El coste medio de las filtraciones de datos en India alcanza un récord mientras la IA transforma el riesgo cibernético

El último estudio de IBM sobre filtraciones llegó a Google News con una cifra contundente: el coste medio de una filtración para las organizaciones de India ascendió a 255 millones de INR en 2026.

Esto equivale a 25,5 crore de INR y representa un aumento del 15,9 por ciento frente a los 220 millones de INR de 2025. IBM lo describe como el promedio más alto registrado en India por su estudio anual.

El titular es alarmante, pero la historia de fondo no se limita a que la inteligencia artificial haya encarecido todos los ciberataques. Los hallazgos de IBM describen dos efectos opuestos. Los atacantes utilizan IA para escalar el engaño y el software malicioso, mientras los defensores emplean automatización para acortar las investigaciones y controlar las pérdidas.

Esta tensión importa más que el récord en sí. Las organizaciones indias sin IA ni automatización de seguridad pagaron mucho más por filtración que las que utilizaron ampliamente estas defensas. Al mismo tiempo, el uso no controlado de IA por parte de los empleados generó otra exposición costosa.

El resultado es una competencia de seguridad entre la automatización gobernada y la adopción de IA sin gestionar. Las organizaciones no eligen entre utilizar IA o evitarla. Deciden si los atacantes, los empleados o los equipos de seguridad la utilizarán con el menor número de restricciones.

Google News se centró en un coste récord de filtraciones de datos en India

IBM estima que el coste medio de una filtración en India alcanzó los 255 millones de INR, mientras que el incidente medio también expuso más registros.

IBM publicó sus conclusiones sobre India el 3 de agosto de 2026. La empresa afirmó que la filtración media comprometió 39.500 registros, frente a los 38.200 registros de 2025.

El aumento de 1.300 registros parece modesto junto al salto de costes del 15,9 por ciento. Esta diferencia sugiere que el impacto financiero no aumentó únicamente porque las organizaciones perdieran más registros.

Los costes de una filtración pueden incluir investigación técnica, respuesta al cliente, interrupción operativa, trabajo regulatorio y pérdida de negocio. Por tanto, un incidente ligeramente mayor puede generar una factura mucho más elevada cuando la detección y la recuperación siguen siendo lentas.

La noticia original difundida a través de Google News destacó correctamente el nuevo récord. Sin embargo, los hallazgos sobre filtraciones en India contienen una comparación operativa más útil.

Las organizaciones que informaron no utilizar IA ni automatización en sus operaciones de seguridad afrontaron un coste medio por filtración de 316 millones de INR. Las que utilizaban ampliamente IA y automatización informaron de un promedio de 213 millones de INR.

Esto supone una diferencia de 103 millones de INR, o 10,3 crore de INR, entre ambos grupos. Las organizaciones con despliegues limitados promediaron 231 millones de INR.

Las cifras no demuestran que instalar un producto de seguridad automatizado elimine directamente 103 millones de INR de cada incidente futuro. El estudio de IBM es observacional, y las organizaciones con automatización madura probablemente difieren en otros aspectos.

Pueden contar con controles de identidad más sólidos, equipos de seguridad más grandes, planes de respuesta probados o inventarios de activos mejor mantenidos. Estos factores pueden influir en los costes junto con la automatización.

Incluso con esta limitación, la tendencia es difícil de ignorar. Las organizaciones con una automatización amplia informaron de costes medios inferiores a los de aquellas con despliegue limitado o inexistente.

El récord también prolonga una tendencia ascendente consolidada. IBM informó de un coste medio por filtración en India de 195 millones de INR en 2024. Sus resultados de India de 2025 elevaron esa cifra a 220 millones de INR.

El aumento de dos años, de 195 millones a 255 millones de INR, equivale aproximadamente al 30,8 por ciento. Cada estimación anual marcó un nuevo máximo dentro de la investigación de IBM en India.

