Un análisis del OGDI advierte que las filtraciones estatales alimentan estafas más creíbles contra las empresas, mientras el país sigue sin un CSIRT nacional
El correo llega sin una sola falta de ortografía, imita el tono del banco de siempre y, minutos después, una llamada con la voz idéntica a la del gerente general pide una transferencia urgente. Ese es el escenario que describe José R. Leonett, fundador del Observatorio Guatemalteco de Delitos Informáticos (OGDI), para las empresas del país en 2026: ataques que ya no se delatan solos porque la inteligencia artificial (IA) pule cada detalle.
Su lectura es que el riesgo dejó de ser un asunto del área de sistemas y pasó a amenazar la continuidad financiera de las compañías.
Los datos del Estado alimentan las estafas privadas
Las filtraciones de este año borraron la frontera entre lo público y lo privado. Leonett menciona el portal Tu Empleo del Ministerio de Trabajo, que expuso más de 200,000 registros, además de intrusiones en bases de la DIGECAM, del Ministerio de la Defensa y del Ministerio de Educación. Esa información, sostiene, permite construir engaños a la medida contra empresas guatemaltecas, y el acceso a credenciales de instituciones y firmas locales se ofrece en la dark web desde 10 USD.
Según cifras de IBM y Mastercard que cita el autor, el país recibe más de 3,800 intentos de ataque por semana. Lo que cambió es la calidad, porque modelos de lenguaje adaptados a la región redactan mensajes que replican el español local, las facturas de la SAT y el estilo de la banca. A eso se suma el vishing con deepfakes, donde un asistente financiero escucha a su supuesto jefe pedir un pago de carácter urgente a un proveedor.
El sector financiero concentra cerca del 19.3% de los incidentes, pero la fragilidad mayor está en las PyMEs y en los proveedores de software, contabilidad o logística que rodean a las grandes firmas. Allí prosperan los infostealers, programas que roban contraseñas y cookies de sesión, y persisten sistemas sin autenticación multifactor.
Un marco legal que se hace esperar
Guatemala no cuenta con un CSIRT nacional con autoridad para exigir reportes de incidentes, y la Iniciativa 6347 de ciberseguridad sigue sin convertirse en ley en el Congreso. La Unión Internacional de Telecomunicaciones (UIT) ubica al país en un nivel bajo de preparación regional. Mientras tanto, el volumen de ataques transfronterizos supera las capacidades forenses de las unidades especializadas.
Leonett propone adoptar el modelo Zero Trust, incorporar herramientas de detección con aprendizaje automático y auditar a los proveedores. Más allá de la receta, la confianza basada en reconocer una voz o un correo ya no basta. Si Estado y sector privado no cierran juntos los vacíos técnicos y normativos, la próxima filtración seguirá alimentando fraudes más convincentes.
Esto podría significar que la ciberseguridad debería pasar a ser una variable de gestión financiera, y que las empresas que no revisen su cadena de suministro quedarán expuestas. Lo que venga dependerá de si Estado y sector privado cierran juntos los vacíos técnicos y normativos; de lo contrario, la próxima filtración seguirá alimentando fraudes más convincentes.