afirma Fernán Ocampo, CEO de LinkTIC, empresa con más de dos décadas de trayectoria en el sector. Según Ocampo, una empresa puede invertir años en digitalizar sus procesos y ver ese avance comprometido en cuestión de horas si no protege al mismo tiempo la información y la continuidad de su operación; el reto, dice, es anticiparse a los riesgos antes de que un incidente se convierta en una crisis.
La puerta de entrada de buena parte de estos ataques sigue siendo, pese a la sofisticación creciente de las amenazas, sorprendentemente simple. ACIS reportó que el 74% de los ciberataques registrados en Colombia durante 2024 tuvo origen en un correo electrónico fraudulento, el mismo año en que se radicaron 77.666 denuncias por delitos informáticos en el país, un 23% más que en 2023. Phishing, robo de credenciales, suplantación y ransomware siguen explotando tanto vulnerabilidades técnicas como errores humanos, lo que explica por qué una estrategia de seguridad no puede depender únicamente de antivirus o firewalls: la capacitación de los empleados, el control de identidades, la autenticación multifactor y los protocolos de respaldo y respuesta forman parte de la misma ecuación.
La inteligencia artificial complica aún más el panorama, porque opera en ambos frentes de la disputa. Su capacidad para generar contenido, automatizar tareas y replicar voces o imágenes está siendo aprovechada para montar intentos de suplantación y fraude cada vez más difíciles de detectar, al tiempo que esas mismas tecnologías se incorporan a los sistemas de defensa para analizar grandes volúmenes de información, identificar comportamientos anómalos y automatizar respuestas frente a amenazas.
Ese doble uso está empujando a las compañías colombianas a moverse de una lógica centrada solo en evitar incidentes hacia una estrategia de ciberresiliencia, particularmente en sectores como salud, justicia, transporte, minería, energía y servicios financieros, cuya operación depende cada vez más de infraestructura digital. Una estrategia empresarial sólida, según LinkTIC, debería cubrir al menos cuatro frentes: prevención y detección, protección de identidades y accesos, copias de seguridad y recuperación, y protocolos claros para responder a un incidente sin detener la operación. Ningún sistema, advierte la compañía, es completamente inmune; la diferencia la marca qué tan rápido una organización detecta el ataque, contiene el daño y retoma su funcionamiento. La pregunta para las empresas colombianas, en ese sentido, ya no es cuánto cuesta invertir en ciberseguridad, sino cuánto les puede costar no hacerlo.