Nueve de cada diez empresas peruanas evaluadas por la firma de ciberseguridad Zerodays presentaron, en los últimos seis meses, al menos una vulnerabilidad crítica o de alta severidad.
Es decir, una falla que un atacante podría aprovechar para ingresar a sus sistemas o acceder a información sensible.
Minería, retail, logística, banca y finanzas, y sector público son los más afectados, según la firma.
El problema, por tanto, aparece en distintas industrias y no se limita a un tamaño de empresa o a una actividad en particular.
Los fallos más frecuentes son descuidos básicos
Zerodays identificó seis tipos de falla recurrentes:
- Sistemas y software sin actualizar.
- Credenciales débiles, reutilizadas o por defecto.
- Ausencia de doble factor de autenticación (MFA), que exige un segundo paso de verificación además de la contraseña.
- Configuraciones incorrectas en servidores y servicios en la nube.
- Accesos remotos expuestos a internet.
- Fallas en aplicaciones web que pueden permitir accesos no autorizados.
Luis Talavera, CEO de la firma, indicó que lo más común no son ataques sofisticados, sino situaciones como equipos sin actualizaciones, contraseñas débiles, cuentas de exempleados que siguen activas y usuarios con más permisos de los necesarios.
Siete de cada 10 fallas críticas llevaban más de un año sin detectarse
Las empresas pueden convivir con estas brechas durante largos periodos sin saberlo.
De acuerdo con la experiencia de Zerodays, el 70% de las vulnerabilidades críticas que encontró llevaba más de un año presente sin que la organización lo supiera.
Cuanto más tiempo permanece abierta una brecha, mayor es el riesgo.
Un atacante podría usarla para instalar ransomware (un programa que bloquea los sistemas y paraliza las operaciones), robar bases de datos, tomar el control de correos corporativos para cometer fraudes, acceder a sistemas financieros o permanecer oculto en la red para obtener información estratégica.
Seis de cada 10 podrían corregirse con medidas de bajo costo
Aproximadamente el 60% de las vulnerabilidades detectadas podría resolverse internamente con acciones de bajo costo: aplicar actualizaciones, activar la autenticación multifactor, cambiar contraseñas por defecto, cerrar servicios que no se usan y revisar los permisos de los usuarios.
Talavera señaló que, en muchos casos, reducir el riesgo depende más de procesos claros que de grandes inversiones. Según indicó, las empresas necesitan saber qué sistemas tienen expuestos, qué vulnerabilidades presentan y cuáles deben corregirse primero.
Los datos de clientes, los más afectados en las brechas
Una vulnerabilidad explotada puede comprometer datos personales de clientes y colaboradores, información financiera, credenciales, contratos, propiedad intelectual y estrategias comerciales.
Según IBM, los datos personales de clientes estuvieron comprometidos en el 53% de las brechas analizadas durante 2025.
En el Perú se registraron unos 350 mil ciberataques durante el primer semestre de 2026.
Ante ese escenario, Talavera recomendó realizar evaluaciones periódicas de vulnerabilidades y corregir primero las que puedan explotarse con mayor facilidad.