Colombia en la mira: cuando la ciberdefensa aún no alcanza el ritmo de la amenaza
Colombia ha entrado en una zona de riesgo que ya no admite diagnósticos complacientes. Los datos de la primera mitad de 2026 dibujan un país asediado por el cibercrimen: cuarto en América por impacto de amenazas digitales, tercero en América Latina por volumen de ataques y con un aumento del 36% en denuncias por delitos informáticos . Pero más allá de las cifras, lo que verdaderamente preocupa es la naturaleza del enemigo: una industria criminal que usa inteligencia artificial para industrializar el fraude, el robo de identidad y la extorsión.
El retrato de una amenaza que se acelera
El más reciente Microsoft Digital Defense Report, presentado en noviembre de 2026, ubicó a Colombia en el puesto 30 a nivel mundial y cuarto en América entre los países donde los clientes de la compañía fueron impactados con mayor frecuencia por amenazas digitales durante el primer semestre del año. La Unidad de Crímenes Digitales de Microsoft identificó 16.071 víctimas colombianas asociadas a campañas de robo de credenciales y distribución de malware.
El dato que debería erizar la piel de cualquier responsable de seguridad corporativa es otro: el tiempo mediano entre el descubrimiento de una vulnerabilidad y su conversión en un mecanismo de ataque cayó a menos de 24 horas. La IA no solo acelera la explotación; también permite generar correos fraudulentos convincentes, imitar comunicaciones empresariales y producir contenido en múltiples idiomas sin las habilidades técnicas que antes se requerían.
El phishing representó el 23% de los vectores de acceso inicial en investigaciones de respuesta a incidentes de Microsoft, y el 52,2% de las intrusiones que comenzaron mediante cuentas legítimas comprometidas incluyeron un robo adicional de credenciales. La identidad digital se ha convertido en el campo de batalla principal.
Los números de una crisis que se acumula
Las cifras de ERC Colombia son igualmente contundentes. Durante mayo de 2026, el país concentró el 8% de los incidentes exitosos registrados en América Latina. El año anterior cerró con 10,9 billones de intentos de ciberataques y más de 7 billones de escaneos activos contra infraestructuras tecnológicas.
Los sectores afectados no son menores. Entidades de salud, instituciones educativas, empresas de tercerización de procesos y grandes corporativos han sido comprometidos. Organizaciones como el Ministerio de Salud, la Universidad de Antioquia y Emergia CC sufrieron incidentes que expusieron información de millones de colombianos. Más del 42% de los datos filtrados corresponde a información de identificación personal —nombres, cédulas, teléfonos—, y un 18% a información financiera.
El costo promedio de una filtración de datos para una empresa colombiana supera los 14.000 millones de pesos, considerando interrupción de operaciones, investigaciones forenses, recuperación de sistemas y pérdida de clientes.
La infraestructura crítica, bajo fuego
Julio y agosto de 2026 quedarán marcados en la memoria institucional del país. Ecopetrol, la empresa más grande de Colombia, denunció un incidente cibernético con exigencias de extorsión que afectó el almacenamiento en la nube de aproximadamente 15 compañías del grupo, con descarga no autorizada de datos de cerca de 3.300 cuentas de usuario. La empresa logró bloquear un intento de ransomware, pero el actor externo —aún no identificado oficialmente— amenazó con divulgar la información extraída.
Pocos días después, el Ministerio de Justicia confirmó un ataque con ransomware que comprometió parte de su infraestructura tecnológica y afectó la disponibilidad de algunos servicios. La ministra encargada, Cielo Rusinque, activó protocolos de contención y aislamiento preventivo de sistemas, mientras trabajaba coordinadamente con el MinTIC para establecer el alcance de la afectación.
Dos ataques a infraestructura crítica del Estado en menos de un mes. El grupo conocido como “The Gentlemen” se atribuyó el ataque a Ecopetrol, afirmando haber obtenido más de un terabyte de datos. La señal es inequívoca: los atacantes ya no distinguen entre el sector privado y el público.
La dimensión ciudadana: WhatsApp como puerta de entrada
Mientras las grandes organizaciones lidian con ransomware y extorsión, el ciudadano de a pie enfrenta una amenaza más cotidiana pero igualmente devastadora. Las denuncias por clonación de WhatsApp superaron las 44.000 en el primer semestre de 2026, según datos del Siedco de la Policía Nacional.
El método predominante es la “clonación de sesión”: ingeniería social pura y dura. El delincuente convence a la víctima de entregar el código de verificación SMS de seis dígitos que llega a su teléfono. Otra modalidad documentada es el SIM swapping, mediante el cual los atacantes engañan al operador telefónico para tomar control de la línea.
La IA también ha llegado a este terreno. Las autoridades han identificado un incremento sustancial en el uso de herramientas para clonar voces y aumentar la credibilidad de exigencias de transferencias urgentes dirigidas a familiares y amigos. El 42% de los datos filtrados y comercializados en el entorno cibercriminal corresponde a cédulas y teléfonos, lo que facilita la identificación rápida de objetivos.
Lo que se está haciendo (y lo que falta)
Colombia cuenta con una Estrategia Nacional de Seguridad Digital 2025-2027, que contempla acciones como programas de formación para servidores públicos, becas y pasantías en seguridad digital, directrices para PYMES y el fortalecimiento de competencias en docentes y estudiantes . El ColCERT publica reportes semanales de inteligencia de amenazas que identifican tendencias como el auge de Tycoon 2FA y EvilProxy, herramientas diseñadas para evadir la autenticación multifactor.
Pero la brecha entre la estrategia y la realidad operativa sigue siendo profunda. La creación de una autoridad nacional de ciberseguridad sigue pendiente desde 2023, y las iniciativas en ese sentido no han podido avanzar en el Congreso. Analistas y sectores especializados advierten que el país no puede seguir postergando su institucionalidad digital, y que el ColCERT requiere presupuesto y capacidad real para cumplir su mandato.
Las recomendaciones técnicas existen y son conocidas: autenticación multifactor resistente al phishing, reducción de la dependencia de contraseñas, limitación de permisos, actualización oportuna de sistemas y planes de recuperación probados . El problema no es la falta de conocimiento, sino la velocidad de adopción.
El veredicto
Colombia no enfrenta una amenaza emergente; enfrenta una amenaza consolidada y en aceleración. La IA ha democratizado las capacidades ofensivas, la identidad digital es el nuevo perímetro y la infraestructura crítica ya ha sido alcanzada. El país tiene estrategia, tiene talento incipiente y tiene alertas tempranas. Lo que aún no tiene es la institucionalidad y la velocidad de ejecución que el momento exige.
Mientras la autoridad nacional de ciberseguridad siga siendo una promesa pendiente, los atacantes seguirán explotando la ventana de menos de 24 horas. Y en esa ventana, Colombia sigue llegando tarde.
