La saturación de los centros de atención al cliente, la sobrecarga de la infraestructura crítica y la reasignación de personal para contener una crisis revelan una dimensión poco visible de la ciberdelincuencia: el desgaste operativo que sufren las empresas al defenderse sin detener el negocio.

Durante años, el impacto de los ciberataques se ha medido principalmente en dinero: pérdidas por fraude, rescates, información comprometida, sanciones regulatorias y costos de recuperación. Pero existe otro impacto mucho más difícil de identificar en los estados financieros: el desgaste de la operación.

Cuando ocurre un incidente, los equipos de infraestructura trabajan para mantener servicios críticos, los especialistas en ciberseguridad buscan contener la amenaza y los centros de atención reciben a usuarios que exigen respuestas. Los proyectos se detienen, el personal es reasignado y los proveedores externos son activados. Las áreas de comunicación administran el impacto reputacional y la dirección solicita información constante para tomar decisiones. El atacante ya no afecta únicamente un sistema; puede consumir la capacidad de respuesta de toda la empresa.

Defenderse sin detener el negocio

Los acontecimientos de alta exposición digital permiten observar este fenómeno con mayor claridad. Durante el Mundial 2026, millones de personas buscaron boletos, realizaron pagos, reservaron viajes y accedieron simultáneamente a plataformas y servicios digitales. Los ciberdelincuentes también observaron esa concentración de actividad.

Estimaciones de firmas especializadas en ciberseguridad situaron a México, durante abril de 2026, en un promedio de 3,548 ciberataques semanales por organización, por encima de los niveles observados en Estados Unidos y Canadá. El dato no corresponde exclusivamente a incidentes vinculados con el torneo; sin embargo, permite dimensionar el nivel de presión digital bajo el cual operan actualmente las organizaciones mexicanas.

El ecosistema tecnológico asociado con una de las empresas más importantes del mundial permitió observar la escala que puede alcanzar este desafío. Mientras las plataformas atendían la demanda legítima de millones de usuarios, los equipos tecnológicos debían identificar, filtrar y bloquear cientos de millones de solicitudes y eventos digitales maliciosos.

Ésa es una de las mayores complejidades de la ciberseguridad actual: la infraestructura no puede detenerse para enfrentar el ataque. Tiene que defenderse mientras continúa operando. Para los CIO y los responsables de continuidad del negocio, el problema ya no consiste únicamente en impedir una intrusión; la pregunta es si la empresa puede conservar su capacidad de operación mientras identifica, contiene y responde a una amenaza.

Cuando el ciberataque llega al cliente

Un atacante no necesita provocar la caída total de una plataforma para generar daño; en ocasiones basta con degradar el servicio, incrementar los tiempos de respuesta, generar errores intermitentes o provocar miles de intentos fallidos de acceso. Para el cliente, la causa técnica resulta secundaria: el servicio simplemente no funciona. Y entonces comienza otra crisis.

Cada usuario afectado puede convertirse en una llamada, un correo electrónico, una reclamación o un mensaje en redes sociales. Cuando miles de personas experimentan el mismo problema, la presión tecnológica comienza a trasladarse hacia las áreas de atención al cliente:

• Los tiempos de espera aumentan.

• Los agentes atienden a usuarios frustrados.

• Los equipos técnicos deben generar información mientras todavía investigan el incidente.

• Las redes sociales amplifican rápidamente la inconformidad.

El incidente deja de ser exclusivamente un problema de ciberseguridad y se convierte en una crisis de experiencia del cliente y continuidad operativa. El problema tecnológico deteriora el servicio, la mala experiencia incrementa la demanda de atención, la saturación genera nuevas quejas, las quejas aumentan la presión reputacional y la presión reputacional obliga a movilizar todavía más recursos. El ciberataque puede crear un círculo de desgaste operativo que se alimenta de la propia crisis.

El costo de defenderse

Las organizaciones pueden calcular cuánto cuesta recuperar un sistema. Mucho más difícil es calcular el valor de las horas de trabajo desviadas para atender una crisis:

• ¿Cuántos especialistas abandonaron otros proyectos para contener el incidente?

• ¿Cuánto aumentó la demanda en los centros de atención?

• ¿Cuántos proveedores externos tuvieron que activarse?

• ¿Cuánto costó incrementar temporalmente la capacidad de infraestructura?

• ¿Cuántos proyectos se retrasaron?

• ¿Cuántos clientes abandonaron el servicio después de una mala experiencia?

• ¿Y cuánto tiempo necesitó la empresa para recuperar su ritmo normal de operación?

Estas variables rara vez aparecen juntas cuando se calcula el impacto de un ciberataque. Sin embargo, revelan una dimensión diferente del problema: el ciberdelincuente también puede provocar daño obligando a la organización a consumir tiempo, infraestructura y talento para defenderse. La resiliencia digital ya no debería medirse únicamente por la capacidad de impedir una intrusión, sino que también debe considerar la capacidad de absorber una crisis sin comprometer la operación.

Una identidad puede desencadenar una crisis

El origen de un incidente tampoco necesita ser extraordinariamente sofisticado. De acuerdo con el estudio State of Identity Security 2026 de Sophos, 71% de las organizaciones encuestadas sufrió al menos una brecha relacionada con identidad durante los últimos 12 meses. En México, la cifra alcanzó el 83%.

