El panorama de la ciberseguridad en México sigue una transformación que se observa a nivel mundial: los ciberataques son cada vez más sofisticados, automatizados y centrados en la explotación de identidades digitales. Según el Reporte de Ciberamenazas de Trellix, México registró un aumento del 21% en las actividades maliciosas detectadas en el primer trimestre de 2026 en comparación con el mismo periodo del año anterior. Según la empresa, entre enero y marzo de este año se identificaron cerca de 1.2 millones de detecciones en el país, de las cuales el 11.3% estaban relacionadas con amenazas basadas en la propiedad intelectual.

Las tendencias identificadas a nivel local reflejan el panorama que destacan los informes globales «CyberThreat Reports» de la empresa, que recogen la actividad de las amenazas cibernéticas registrada durante el primer trimestre de 2026. El informe destaca una evolución significativa en el panorama de las amenazas, en el que los atacantes están ampliando su enfoque más allá del malware y el ransomware tradicionales para explotar cada vez más las identidades, el acceso legítimo y las herramientas basadas en la inteligencia artificial.

Telecomunicaciones, sectores industrial y público encabezan la clasificación de objetivos

Entre los sectores más afectados en México durante el primer trimestre de 2026, el sector de las telecomunicaciones representó el 43.2% de las detecciones registradas por Trellix, seguido del sector industrial, con un 19.5%, y el sector público (10%). Los servicios minoristas siguen en cuarto lugar, con un 8.3%.

Es notable la creciente presión sobre las empresas de telecomunicaciones. Según los resultados globales de Trellix, el sector pasó de representar el 47% de las detecciones de amenazas persistentes avanzadas (APT) a principios de 2025 a más del 70% en la segunda mitad del año, consolidando su posición como objetivo principal de las operaciones de espionaje y del acceso a redes críticas.

Geopolítica y elecciones influyen en los ciberataques

Más allá de las amenazas con motivaciones económicas, el informe global de Trellix destaca que la actividad cibernética se coordina cada vez más con operaciones militares físicas en respuesta a acontecimientos geopolíticos. Según el informe, la inestabilidad geopolítica observada a lo largo de 2025 se intensificó hasta convertirse en un conflicto directo entre estados a principios de 2026, lo que supuso un punto de inflexión en la evolución de la guerra moderna.

Los conflictos internacionales, las disputas territoriales y las tensiones entre naciones han influido directamente en el comportamiento de los actores maliciosos. Estos grupos combinan cada vez más operaciones militares, diplomáticas y cibernéticas como parte de estrategias de guerra híbrida, lo que amplía los riesgos a los que se enfrentan las organizaciones de todo el mundo. Trellix observa que, durante los períodos de inestabilidad geopolítica, los actores maliciosos tienden a dar prioridad a los ataques contra gobiernos e infraestructuras críticas para avanzar en sus objetivos estratégicos y militares.

A nivel local, la telemetría y la inteligencia sobre amenazas de Trellix indican que México suele situarse entre los primeros puestos de los países más afectados por las redes mundiales de ransomware y el ciberespionaje. “Las amenazas suelen implicar malware basado en inteligencia artificial, vulnerabilidades en la cadena de suministro y técnicas de «Living off the Land» (LotL), en las que los atacantes utilizan herramientas administrativas nativas para eludir la detección”, explicó Erika Urbina, country manager de Trellix en México.

SPEI, CoDi y la identidad digital están en la mira de los delincuentes

Entre las tendencias de los últimos meses destaca el aumento de los ataques dirigidos a los portales de alta de clientes de la banca comercial. Según la empresa, estos portales se han convertido en uno de los puntos de entrada más explotados, ya que los delincuentes utilizan identidades sintéticas, interceptaciones automatizadas de transferencias y apropiaciones de cuentas para abrir y gestionar cuentas fraudulentas.

SPEI sigue siendo un objetivo prioritario para intrusiones en redes de alto valor e inyecciones fraudulentas de transferencias en cuentas de concentración, mientras que CoDi y Dimo son cada vez más blanco de ataques mediante ingeniería social y aplicaciones móviles maliciosas diseñadas para interceptar las transacciones de los consumidores.

Además, los ataques contra la infraestructura de identidad digital siguen aumentando considerablemente en el país. Entre los sistemas más afectados se encuentra el CURP biométrico (RENAPO), que es blanco de intentos de crear identidades falsas y suplantar datos dentro de las bases de datos de información.

La IA está acelerando la ciberdelincuencia en México

Los informes globales de Trellix muestran que la inteligencia artificial se ha convertido en un factor clave para las operaciones de los ciberdelincuentes a lo largo de 2025 y hasta principios de 2026. La empresa ha identificado un aumento de las campañas de phishing altamente personalizadas, los «deepfakes» de voz, el reconocimiento de objetivos impulsado por IA y el malware desarrollado con la ayuda de la IA.

Según Trellix, México se convirtió en el tercer país más atacado en cuanto a prevalencia de URL, el segundo en prevalencia de archivos y el noveno en prevalencia de direcciones IP. Los ciberdelincuentes utilizan cada vez más la IA para mejorar los ataques de ingeniería social y el fraude financiero, lo que les permite llegar a un mayor número de víctimas con mensajes cada vez más convincentes y sofisticados.

El estudio reciente de Trellix titulado “La IA como arma: la mercantilización de la ciberdelincuencia” ha demostrado claramente que la IA está reduciendo significativamente las barreras para cometer delitos cibernéticos sofisticados. La inteligencia artificial se está comercializando activamente como una potente capacidad operativa. Las tareas que antes requerían operadores experimentados que trabajarán con múltiples herramientas pueden comprimirse cada vez más en flujos de trabajo automatizados, mientras que las técnicas impulsadas por la IA pueden ayudar a los atacantes a adaptar sus campañas y eludir los controles de seguridad tradicionales. Para los defensores, esto refuerza la necesidad de combinar la inteligencia sobre amenazas con la detección de comportamientos y controles de seguridad capaces de identificar actividades anómalas a medida que evolucionan los ataques.

¿Qué esperar en el futuro?

Las empresas enfrentan un panorama complejo, en donde las amenazas son más frecuentes, los ataques se diversifican y adaptan en tiempo real, y el cuidado de cada frente es tan importante como los demás. Debe existir una cooperación activa entre los sectores público y privado para garantizar una mejor protección hacia las empresas y gobiernos, donde la inversión y desarrollo de herramientas de seguridad se adecúe al contexto de cada país. En México, donde se impulsa la adopción de medios de pago como SPEI, CoDi y Dimo, y a su vez se han vuelto objetivos vulnerables de los criminales, tanto la banca como los reguladores financieros deben prestar atención a la inteligencia operativa sobre amenazas para reforzar sus defensas frente al panorama actual de riesgos.

Las compañías deben adoptar un enfoque de Zero Trust y trabajar junto a proveedores de ciberseguridad que puedan garantizar un monitoreo continuo de vulnerabilidades, con el uso de IA para identificar y solucionar vulnerabilidades de forma temprana en el ciclo de desarrollo del software, antes de que sean explotados. Adicionalmente, mientras las organizaciones implementan agentes de IA, la seguridad debe incluir múltiples capas de protección.