Las pequeñas empresas se enfrentan a un panorama de ciberseguridad cada vez más complejo. Según el Business Impact Report 2025 publicado por el Identity Theft Resource Center (ITRC), más de cuatro de cada cinco pequeñas empresas sufrieron algún tipo de incidente de ciberseguridad durante el último año, un dato que refleja el creciente atractivo de este tipo de organizaciones para los ciberdelincuentes.
El informe, basado en una encuesta realizada a 662 propietarios y directivos de empresas con hasta 500 empleados, revela no solo la magnitud del problema, sino también un cambio significativo en las amenazas: los ataques impulsados por inteligencia artificial se han convertido en uno de los principales vectores de riesgo para este tipo de organizaciones.
Ocho de cada diez empresas sufrieron un incidente de seguridad
El estudio indica que el 81% de las pequeñas empresas experimentó algún tipo de ciberincidente en los últimos 12 meses. Este porcentaje incluye tanto brechas de seguridad como filtraciones de datos.
Al analizar la naturaleza de los incidentes notificados, el informe muestra que el 23% de las empresas sufrió una brecha de datos, mientras que el 25% experimentó un incidente de seguridad. Además, el 34% declaró haber sufrido ambos tipos de incidentes. Solo el 19% de los encuestados aseguró no haber experimentado ningún problema de este tipo.
Estas cifras prácticamente no han variado respecto al año anterior, lo que indica que el problema se mantiene persistentemente alto, especialmente para organizaciones con recursos limitados en materia de ciberseguridad.
El impacto económico supera los 500.000 dólares en muchos casos
Las consecuencias económicas de estos incidentes pueden ser devastadoras para organizaciones de menor tamaño. Según el informe, el 37% de las empresas afectadas declaró pérdidas superiores a los 500.000 dólares.
Dentro de ese grupo, el 28% reportó pérdidas situadas entre los 500.001 dólares y el millón de dólares, mientras que el 9% afirmó haber sufrido daños económicos superiores al millón de dólares.
Otros negocios notificaron pérdidas más moderadas. Un 25% indicó que el impacto económico fue inferior a 250.000 dólares, mientras que otro 25% situó sus pérdidas entre 250.000 y 500.000 dólares.
Aunque el aumento de empresas que superan el umbral de medio millón de dólares ha sido relativamente pequeño —apenas un punto porcentual respecto al año anterior— el informe subraya que incluso incidentes de menor escala pueden tener efectos duraderos para las pequeñas empresas, especialmente si afectan a la reputación o a la confianza de los clientes.
La inteligencia artificial emerge como nuevo motor de ataques
Uno de los cambios más relevantes detectados en el informe es el papel creciente de la inteligencia artificial en los ciberataques.
Según los datos del estudio, el 41% de los incidentes estuvo relacionado con ataques impulsados por herramientas de inteligencia artificial, lo que refleja un cambio importante en la naturaleza de las amenazas.
Tradicionalmente, muchos incidentes en pequeñas empresas estaban vinculados a errores internos o malas prácticas de seguridad. Sin embargo, el informe muestra una mayor presencia de amenazas externas tecnológicamente avanzadas.
Los principales orígenes de los incidentes identificados por las empresas fueron:
-
Actores externos maliciosos, responsables del 43% de los incidentes.
-
Insiders maliciosos, implicados en el 42% de los casos.
-
Ataques impulsados por inteligencia artificial, presentes en el 41% de los incidentes.
Aunque las amenazas internas siguen siendo relevantes, la creciente sofisticación de los ataques externos indica que los ciberdelincuentes están utilizando cada vez más herramientas automatizadas y avanzadas para comprometer sistemas empresariales.
Menor confianza en la preparación frente a ciberataques
Otro de los hallazgos preocupantes del informe es el descenso en la confianza de las empresas respecto a su capacidad para afrontar incidentes de seguridad.
Solo el 38% de las empresas encuestadas afirmó sentirse “muy preparada” para prevenir o recuperarse de un ciberataque o una brecha de datos. Esta cifra representa una caída de 18 puntos porcentuales respecto a 2024, lo que refleja una creciente sensación de vulnerabilidad entre los responsables empresariales.
Además, el 21% se considera solo “algo preparado”, mientras que el 28% afirma estar preparado en términos generales. Un 9% reconoce que su nivel de preparación necesita mejoras, y un 4% admite no estar preparado en absoluto.
Este descenso en la percepción de preparación resulta especialmente preocupante si se tiene en cuenta el aumento de ataques impulsados por inteligencia artificial.
Caída en la adopción de autenticación multifactor
A pesar del aumento de amenazas, el informe también detecta un retroceso en la adopción de medidas básicas de seguridad.
Uno de los ejemplos más claros es la disminución en el uso de autenticación multifactor (MFA) para proteger sistemas internos.
En 2024, el 34% de las pequeñas empresas utilizaba MFA en sus sistemas internos, mientras que en 2025 esta cifra cayó hasta el 27%.
Este descenso de siete puntos porcentuales representa una vulnerabilidad significativa, ya que la autenticación multifactor se considera una de las medidas más eficaces para prevenir accesos no autorizados.
Los expertos señalan que muchos ataques exitosos contra empresas comienzan con el robo de credenciales, algo que el MFA puede mitigar de forma considerable.