Una contraseña robada, una sesión capturada o una credencial obtenida mediante phishing puede obligar a la organización a investigar accesos, bloquear cuentas, restablecer contraseñas y revisar posibles movimientos dentro de su infraestructura.

El punto de entrada puede ser una sola identidad, pero la respuesta puede involucrar a cientos de personas: los equipos de soporte reciben solicitudes, los administradores revisan privilegios, los especialistas investigan la posible propagación del incidente y los responsables del negocio evalúan qué información o procesos pudieron quedar expuestos. El punto de entrada puede ser pequeño; la crisis que provoca no necesariamente lo será.

Una empresa puede absorber el costo de un ataque que no sufrió directamente

Existe otro fenómeno que comienza a adquirir mayor relevancia: las organizaciones pueden terminar atendiendo las consecuencias de ataques ejecutados completamente fuera de su propia infraestructura.

La inteligencia de amenazas de SOCRadar ha documentado campañas de phishing, dominios falsos y credenciales obtenidas mediante infostealers circulando dentro del ecosistema clandestino. A través de técnicas como el typosquatting, los atacantes crean direcciones prácticamente idénticas a las de organizaciones legítimas. El usuario cree encontrarse en un sitio genuino e introduce sus datos.

La empresa legítima puede no haber sido vulnerada. Pero cuando el cliente descubre el fraude, ¿a quién busca? A la organización cuya identidad fue utilizada. La empresa termina atendiendo a usuarios afectados, publicando alertas, respondiendo en redes sociales, solicitando la baja de dominios y administrando el impacto reputacional. El ciberdelincuente ejecuta el ataque, pero la organización legítima puede terminar absorbiendo una parte importante del costo operativo de la crisis.

Esta realidad obliga a ampliar el concepto tradicional de superficie de ataque. La ciberseguridad ya no puede observar únicamente lo que sucede dentro de la infraestructura corporativa; las organizaciones también necesitan visibilidad sobre las amenazas que se desarrollan alrededor de su identidad digital.

El factor humano frente a un fraude más convincente

La hiperconectividad agrega otra capa de complejidad. Un análisis de Kaspersky sobre redes Wi-Fi en Ciudad de México, Guadalajara y Monterrey identificó más de 84,000 señales inalámbricas, de las cuales más de 10% estaban completamente desprotegidas. El usuario corporativo ya no trabaja únicamente desde una oficina; se conecta desde un aeropuerto, un hotel, una cafetería o un espacio público.

Al mismo tiempo, el fraude digital aumenta su capacidad de persuasión. Investigaciones de Gen Threat Labs (cuya tecnología forma parte del ecosistema de protección de Norton) han identificado incrementos estacionales en determinadas modalidades de estafa: durante los veranos de 2024 y 2025, sus tecnologías bloquearon 685,968 ataques relacionados con estafas de apuestas, un incremento de 87.7% frente al resto del año.

La inteligencia artificial puede acelerar todavía más esta evolución mediante:

• Mensajes correctamente redactados.

• Sitios falsos visualmente convincentes.

• Imágenes generadas o manipuladas.

• Contenido producido en diferentes idiomas.

Las señales que tradicionalmente ayudaban a identificar un fraude son cada vez menos evidentes. Para las organizaciones, proteger al usuario no significa únicamente proteger un dispositivo; también significa reducir la posibilidad de que una acción individual desencadene una crisis capaz de consumir recursos de toda la empresa.

De la ciberseguridad a la resiliencia operativa

El escenario obliga a replantear una parte de la conversación empresarial sobre ciberseguridad. La pregunta ya no debería limitarse a si una organización cuenta con antivirus, protección de endpoint, firewall o seguridad de correo electrónico. La pregunta es más amplia: ¿puede la empresa continuar operando mientras enfrenta un ciberataque?

Responder requiere conectar protección de identidad, inteligencia de amenazas, monitoreo de la superficie digital, automatización, detección y respuesta, así como planes claros para administrar incidentes. También exige incorporar a áreas que tradicionalmente permanecían fuera de la conversación de ciberseguridad:

• Atención al cliente

• Comunicación

• Operaciones

• Legal

• Recursos humanos

• Dirección general

Un incidente digital puede afectar simultáneamente a todas ellas. Por ello, las organizaciones necesitan medir no sólo cuánto tardan en detectar y contener una amenaza, sino cuánto desgaste provoca la crisis durante ese periodo. Cada minuto ganado puede significar menos usuarios afectados, menos llamadas a los centros de atención, menos personal desviado, menor presión sobre la infraestructura y una recuperación más rápida del negocio.

La ciberseguridad deja entonces de presentarse únicamente como protección frente al robo de información; se convierte en protección de la operación.

Los ciberataques seguirán evolucionando. Los delincuentes continuarán aprovechando eventos masivos, temporadas comerciales, campañas fiscales y cualquier contexto capaz de concentrar la atención de millones de usuarios. El señuelo cambiará; la lógica permanecerá.

Las empresas, sin embargo, necesitan comenzar a medir el impacto de una manera diferente: no sólo por el dinero perdido o los datos comprometidos, sino también por las horas de trabajo desviadas, la infraestructura consumida, la presión sobre la atención al cliente y la capacidad organizacional necesaria para recuperar la normalidad. Porque el verdadero costo de un ciberataque comienza a hacerse visible cuando toda la empresa tiene que responder, mientras el negocio, inevitablemente, debe seguir operando.

Por: Fausto Escobar, especialista en ciberseguridad y CEO de HD Latinoamérica.