Estas cifras requieren una redacción cuidadosa. Describen promedios entre las organizaciones estudiadas por IBM y el Ponemon Institute. No constituyen una contabilidad nacional de todas las filtraciones experimentadas en India.

Los incidentes menores pueden pasar inadvertidos o no notificarse. Las organizaciones que participan en investigaciones sobre filtraciones también pueden diferir de la población general.

La estimación sigue siendo valiosa porque refleja el coste organizativo de responder a incidentes reales. Muestra que la carga se extiende más allá de una base de datos robada o un servidor interrumpido.

Una filtración costosa puede consumir simultáneamente recursos jurídicos, técnicos, de comunicación y de dirección. También puede interrumpir sistemas que generan ingresos mucho después de que un atacante pierda el acceso.

Por tanto, el titular de Google News identifica el resultado visible. La cuestión más relevante es por qué algunas organizaciones absorben pérdidas mucho mayores que otras.

La IA está acelerando los ataques, pero no es la única causa

La IA está cambiando la velocidad y la escala de la actividad maliciosa, pero el phishing y los fallos habituales de control siguen proporcionando muchas vías de entrada iniciales.

IBM descubrió que el 26 por ciento de las filtraciones maliciosas estudiadas en India implicaban ataques generados por IA. La empresa afirma que esos ataques incluían técnicas que hacían la actividad maliciosa más rápida, sofisticada o fácil de escalar.

El patrón global fue similar. La investigación sobre filtraciones de 2026 de IBM indica que una de cada cuatro filtraciones maliciosas fue habilitada por IA, lo que representa un aumento del 56 por ciento respecto al año anterior.

IBM identificó la suplantación mediante deepfakes y el malware habilitado por IA como elementos destacados de ese crecimiento. La empresa estimó un coste medio global de aproximadamente 6 millones de USD para las filtraciones habilitadas por IA.

Estos hallazgos respaldan un mecanismo claro. Los sistemas generativos pueden reducir el tiempo necesario para crear mensajes convincentes, modificar código malicioso o imitar a una persona de confianza.

Un atacante ya no necesita redactar manualmente cada mensaje de phishing. La IA puede producir variaciones para distintos cargos, sectores y canales de comunicación.

La clonación de voz puede aumentar la presión al imitar a un ejecutivo, cliente o familiar. El texto generado puede eliminar los errores gramaticales evidentes que antes delataban al fraude de baja calidad.

El malware habilitado por IA también puede ayudar a los atacantes a variar el código e investigar sistemas vulnerables. Sin embargo, el acceso a la IA no produce automáticamente una intrusión exitosa.

Los atacantes aún necesitan un punto de entrada, credenciales utilizables, software explotable o una persona dispuesta a seguir una solicitud fraudulenta. Los resultados de India muestran que las vías de ataque conocidas siguen siendo fundamentales.

El phishing, incluido el phishing por voz y SMS, representó el 19 por ciento de los vectores de ataque iniciales en la muestra india de IBM. La vulneración por navegación representó el 16 por ciento, mientras que la vulneración de la cadena de suministro representó el 15 por ciento.

Una vulneración por navegación ocurre cuando visitar un sitio malicioso o comprometido expone al usuario o dispositivo a un ataque. Una vulneración de la cadena de suministro alcanza al objetivo a través de software, proveedores o relaciones de servicio de confianza.

Estas categorías muestran por qué afirmar que «la IA causó el récord» es demasiado amplio. La IA puede mejorar el mensaje, el momento o la escala del atacante, pero los controles débiles de identidad y software siguen determinando si tiene éxito.

El phishing sigue siendo especialmente importante porque se dirige al juicio humano. Los empleados reciben mensajes que se parecen a solicitudes rutinarias, advertencias de contraseña, aprobaciones de pago o documentos compartidos.

Un mensaje generado no necesita engañar a todo el mundo. Basta con que llegue a una persona cuyo acceso proporcione un siguiente paso útil.

Esto dificulta la preparación defensiva. Los equipos de seguridad deben detectar la comunicación inicial, prevenir el abuso de credenciales y advertir comportamientos inusuales después de que se produzca el acceso.

