La empresa de ciberseguridad ESET Latinoamérica detectó más de 1,700 familias de malware, es decir, software malicioso, en el Perú durante los primeros nueve meses de 2026. El reporte advierte que las micro y pequeñas empresas (mypes) figuran entre las más expuestas a estos ataques.
Rodrigo Álvarez, especialista en seguridad informática de ESET Latinoamérica, sostuvo que la cifra total no basta para medir el problema. Explicó que muchas de esas familias se venden como servicio a otros delincuentes, como ocurre con los infostealers, que extraen datos en silencio, o el ransomware, que ataca por fases. Esto hace que muchas herramientas distintas circulen entre grupos diferentes.
Los scripts maliciosos y el phishing, mensajes o marcas engañosas que suelen imitar servicios bancarios, encabezan la lista de ataques más comunes. Sin embargo, Álvarez identificó nuevas tendencias que ganaron fuerza este año.
Una de ellas es el regreso de fallas antiguas de Microsoft Office. Aunque existen parches desde hace casi una década, estas vulnerabilidades subieron del 1.3% de las detecciones mensuales en enero a más del 17% entre abril y julio en el Perú.
El especialista indicó que la piratería de Office y la falta de actualización de versiones sin soporte podrían influir, pero que la razón principal sería económica. Según explicó, estos exploits están muy documentados, vienen en kits listos para usar y enviarlos masivamente casi no cuesta nada. Por eso concentran el 91% de las detecciones de exploits, entre cerca de 400 familias distintas.
Otro tipo de malware que creció son los downloaders, con más de 120 familias identificadas. ESET atribuyó su alza en el tercer trimestre a la aparición de dos nuevos loaders, ModiLoader y LausivLoader, que sumaron 121 detecciones entre enero y junio y más de 15,700 entre julio y septiembre.
En el ámbito empresarial, el SMB Cyber Readiness Index 2026 de ESET, que encuestó a 4,400 pequeñas y medianas empresas de 13 países, reveló que el 45% sufrió al menos un incidente de seguridad en el último año. El phishing fue la causa principal (26%), seguido por las vulnerabilidades sin parchear (23%), un patrón que coincide con la telemetría del Perú.
A nivel regional, el ESET Security Report 2026 de Latinoamérica señala que el 52.7% de las empresas de la región detectó al menos un intento de ataque durante el último año.
Con las mypes como más del 99% del tejido empresarial peruano, Álvarez planteó cuatro razones que explicarían su vulnerabilidad. La primera es la falta de recursos y de personal dedicado a la seguridad, lo que deja para después tareas como actualizar sistemas, revisar accesos y capacitar al equipo.
La segunda es que muchas tienen credenciales o sistemas expuestos sin saberlo. Álvarez recordó que varias guardan contraseñas en el navegador, justo lo que buscan los infostealers, y que ESET detectó más de 2,400 webshells, scripts maliciosos que suelen indicar que alguien ya ingresó por un servidor expuesto a internet.
La tercera razón es el uso intensivo del correo y de servicios cotidianos, como las aplicaciones de mensajería, para sostener sus operaciones. ESET estima que el correo está detrás de al menos el 23% de las detecciones de malware en el Perú. La cuarta es la creencia de que ser una empresa pequeña la libra de ser blanco de los ciberdelincuentes.
Sobre la inteligencia artificial, un estudio de PwC indicó que, pese a barreras para su uso generalizado, las empresas peruanas invierten más que la región en proteger sus datos. Álvarez señaló que no se puede vincular directamente el uso de la IA con un mayor riesgo, pero sí puede ser un gran facilitador para los atacantes, al abaratar y acelerar la creación de engaños más convincentes.
Más que el número total, lo que nos interesa es cómo se reparte.
Rodrigo Álvarez, especialista en seguridad informática de ESET Latinoamérica
Mandarlos de forma masiva cuesta casi nada, así que, aunque funcionen pocas veces sigue siendo rentable.
Rodrigo Álvarez, especialista en seguridad informática de ESET Latinoamérica
En muchas mypes no hay nadie dedicado a la seguridad y lo resuelve quien sabe un poco más de informática o computación.
Rodrigo Álvarez, especialista en seguridad informática de ESET Latinoamérica
La mayoría de estos ataques no es dirigido: es masivo y automatizado, y cae quien tenga la puerta abierta. Una mype además puede servir de puente hacia clientes o proveedores más grandes.
Rodrigo Álvarez, especialista en seguridad informática de ESET Latinoamérica
La IA generativa abarata y acelera ese tipo de trabajo para el atacante. Por eso es razonable esperar que el phishing sea cada vez más difícil de distinguir a simple vista, aunque hoy no podamos medirlo en estos datos.
Rodrigo Álvarez, especialista en seguridad informática de ESET Latinoamérica
