Durante años, la cifra de 10.5 billones de dólares fue el tema recurrente en reuniones de juntas directivas y sesiones informativas sobre seguridad. Era la proyección de Cybersecurity Ventures sobre el costo anual del cibercrimen global para 2025, y sirvió como una llamada de atención. Las organizaciones la citaban en sus evaluaciones de riesgos, los reguladores la incluían en sus marcos normativos y los CISO la utilizaban para justificar sus solicitudes de presupuesto. La cifra era lo suficientemente alarmante como para captar la atención hacia la crisis de las filtraciones de datos.
El informe más reciente sobre ciberdelincuencia publicado por Cybersecurity Ventures confirma que los costes globales de la ciberdelincuencia alcanzaron los 10.5 billones de dólares en 2025, y su propio modelo de crecimiento, que proyecta una expansión de la ciberdelincuencia de aproximadamente un 2.5 % anual, sitúa los costes de 2026 aún más altos y en una trayectoria hacia los 12.2 billones de dólares en 2031. A las tasas de 2025, los ciberdelincuentes estaban causando daños estimados por valor de 333,000 dólares cada segundo.
El Centro de Denuncias de Delitos en Internet del FBI , que recibe informes voluntarios solo de víctimas estadounidenses, registró pérdidas por ciberdelincuencia por valor de 20.877 millones de dólares en 2025, la primera vez que esta cifra supera los 20 millones de dólares y un aumento del 26 % con respecto a los 16.6 millones de dólares registrados en 2024. Esta cifra representa únicamente lo que denuncian las víctimas. Dado que solo el 26 % de las personas que pierden dinero por delitos en línea lo denuncian a las autoridades, la cifra del FBI constituye un mínimo confirmado, no un máximo.
Detrás de estas cifras se encuentran organizaciones, pacientes, empleados y clientes cuyos datos, dinero y confianza se han visto comprometidos. En este blog, analizaremos qué factores impulsan el cibercrimen a niveles récord en 2026, qué sectores y vectores de ataque son responsables de los mayores daños y qué estrategias están implementando de manera diferente las organizaciones que gestionan este riesgo con mayor eficacia.
¿Cuánto cuesta realmente el cibercrimen?
La cifra global de 10.8 billones de dólares no corresponde a una sola categoría de costos. Es una suma de distintos daños económicos que afectan a las organizaciones de manera diferente según su sector, ubicación geográfica y nivel de seguridad.
El robo financiero directo abarca los fondos sustraídos mediante el fraude por correo electrónico empresarial (BEC), el fraude de inversiones y el fraude por transferencia bancaria. Según el Informe Anual 2025 del FBI IC3, publicado en abril de 2026, el fraude de inversiones fue la categoría de pérdidas más importante, con 8.64 millones de dólares en pérdidas reportadas en Estados Unidos, un aumento significativo con respecto a los 6.57 millones de dólares del año anterior.
Los costos por interrupción operativa cubren el tiempo de inactividad, la pérdida de productividad y la interrupción del negocio que se producen tras un ataque exitoso. El informe de IBM de 2025 reveló que el 31 % de las organizaciones que sufrieron una brecha de seguridad relacionada con la IA reportaron una interrupción operativa directa, incluyendo la interrupción del procesamiento de pedidos, el servicio al cliente y las operaciones de la cadena de suministro. Para las grandes empresas, incluso unos pocos días de interrupción operativa pueden generar pérdidas comparables a las cifras de robo directo.
Los costos de recuperación y remediación incluyen la respuesta a incidentes, la investigación forense, la reconstrucción del sistema, las obligaciones de notificación, los servicios de monitoreo de crédito para las personas afectadas y los honorarios legales. IBM descubrió que, en promedio, los costos de recuperación por cada brecha de seguridad a nivel mundial en 2025 ascendieron a 1.2 millones de dólares, y que los costos de detección y escalamiento sumaron otros 1.47 millones de dólares.
