Un tercio afectado, pero casi todos se sienten seguros

El Informe de Ciberseguridad 2026 de RSM Australia ha sacado a la luz una brecha entre la percepción y la realidad que debería preocupar a cualquiera cuyos datos personales se encuentren en una organización mediana o grande. El informe, basado en una encuesta a 155 organizaciones australianas de tamaño mediano a grande, encontró que aproximadamente un tercio experimentó un ataque de ransomware o un intento de extorsión en el último año. A pesar de ello, el 97% de los encuestados aún cree que los datos de su organización están adecuadamente protegidos.

Esa desconexión importa más allá de la sala de juntas. Cuando un ataque de ransomware tiene éxito, rara vez se limitan a los archivos de la propia empresa los que quedan bloqueados o robados. Los registros de clientes, los datos de empleados, la información de salud y los detalles financieros suelen ir de la mano, y la brecha de confianza que RSM ha identificado sugiere que muchas organizaciones no están tratando ese riesgo con la urgencia que las cifras exigen.

Por qué la “gran empresa” se está quedando atrás

Uno de los hallazgos más contraintuitivos que esconden los datos de RSM es que las organizaciones más grandes están rezagadas respecto a sus contrapartes medianas en cuanto a preparación en ciberseguridad. La creencia convencional sostiene que las empresas más grandes tienen presupuestos más amplios, equipos de seguridad dedicados y una gobernanza más madura. Según este informe, esa suposición no siempre se cumple en la práctica.

Este patrón no es exclusivo de Australia. Las organizaciones más grandes y complejas a menudo arrastran sistemas heredados, relaciones con proveedores muy extendidas y capas de burocracia que ralentizan las decisiones de seguridad, incluso cuando hay recursos disponibles. La brecha en la filial italiana de IBM vinculada a operaciones cibernéticas chinas es un recordatorio de que la escala y la reputación no se traducen automáticamente en resiliencia. Las grandes organizaciones que gestionan infraestructuras críticas pueden quedar expuestas a través de filiales, contratistas o sistemas pasados por alto, justo el tipo de complejidad que las organizaciones más pequeñas y ágiles tienden a evitar simplemente porque tienen menos piezas móviles que proteger.

El coste de privacidad del ransomware no es solo el rescate

Es fácil pensar en el ransomware únicamente como un problema de continuidad del negocio: los archivos se cifran, las operaciones se paralizan, llega una demanda de rescate. Pero las campañas modernas de ransomware combinan cada vez más el cifrado con el robo de datos, lo que significa que los atacantes roban información sensible antes de bloquear los sistemas, y luego amenazan con publicarla o venderla independientemente de si se paga un rescate.

Ese modelo de doble extorsión es precisamente la razón por la que las implicaciones de privacidad de los hallazgos de RSM merecen más atención de la que suelen recibir. Cada organización que almacena nombres de clientes, direcciones, datos de pago o historiales médicos está, en la práctica, asumiendo un riesgo de privacidad en nombre de las personas a las que atiende. Cuando los operadores de ransomware buscan el pago, monetizan cada vez más los datos personales de empleados, clientes y pacientes, no solo los secretos corporativos. Las empresas de salud y dispositivos médicos lo ilustran bien. Incidentes como la brecha de datos de iRhythm de junio de 2024 que afectó a pacientes cardíacos y la brecha de iRhythm relacionada con aplicaciones en la nube de terceros muestran cómo los ataques a una sola organización pueden exponer información de salud personal profundamente sensible, a veces a través de proveedores y servicios en la nube que los individuos afectados ni siquiera sabían que estaban implicados.

El coste humano del ransomware va aún más lejos. Detrás de cada caso de extorsión de alto perfil hay negociadores, investigadores y, en ocasiones, procesos penales, como se vio en el caso de un negociador de ransomware de Florida condenado en un caso de extorsión en Estados Unidos. Estos casos subrayan que el ransomware no es una amenaza técnica abstracta. Es una empresa criminal organizada con consecuencias financieras y legales reales en ambos lados de la transacción.

Lo que esto significa para usted

Si usted es empleado, cliente o paciente de una organización australiana mediana o grande, este informe es un buen punto de partida para recalibrar sus expectativas. Una probabilidad de uno en tres de sufrir el impacto del ransomware dentro del grupo encuestado es una cifra significativa, y la tasa de confianza del 97% sugiere que muchas organizaciones pueden no estar comunicando los riesgos de brechas de manera clara, o pueden no comprender plenamente su propia exposición.

Para los individuos, la respuesta práctica no es el pánico, sino la preparación. Asuma que cualquier organización que posea sus datos podría eventualmente ser un blanco, y ajuste sus hábitos en consecuencia: use contraseñas únicas para las cuentas sensibles, active la autenticación multifactor siempre que se ofrezca, y preste atención a las notificaciones de brechas en lugar de descartarlas como ruido rutinario.

Para las organizaciones, los hallazgos de RSM son una señal clara de que la confianza autoevaluada es un mal sustituto de la resiliencia probada. Las pruebas de penetración periódicas, los simulacros de respuesta a incidentes y los reportes honestos a nivel de junta directiva sobre el riesgo cibernético importan mucho más que las encuestas de percepción internas.

Puntos clave

  • El Informe de Ciberseguridad 2026 de RSM Australia encontró que aproximadamente una de cada tres de las 155 organizaciones medianas y grandes encuestadas experimentó un ataque de ransomware o un intento de extorsión en el último año.
  • A pesar de esa exposición, el 97% de los encuestados aún cree que sus datos están adecuadamente protegidos, una brecha que sugiere un exceso de confianza generalizado.
  • Las organizaciones más grandes parecen estar quedando rezagadas frente a las medianas en preparación cibernética, desafiando la suposición de que presupuestos más grandes garantizan una mejor seguridad.
  • El ransomware implica cada vez más el robo de datos junto con el cifrado, lo que significa que la información personal y de salud está frecuentemente en riesgo incluso cuando no se paga un rescate.
  • Los individuos deben tomar en serio las notificaciones de brechas y reforzar la seguridad de sus cuentas personales sin importar cuán segura afirme estar una organización sobre sus defensas.

El ransomware en Australia no es un riesgo marginal limitado a un puñado de empresas desafortunadas. Es un evento estadísticamente común para las organizaciones medianas y grandes, y la brecha de confianza que RSM ha documentado es, podría decirse, tan noticiable como los propios ataques. Mantenerse informado sobre cómo se desarrollan estos incidentes y cómo responden las organizaciones a ellos sigue siendo una de las formas más sencillas de proteger sus propios datos mientras tanto.