Tendencias de ciberataques en Colombia (edición 2026)

¿Cuántos ciberataques hay en Colombia?

Depende de qué se cuente. Las cifras públicas miden cosas distintas, y conviene no mezclarlas.

• Incidentes gestionados. El Grupo de Respuesta a Emergencias Cibernéticas de Colombia (ColCERT), del Ministerio de Tecnologías de la Información y las Comunicaciones (Ministerio TIC), publica los incidentes que gestionó. Son casos reportados y atendidos.
• Denuncias. Según la Policía Nacional, en 2025 tres delitos concentraron el 88% de los delitos informáticos denunciados: el hurto por medios informáticos, el acceso abusivo a un sistema informático y la violación de datos personales.
• Intentos. Según el Ministerio TIC, Colombia recibió cerca de 36.000 millones de intentos de afectación en 2024. Es una medida mucho más amplia: un intento no es un incidente confirmado.

¿Bajaron los ataques en 2025? No necesariamente. El ColCERT gestionó menos incidentes en 2025 que en 2024, pero advierte que esa baja no debe leerse como menos actividad de los atacantes, sino como una mejor preparación del país. Entre sus escenarios alternativos plantea, además, el subregistro: menos reportes formales, no menos ataques, sobre todo en entidades territoriales pequeñas.

Hay temporadas. Según el ColCERT, agosto fue el mes con más incidentes en 2024 y en 2025, y el trimestre de julio a septiembre concentra cada año un volumen alto de reportes.

¿Qué cambió en 2025 y 2026? Seis tendencias

1. El fraude por correo sigue siendo el incidente más común

Según el ColCERT, en 2024 y 2025 el fraude fue la clase de incidente más común. Lo impulsaron el phishing (835 casos) y el uso no autorizado de recursos, principalmente cuentas de correo comprometidas (784 casos).

En el análisis de vulnerabilidades de su informe, el ColCERT señala que la falta de SPF, DKIM y DMARC sigue siendo la principal puerta de entrada para el phishing y la suplantación de instituciones. Son registros que le permiten a quien recibe un correo comprobar si de verdad salió del dominio que dice.

Qué significa para su empresa: lo que más se repite en estos datos no es un ataque sofisticado. Es un correo engañoso, o una cuenta de correo usada por alguien que no es su dueño.

2. Aprovechar vulnerabilidades ya es la primera vía de entrada

El Data Breach Investigations Report (DBIR) de Verizon, 2026, analiza más de 22.000 brechas confirmadas en 145 países. Según ese informe, aprovechar vulnerabilidades ya es la vía de entrada más común: 31% de las brechas, frente a 13% del uso de credenciales robadas, que antes ocupaba el primer lugar. En América Latina y el Caribe, con 718 brechas analizadas, fue el 44%.

El mismo informe encontró que solo el 26% de las vulnerabilidades críticas del catálogo de vulnerabilidades explotadas de la CISA, la agencia de ciberseguridad de Estados Unidos, se corrigió por completo en 2025. La mediana para corregirlas subió a 43 días.

En Colombia, el ColCERT escaneó una muestra de activos de entidades nacionales y territoriales. Según su informe, el 85% de los riesgos críticos que encontró venía de software obsoleto o sin soporte, y no de fallas que el fabricante aún no hubiera corregido.

3. Los proveedores pesan cada vez más

Según Verizon, 2026, un tercero estuvo involucrado en el 48% de las brechas, 60% más que en el informe anterior. En América Latina y el Caribe, en el 74%.

Entre las tendencias que proyecta para 2025 y 2026, el ColCERT incluye los ataques a la cadena de suministro: el abuso de proveedores de tecnología nacionales, como empresas de software, proveedores de internet e integradores.

4. El ransomware crece, pero menos víctimas pagan

El ransomware es un programa que cifra los archivos de una empresa para pedir un rescate. Según Verizon, 2026, estuvo en el 48% de las brechas (44% en el informe anterior), y el 69% de las víctimas no pagó.

El ColCERT proyecta que sigan el ransomware y la doble extorsión: además de cifrar los archivos, el atacante amenaza con publicarlos.

5. Los atacantes ya usan inteligencia artificial

Según el Ministerio TIC, los delincuentes usan inteligencia artificial (IA) para que sus campañas sean más precisas y difíciles de detectar. Para el primer semestre de 2026, el ColCERT consideraba lo más probable que se intensificaran los ataques dirigidos contra infraestructuras críticas con IA generativa, sobre todo con phishing, suplantaciones con video o voz falsos (deepfakes) y técnicas para saltarse la verificación en dos pasos.

Según Verizon, 2026, el actor de amenazas típico investigó o usó apoyo de IA en 15 técnicas de ataque documentadas.

6. El engaño también llega por teléfono y por mensaje de texto

Según Verizon, 2026, el factor humano estuvo presente en el 62% de las brechas. En las simulaciones de phishing que analizó, la tasa mediana de clics por voz y mensajes de texto fue 40% más alta que por correo.

¿Qué debería hacer su empresa con estos datos?

Las tendencias cambian de un año a otro; las medidas que más ayudan, mucho menos. Si tiene que escoger por dónde empezar, estas cinco responden a lo que muestran las cifras.

• Proteja el correo y confirme los pagos por otro canal. Active la verificación en dos pasos, o autenticación multifactor (MFA), en todas las cuentas. Configure SPF, DKIM y DMARC para que sea mucho más difícil suplantar su dominio. Confirme por teléfono, a un número que ya tenga, cualquier cambio de cuenta bancaria. Vea cómo protegemos el correo de las empresas.
• Sepa qué tiene expuesto a internet y corríjalo a tiempo. Haga un inventario de los servidores, sitios y servicios que se ven desde afuera. Retire lo que ya no tiene soporte y corrija primero las vulnerabilidades que ya se están aprovechando. Vea para qué sirve un análisis de vulnerabilidades.
• Revise a sus proveedores. Sepa quién tiene acceso a sus sistemas, con qué permisos y cómo lo protege. Retire los accesos que ya no se usan.
• Prepárese para un ransomware. Tenga copias de respaldo fuera de la red y pruebe que se pueden restaurar. Escriba un plan corto: a quién llamar y quién decide. Si le pasa, esta guía le dice qué hacer en las primeras horas.
• Sepa qué reportar. Si un incidente afecta datos personales, el reporte a la Superintendencia de Industria y Comercio (SIC) va dentro de los 15 días hábiles siguientes a que se detecta y lo conoce la persona o el área encargada. Aplica aunque su empresa no esté obligada a inscribir sus bases en el Registro Nacional de Bases de Datos. La SIC informó en agosto de 2025 que ese año ya había abierto 101 investigaciones por protección de datos personales, frente a 83 en 2024 y 55 en 2023. La parte legal la lleva su abogado.

¿Y quién lleva todo esto? Según la Encuesta de ciberseguridad en América Latina de RSM, 2026, la mitad de las organizaciones tiene dos personas o menos dedicadas a la seguridad y la privacidad de los datos, y muchas recurren a especialistas externos.

Si su equipo de tecnología atiende todo y la seguridad se va aplazando, para eso existe el acompañamiento continuo. Trabajamos con su equipo, acordamos qué atender primero y cada mes le mostramos qué se hizo y qué falta. Si algo pasa, también contamos con respuesta a incidentes.

Pralogy es una empresa colombiana de ciberseguridad que atiende a empresas y organizaciones. Pralogy existe desde 2019.