Las multas regulatorias y las sanciones por incumplimiento representan una categoría de costos creciente, como lo demuestran los datos de 2025. La creciente diferencia entre el costo promedio mundial de una violación de seguridad (4.44 millones de dólares) y el promedio estadounidense (10.22 millones de dólares) se explica en gran medida por las sanciones regulatorias, en particular las derivadas de las normas de divulgación de la SEC, las leyes de notificación estatales en 50 marcos legales diferentes y las sanciones específicas del sector en los ámbitos de la salud y los servicios financieros.
El daño a la reputación y la pérdida de clientes son los más difíciles de cuantificar, pero a menudo los más duraderos. La investigación de IBM identifica la "pérdida de negocio" como una categoría de costo independiente, con un promedio de 1.38 millones de dólares por brecha de seguridad en 2025. La pérdida de clientes, la pérdida de socios y el daño a la marca en mercados competitivos pueden extenderse mucho más allá del ejercicio fiscal en el que ocurrió la brecha.
Industrias que mejor pagan
Algunos sectores presentan vulnerabilidades estructurales , como grandes volúmenes de datos personales valiosos, dependencias operativas críticas o cadenas de suministro complejas, que los convierten en objetivos desproporcionadamente atractivos y costosos de vulnerar.
Los datos sobre el volumen de ataques específicos de cada sector que se muestran a continuación provienen del Informe Anual 2025 del IC3 del FBI, publicado en abril de 2026, que ofrece la visión federal más actualizada de cómo se distribuye la amenaza en los sectores de infraestructura crítica.
| Experiencia | Costo promedio de la infracción | Eventos cibernéticos | Factor notable |
|---|---|---|---|
| Sector Sanitario | 7.42 millones de dólares (IBM 2025) | 642 en total: 460 ataques de ransomware + 182 filtraciones de datos | Sector más afectado en las 16 categorías de infraestructura crítica. |
| Servicios Financieros | 5.56 millones de dólares (IBM 2025) | 447 eventos en total (el segundo más alto) | Datos de alto valor, complejidad regulatoria, multas de la SEC/CFPB |
| Manufactura industrial | 5.00 millones de dólares (IBM 2025) | Aumento interanual del 61 % en los ataques (Cyble, 2025) | Convergencia OT/IT; el tiempo de inactividad de la producción multiplica las pérdidas. |
| Energía | 4.83 millones de dólares (IBM 2025) | 80 incidentes de ransomware (FBI IC3 2025) | Estado de la infraestructura crítica; impacto operativo |
| Tecnología | 4.79 millones de dólares (IBM 2025) | Los 5 sectores críticos principales a los que apunta | Robo de propiedad intelectual; exposición a ataques en la cadena de suministro |
| Instalaciones gubernamentales | 2.86 millones de dólares (IBM 2025) | Los 5 sectores críticos principales a los que apunta | Menor coste, pero mayor impacto público. |
Vectores de ataque que impulsan la crisis en 2026
Comprender qué vectores de ataque generarán el mayor daño en 2026 es fundamental para priorizar las inversiones en defensa.
El phishing superó al robo de credenciales como el vector de ataque inicial más común en 2025, siendo responsable del 16 % de las filtraciones con un costo promedio de 4.8 millones de dólares por incidente . La razón por la que el phishing ha recuperado la primera posición tras años de dominio del robo de credenciales está directamente relacionada con la IA: el 82.6 % de los correos electrónicos de phishing analizados a finales de 2024 y principios de 2025 utilizaron IA en cierta medida, según la evaluación del panorama de amenazas de ENISA de 2025. Los mensajes de phishing generados por IA son significativamente más convincentes que los mensajes mal redactados y con errores gramaticales que la formación en concienciación ha condicionado a los usuarios a detectar.
