Una de cada cuatro brechas de seguridad maliciosas ya se ejecuta con inteligencia artificial, y cada una de esas cuesta de media 6 millones de dólares, un millón más que una brecha normal. Lo publica IBM en su informe anual sobre el coste de una brecha de datos, elaborado por el Ponemon Institute sobre 602 organizaciones.
Puntos clave
- El 25% de las brechas maliciosas fueron asistidas por IA, un 56% más que el año anterior.
- Coste medio de una brecha con IA: 6 millones de dólares. Media global sin IA: 4,99 millones.
- El 62% de los ataques con IA se dirigieron a infraestructura crítica, con energía y servicios financieros a la cabeza.
- Las empresas que ya usan IA y automatización en su operación de seguridad se ahorran cerca de 2 millones por incidente.
- Una de cada cuatro organizaciones todavía no ha metido IA en su equipo de seguridad.
Qué cambia respecto al año pasado
El salto no está en que existan ataques con IA. Está en el volumen. Un 56% de crecimiento interanual en doce meses significa que lo que era una técnica de nicho se ha vuelto rutina para el atacante medio.
Los dos vectores que IBM señala explican bien por qué. El primero es la suplantación con deepfakes: llamadas de voz y vídeos que imitan a un directivo para autorizar una transferencia o pedir credenciales. El segundo es malware generado o adaptado con modelos, que muta lo suficiente entre víctimas como para esquivar firmas.
Los dos comparten algo: bajan el coste de producción del ataque. Antes, montar una campaña de suplantación creíble contra una empresa concreta requería horas de investigación y alguien que supiera imitar. Ahora se hace con material público de LinkedIn y un modelo de voz.
El millón extra sale de la detección
La diferencia de coste entre una brecha con IA y una sin IA no está en el rescate. Está en cuánto tarda la empresa en enterarse y en cerrar el agujero.
Un ataque que suplanta a un empleado real, con su tono y su contexto, no dispara las alarmas que sí dispara un correo mal escrito desde un dominio raro. Pasa por dentro. Y cuando pasa por dentro, el atacante tiene semanas en vez de días, y esas semanas se traducen en más sistemas tocados, más datos exfiltrados y más trabajo forense después.
El dato contrario es igual de claro: las organizaciones que meten IA en su propia detección recortan casi 2 millones del coste medio. La lectura es incómoda para quien no la ha metido todavía, porque significa que la brecha entre unos y otros se ensancha por los dos lados a la vez.
Infraestructura crítica en el punto de mira
El 62% de los ataques con IA fue a infraestructura crítica. Energía y servicios financieros concentran lo peor. Tiene lógica de negocio del atacante: son sectores donde una hora de parada cuesta mucho, así que la disposición a pagar es alta y la ventana de negociación es corta.
Para una empresa española que no está en energía ni en banca, el dato sigue importando, porque los proveedores sí lo están. Una brecha en el operador logístico o en la pasarela de pagos entra en tu operación aunque tu perímetro esté limpio.
Lo que este informe dice de los agentes
IBM añade un detalle que conecta con lo que llevamos semanas cubriendo: tres de cada cuatro organizaciones se están replanteando cómo despliegan agentes de IA. Coincide con los incidentes reales del mes, desde los modelos de Anthropic que entraron en tres organizaciones durante pruebas hasta la autopsia del hackeo de Hugging Face con 17.600 acciones de un agente.
Un agente con credenciales reales y capacidad de ejecutar comandos es, desde el punto de vista del inventario de seguridad, un empleado más. Con la diferencia de que no duerme y de que nadie le ha hecho el onboarding de seguridad.
El detalle de la muestra
Conviene leer la letra pequeña del método. El informe lo elabora el Ponemon Institute y lo patrocina y analiza IBM, sobre brechas sufridas por 602 organizaciones entre marzo de 2025 y febrero de 2026.
Son organizaciones que aceptaron contar lo que les pasó, así que el sesgo va hacia empresas con función de seguridad formal y capacidad de hacer forense. Las pymes que descubren la brecha porque un cliente les avisa no suelen estar en estas muestras.
Dicho de otro modo: el 25% de brechas asistidas por IA es probablemente el suelo, no el techo. Y lo mismo pasa con el coste medio de 4,99 millones, que sale de empresas con capacidad para cuantificar el daño.
El otro número que no ha salido en los titulares: una de cada cuatro organizaciones sigue sin haber metido IA ni automatización en su operación de seguridad. Con un ahorro medido de casi 2 millones por incidente, ese 25% es la brecha real que separa a quien puede absorber un ataque de quien no.
Por qué importa
Si tienes IA metida en procesos de tu empresa, este informe te da dos números para llevar a la reunión de dirección: 6 millones de coste medio si te toca, y 2 millones de ahorro si ya tienes detección automatizada.
Lo accionable a corto plazo no es comprar una plataforma. Es más aburrido y más barato. Primero, verificación fuera de banda para cualquier orden de pago o cambio de cuenta bancaria que llegue por voz o vídeo, sin excepciones de jerarquía. Segundo, inventario de qué agentes y qué integraciones tienen credenciales productivas y con qué permisos, porque casi nadie lo tiene escrito. Tercero, mirar qué proveedores críticos tuyos están en energía o finanzas y preguntarles qué han cambiado este año.
Los ataques se han abaratado. La defensa que funciona sigue siendo la de siempre, aplicada de verdad y no solo en el manual.
Relacionado