Las autoridades de ciberseguridad de India también han documentado actividad persistente de ransomware y técnicas de ataque en evolución. El informe sobre ransomware de CERT-In describe tácticas observadas en el ciberespacio indio durante 2024.

El ransomware no es idéntico a todas las filtraciones del estudio de IBM. Ofrece una referencia importante porque combina intrusión, interrupción del negocio, robo de datos y presión para recuperarse.

La IA puede amplificar varias etapas sin sustituir el manual de ataque subyacente. Puede mejorar el reconocimiento, personalizar los señuelos o ayudar a un atacante a comunicarse a mayor escala.

Por ello, los responsables de seguridad deberían resistirse a dos conclusiones engañosas. La primera es que la IA ha creado un entorno de amenazas completamente desconocido. La segunda es que los controles existentes bastan sin modificaciones.

La realidad se sitúa entre ambas afirmaciones. La identidad, el parcheado, la segmentación y la planificación de respuesta siguen importando, pero los equipos deben operar ahora frente a adversarios más rápidos y adaptables.

La verdadera competencia es entre automatización gobernada e IA sin gestionar

La división más marcada en los datos de IBM no se da entre usuarios y no usuarios de IA, sino entre despliegues de seguridad controlados y actividad de IA fuera de la supervisión organizativa.

Solo el 32 por ciento de las organizaciones del estudio indio informó de un uso amplio de IA y automatización de seguridad. Otro 36 por ciento informó de un uso limitado, mientras que el 32 por ciento no informó de ningún uso.

La automatización puede conectar señales de seguridad que, de otro modo, los humanos inspeccionarían por separado. Puede priorizar actividad sospechosa, enriquecer alertas y activar pasos de contención predefinidos.

Estos sistemas no eliminan a los analistas del proceso. Su principal valor consiste en reducir el tiempo dedicado a recopilar pruebas y ejecutar respuestas repetitivas.

Los datos temporales de IBM ilustran el problema. Las organizaciones sin IA ni automatización de seguridad tardaron una media de 236 días en identificar una filtración.

Las organizaciones con automatización extensa tardaron 175 días. Esto representa una diferencia de 61 días antes de la identificación.

La contención produjo un resultado menos intuitivo. Las organizaciones sin automatización promediaron 75 días para contener una filtración, frente a 81 días de los usuarios extensivos.

Esta diferencia de seis días impide afirmar de forma simplista que la automatización aceleró todas las etapas. La identificación mejoró sustancialmente, mientras que el tiempo de contención informado no siguió el mismo patrón.

Varios factores pueden explicar ese resultado. Las organizaciones altamente automatizadas pueden tener entornos más grandes, infraestructuras más complejas o incidentes que requieren una validación extensa antes de una contención completa.

Los datos disponibles públicamente no aíslan estas posibilidades. Por ello, respaldan una conclusión más limitada: la automatización extensa se correlacionó con una identificación más temprana y un menor coste total.

La detección temprana importa porque los atacantes pueden ampliar el acceso durante el tiempo que transcurre entre la intrusión y su descubrimiento. Pueden inspeccionar sistemas internos, localizar registros sensibles y establecer persistencia adicional.

La fuerza opuesta es la shadow AI, es decir, el uso de aplicaciones de IA por parte de empleados sin aprobación ni supervisión organizativa. IBM afirma que su presencia añadió una media de 17,9 millones de INR a los costes de filtraciones en India.

La shadow AI se situó entre los tres principales factores que aumentaron los costes en India, junto con el incumplimiento normativo y la migración a la nube. Esto sitúa la actividad de IA de los empleados dentro del debate sobre la economía de las filtraciones, no solo en el ámbito de las políticas laborales.

El riesgo aparece cuando el personal envía material sensible a herramientas externas, conecta aplicaciones no aprobadas o autoriza sistemas con acceso excesivo. Los equipos de seguridad pueden tener dificultades para proteger datos cuyo movimiento no pueden ver.