La vulneración de la cadena de suministro fue el segundo vector de ataque más frecuente, representando casi el 15 % de las brechas de seguridad, con un coste medio de 4.91 millones de dólares y el mayor tiempo medio de resolución, de 267 días . Los ataques a la cadena de suministro son especialmente costosos porque son los más difíciles de detectar y de contener: la vulneración inicial se produce en un entorno de terceros y el daño se propaga a través de todas las organizaciones posteriores que confían en el software o los servicios de ese proveedor.
El robo o la vulneración de credenciales sigue siendo el tercer vector de acceso inicial más frecuente y la base del ecosistema de abuso de credenciales. Microsoft procesa más de 600 millones de ataques de contraseñas al día. Los programas maliciosos de robo de información, diseñados específicamente para obtener credenciales a gran escala, representaron una proporción cada vez mayor de los accesos iniciales en 2025, y varios de los principales grupos de ransomware como servicio (RaaS) los catalogaron como su método principal de obtención de credenciales, según el Informe Global de Amenazas 2025 de CrowdStrike.
La explotación de vulnerabilidades sin parchear se está acelerando, y el Informe de Investigaciones de Violaciones de Datos de Verizon de 2026 reveló que la explotación de vulnerabilidades aumentó al 31 % de las violaciones como el vector de acceso inicial más común en su conjunto de datos, superando por primera vez el abuso de credenciales. Entre las vulnerabilidades enumeradas en el catálogo de Vulnerabilidades Explotadas Conocidas de CISA, solo el 26 % fueron corregidas por completo por las organizaciones en 2025, y el tiempo medio de corrección aumentó a 43 días.
¿Qué errores siguen cometiendo las organizaciones?
La información más útil que se puede extraer de los datos de las filtraciones de datos de 2025 y 2026 no reside en el volumen de ataques ni en las cifras de costes, sino en el patrón constante de fallos evitables que se observa en filtraciones de todo tipo y magnitud.
Velocidad de detección: Este sigue siendo el factor de costo más importante . Los datos de IBM muestran una relación directa y cuantificable entre el tiempo de detección de la brecha y su costo. Las brechas detectadas en un plazo de 200 días cuestan, en promedio, 3.87 millones de dólares. Las que superan los 200 días cuestan 5.01 millones de dólares, lo que supone un sobrecoste de 1.14 millones de dólares. El umbral de 200 días representa el punto en el que el movimiento lateral, la exfiltración a gran escala y el acceso persistente se consolidan por completo.
Seguridad de la cadena de suministro: Las brechas de seguridad en la cadena de suministro, que representan casi el 15 % de los vectores de ataque iniciales y tienen un costo promedio de $4.91 millones por brecha, son el segundo patrón de ataque más costoso y el que requiere más tiempo para resolverse, según el conjunto de datos de IBM. El hallazgo del informe DBIR 2026 de Verizon, que indica que el 48 % de todas las brechas ahora involucran a un tercero (un aumento del 60 % interanual), confirma que la cadena de suministro es la vía de acceso inicial de más rápido crecimiento. Las organizaciones que auditan rigurosamente su propia seguridad, pero no aplican el mismo nivel de escrutinio a sus proveedores de software, proveedores de servicios gestionados e infraestructura de firma de código, están dejando una brecha grande y creciente.
Gobernanza y adopción de la IA: IBM descubrió que el 63 % de las organizaciones afectadas por brechas de seguridad carecían de políticas formales de gobernanza de la IA. Solo el 34 % realizaba auditorías periódicas para detectar la IA oculta. Dado que la IA oculta contribuyó al 20 % de las brechas y aumentó los costos promedio en 670 000 dólares, este no es un riesgo teórico. Las organizaciones que implementan herramientas de IA sin los marcos de gobernanza correspondientes están ampliando su superficie de ataque de maneras que sus programas de seguridad aún no están preparados para detectar.
