Ciberseguridad: el riesgo financiero que las juntas directivas ya no pueden delegar

Llevo años sentado en salas donde se discuten cifras de fraude, brechas de seguridad y planes de contención, y todavía me sorprende con qué frecuencia la conversación sobre ciberseguridad se detiene en la puerta de la sala de juntas . El CISO presenta un reporte técnico, el comité lo escucha, asiente y pasa al siguiente punto de la agenda: expansión regional, resultados trimestrales o fusiones. El riesgo cibernético queda archivado como un tema de TI , cuando en realidad es un asunto de continuidad del negocio, reputación de marca y, cada vez más, de supervivencia financiera .

Esa desconexión ya no es sostenible en América Latina. La región se ha convertido en uno de los principales focos de fraude digital y ciberataques , y las cifras más recientes deberían formar parte de cualquier agenda directiva, no solo del radar tecnológico.

Por décadas, las organizaciones trataron cada ataque simplemente como una cuenta comprometida, un correo fraudulento, una transacción robada. Esa visión ya no describe la realidad. El informe Fraud Beat 2026 concluye que el fraude opera hoy como una cadena industrializada que combina suplantación de identidad, robo de credenciales, toma de control de cuentas y extracción de fondos cada vez más rápida y automatizada.

Según el reporte, el phishing creció hasta 228% interanual en países de América Latina y fue responsable de 73.2% de los incidentes de fraude registrados globalmente en 2025. Las redes sociales se consolidaron como el principal punto de entrada para los atacantes, mientras que las estafas y la suplantación de identidad representaron 86% de las amenazas sociales confirmadas .

Aunque suele asociarse con la banca, cualquier organización con una marca reconocida, una base de clientes o información sensible es un objetivo potencial. Fintechs, aseguradoras, empresas tecnológicas, cadenas de retail y compañías de servicios enfrentan hoy el mismo riesgo.

Otro ejemplo es el fraude por compromiso de correo corporativo (BEC) , que aumentó 136% trimestre contra trimestre hacia finales de 2025. El monto promedio solicitado por intento superó los 50,000 dólares. En muchos casos, el dinero sale de la organización porque un colaborador confía en un mensaje que parece legítimo.

El impacto económico tampoco se limita a la pérdida inicial. De acuerdo con los datos citados en el reporte, cada dólar perdido por fraude genera 5.16 dólares de impacto total al considerar recuperación, contracargos, costos operativos y pérdida de clientes. Lo que aparece en los estados financieros suele ser apenas una parte del daño.

Por eso el fraude ya no puede abordarse únicamente como una suma de herramientas de seguridad. Se requiere una capacidad de gestión del riesgo capaz de detectar señales tempranas, evaluar comportamientos de manera continua y responder de forma automatizada antes de que el ataque alcance su objetivo.

Cuando una junta directiva pospone la conversación sobre ciberseguridad, no está evitando un gasto; está acumulando una exposición financiera difícil de controlar . El informe Cost of a Data Breach 2025 de IBM estimó que el costo promedio de una filtración de datos en América Latina alcanzó los 2.51 millones de dólares . El phishing volvió a ocupar el primer lugar como causa inicial de los incidentes más costosos, con pérdidas promedio de 2.87 millones de dólares. Las organizaciones que incorporaron inteligencia artificial y automatización de forma madura en sus programas de seguridad redujeron costos hasta en 900,000 dólares y resolvieron las brechas más de cien días antes que aquellas que no lo hicieron.

El ataque de ransomware contra IFX Networks en 2023, que afectó la operación de decenas de entidades públicas en Colombia y comprometió millones de registros de información, ilustra el problema. Muchas de las organizaciones impactadas no fueron atacadas directamente; resultaron vulneradas a través de un proveedor crítico . La pregunta sobre cómo se gestionan esos riesgos de terceros pertenece a la junta directiva tanto como al área de tecnología.

Algo similar ocurrió en Brasil , donde el desvío de 148 millones de dólares mediante credenciales internas comprometidas evidenció que los puntos de falla suelen estar en los procesos de acceso, supervisión y control, no únicamente en la infraestructura tecnológica. Al mismo tiempo, las filtraciones vinculadas a ransomware en América Latina crecieron de más de 250 casos en 2024 a más de 450 en 2025, mientras que 68% de las empresas de la región reportó al menos un incidente de ciberseguridad durante el último año.

Ningún comité directivo delegaría por completo la gestión del riesgo cambiario, el cumplimiento regulatorio o una fusión a un solo gerente sin supervisión del órgano de gobierno. El riesgo cibernético merece el mismo estándar , porque sus consecuencias son igual de materiales: interrupción operativa, pérdida de clientes, sanciones regulatorias, litigios y daño reputacional que puede tardar años en repararse .

Sin embargo, la brecha entre la mesa técnica y la mesa directiva sigue siendo significativa. Diversos estudios muestran que una parte importante de los responsables de seguridad considera que las juntas directivas no comprenden plenamente los riesgos que enfrenta la organización , especialmente aquellos asociados a la adopción acelerada de inteligencia artificial. En conversaciones con líderes de seguridad y ejecutivos de distintos sectores, sigue apareciendo la preocupación frente a la magnitud del riesgo, que suele entenderse cuando el incidente ya ocurrió y las opciones de respuesta son mucho más limitadas.

La ciberseguridad y el fraude digital dejaron de ser un capítulo aislado dentro de los informes de riesgo . Hoy forman parte de las variables que determinan la capacidad de una organización para operar, crecer y preservar la confianza de sus clientes . Las juntas directivas que comprendan esta realidad no solo estarán mejor preparadas para proteger sus negocios; también tendrán una ventaja competitiva frente a aquellas que sigan considerando el riesgo cibernético como un tema secundario de la agenda empresarial.

Nota del editor: Este texto pertenece a nuestra sección de Opinión y refleja únicamente la visión del autor, no necesariamente el punto de vista de Alto Nivel.