Los incidentes de ransomware dejaron de ser un evento excepcional para convertirse en un costo estructural de operar en América Latina, en un contexto en el que la región concentra la mayor proporción de organizaciones con ataques detectados a escala global y los tiempos de reacción se achican.

Kaspersky Security Network ubicó a América Latina, en 2025, como la región con mayor proporción de organizaciones con ataques de ransomware detectados. A ese cuadro se sumó la estimación de Sophos para 2026: recuperarse de un incidente cuesta en promedio US$ 1,7 millones, con una mediana de rescate de US$ 769.000. En Argentina, el tema ganó visibilidad a partir de filtraciones ocurridas en marzo de 2026 en organismos públicos, entre ellos el Banco Central y la Jefatura de Gabinete de Ministros.

La ventana de detección se achica

El componente temporal aparece como un factor crítico. CrowdStrike registró un tiempo de breakout promedio de 29 minutos, el más bajo desde que realiza esa medición. El concepto refiere al intervalo entre el compromiso inicial y el primer salto lateral: alrededor de media hora para que, a partir de una sola identidad válida, un adversario recorra la infraestructura, alcance cargas en la nube, extraiga información o interrumpa operaciones.

En la práctica, esa dinámica deja la ventana de detección por debajo del tiempo que la mayoría de las organizaciones tarda en escalar una alerta, lo que eleva la probabilidad de interrupciones y amplifica el costo total del incidente.

Costos ocultos y foco en ciberresiliencia

Cloud Legion plantea que medir el impacto de un ciberataque solo por el rescate pagado introduce un error de cálculo, porque el costo real se acumula en capas: interrupción de operaciones, horas de ingeniería destinadas a investigar y contener, reconstrucción de sistemas, obligaciones regulatorias y de notificación, pérdida de productividad y efecto sobre clientes y socios.

Como referencia, IBM ubicó el costo promedio global de una filtración de datos en US$ 4,99 millones en 2026, un 12 % más que el año anterior, impulsado principalmente por los costos de detección, escalamiento e interrupción del negocio.

En ese marco, el eje se desplaza de la prevención a la resiliencia. Ningún esquema de control evita el 100 % de los incidentes; lo que sí puede diseñarse y medirse es la capacidad de detectar, contener, responder y recuperar con el menor impacto posible.

La ciberresiliencia implica identificar activos críticos, proteger identidades y datos, detectar comportamientos anómalos, responder con rapidez y contar con mecanismos de recuperación probados, con restauraciones ejecutadas y tiempos medidos. También supone definir responsabilidades, canales de comunicación y criterios de prioridad antes de una crisis.

“Nadie construye una infraestructura imposible de atacar; lo que sí se construye es una organización que sigue operando cuando una defensa cede”, explicó Luciano Moreira, Chief Transformation & Strategy Officer de Cloud Legion. “Una organización ciberresiliente es la que sigue dando servicio a sus clientes en medio del incidente”, agregó.