Corrección lenta de vulnerabilidades: Con solo el 26 % de las vulnerabilidades explotadas conocidas por CISA totalmente corregidas en 2025 y un tiempo medio de corrección que aumenta a 43 días, una parte sustancial de la explotación de vulnerabilidades, que ahora representa el 31 % del acceso inicial, consiste en explotar vulnerabilidades conocidas y parcheables que las organizaciones simplemente no han corregido. La gestión de parches priorizada y basada en riesgos ofrece un retorno de la inversión mayor que casi cualquier otra inversión en seguridad a las tasas de explotación actuales.
Cómo puede ayudar la consultoría de cifrado
En Encryption Consulting, nuestro trabajo se sitúa en la intersección de los patrones que definen el panorama de las filtraciones de datos en 2026. El denominador común de las filtraciones más costosas, las vulneraciones de la cadena de suministro, la gobernanza inadecuada del cifrado y la infraestructura de firma mal gestionada , es una brecha entre los controles de seguridad que las organizaciones creen tener y los controles que realmente funcionan en condiciones adversas.
Asesoramiento en cifrado y gestión de claves
Nuestros servicios de asesoramiento en cifrado ayudan a las organizaciones a pasar del cifrado como una simple casilla de verificación a una disciplina regulada y auditable. Evaluamos la cobertura de cifrado actual en datos en reposo, en tránsito y en uso; analizamos las prácticas de gestión de claves según los estándares vigentes; e identificamos las deficiencias específicas, ya sea en el almacenamiento de claves, las políticas de rotación, los controles de acceso o el registro de auditoría, que dejan los datos cifrados vulnerables a pesar de que el cifrado esté técnicamente implementado.
Servicios de asesoramiento sobre cumplimiento
Nuestros servicios de asesoramiento en materia de cumplimiento normativo ayudan a las organizaciones a comprender sus obligaciones en el creciente panorama de las normativas de protección de datos, incluidas el RGPD, la HIPAA, la Ley de Reclamaciones por Agravios de la UE, las leyes estatales de notificación de violaciones de datos en EE. UU. y los requisitos de divulgación de la SEC, y a desarrollar los controles y la documentación necesarios para demostrar el cumplimiento antes de que se produzca un incidente, en lugar de tener que apresurarse a reconstruirlo después.
Asesoramiento sobre criptografía postcuántica
Tanto el cifrado que protege los datos confidenciales como las firmas que autentican el software actual son vulnerables a los ataques de computación cuántica. Nuestros servicios de asesoramiento en computación cuántica post -cuántica ayudan a las organizaciones a planificar y ejecutar la migración a algoritmos post-cuánticos estandarizados por el NIST antes de que se abra la ventana de oportunidad para la amenaza, en lugar de después de que esta ya haya sido explotada.
Conclusión
Con daños confirmados por valor de 10.5 billones de dólares en 2025 y una trayectoria que, según las proyecciones de Cybersecurity Ventures, alcanzará los 12.2 billones de dólares en 2031, el cibercrimen no es un problema que vaya a alcanzar su punto máximo y resolverse. Es una característica estructural de la economía digital, que crece más rápido que el PIB mundial y cuenta con más recursos que la mayoría de las organizaciones que se defienden contra él.
Los ataques a la cadena de suministro están creciendo más rápido que la mayoría de los demás vectores, y se dirigen a las relaciones de confianza entre organizaciones en lugar de a sus perímetros. Las sanciones regulatorias están haciendo que el costo de una gobernanza inadecuada sea cada vez más tangible.
Esta cifra de 10 billones de dólares es tan grande que puede resultar paralizante si se considera como un solo número. Se vuelve útil cuando se desglosa en sus componentes: los vectores de ataque específicos a los que su organización está más expuesta, las categorías de datos específicas que maneja y que conllevan el mayor costo por registro, y las deficiencias específicas en su gobernanza de cifrado, gestión de claves e infraestructura de firma que un atacante atacaría en primer lugar.
Precisamente esas son las carencias que los servicios de asesoramiento y la cartera de productos de Encryption Consulting están diseñados para subsanar.