El problema también incluye software empresarial aprobado que añade discretamente funciones generativas. Un registro de compras puede identificar la aplicación principal, pero pasar por alto cada modelo integrado o flujo de datos externo.

Prohibir todas las herramientas de IA probablemente no resolverá esta exposición. Los empleados suelen recurrir a servicios no autorizados cuando los flujos de trabajo aprobados siguen siendo más lentos o menos útiles.

Una prohibición puede desplazar la actividad aún más lejos de la supervisión. También puede impedir que los equipos de seguridad sepan qué tareas están impulsando la adopción.

La gobernanza ofrece un contrapeso más práctico. Las organizaciones necesitan un inventario fiable de aplicaciones de IA, identidades, acceso a datos y servicios conectados.

También necesitan reglas que diferencien la asistencia de bajo riesgo del procesamiento sensible. Redactar textos genéricos de marketing no es lo mismo que cargar registros de clientes o código fuente confidencial.

Por tanto, el principal adversario está claro. La automatización gestionada brinda visibilidad y velocidad a los defensores, mientras que la IA no gestionada crea rutas de acceso ocultas y un manejo incierto de los datos.

Ambos bandos utilizan una tecnología subyacente similar. La diferencia radica en la autorización, la supervisión y la rendición de cuentas.

Lo que las cifras de IBM no demuestran

El informe de IBM identifica asociaciones sólidas, pero no demuestra que la IA por sí sola haya provocado el aumento del 15,9 por ciento en los costes de India.

El estudio procede de IBM, una empresa que vende productos de seguridad, automatización, nube e IA. Eso no invalida sus conclusiones, pero los lectores deben reconocer el contexto comercial.

IBM y el Ponemon Institute basan el informe en organizaciones que sufrieron brechas. El resumen público no convierte los resultados en un experimento controlado.

Las organizaciones con automatización madura ya pueden contar con una gobernanza más sólida y mayores presupuestos de seguridad. Estas ventajas pueden influir de manera independiente en la velocidad de detección y el coste de las brechas.

También puede ocurrir lo contrario. Las grandes organizaciones con sistemas complejos tienen más probabilidades de adquirir automatización y, al mismo tiempo, presentar objetivos más amplios para los atacantes.

Los costes medios pueden ocultar diferencias considerables entre tipos de incidentes y sectores. Una brecha que afecte a un banco no generará la misma carga de respuesta que una que afecte a un proveedor de software más pequeño.

IBM concluyó que las organizaciones de servicios financieros de India registraron el mayor coste medio por brecha, con INR 409 millones. El sector tecnológico le siguió con INR 357 millones, mientras que las comunicaciones promediaron INR 345 millones.

Estas brechas sectoriales importan porque cada industria maneja datos distintos y afronta restricciones operativas diferentes. Las organizaciones financieras también gestionan obligaciones regulatorias y servicios donde el tiempo de inactividad tiene consecuencias inmediatas.

Por tanto, la brecha media en India no debería convertirse en una estimación presupuestaria universal. Una organización concreta debe considerar sus datos, infraestructura, exposición legal y dependencias operativas.

La expresión “ataque generado por IA” también requiere interpretación. Puede abarcar técnicas distintas, desde contenido de phishing generado hasta malware modificado con ayuda de IA.

Esa categoría no implica necesariamente que un sistema autónomo planificara y ejecutara toda la brecha. Los atacantes humanos siguen eligiendo objetivos, validando accesos y persiguiendo sistemas valiosos.

Del mismo modo, la asociación de costes de INR 17,9 millones vinculada a la IA en la sombra no demuestra que cada chatbot no autorizado provoque una brecha. La IA en la sombra señala un problema de visibilidad y gobernanza.

Las organizaciones con un uso no aprobado generalizado también pueden tener adquisiciones fragmentadas, una gestión de accesos débil o políticas de datos poco claras. Estas condiciones pueden aumentar el riesgo incluso antes de que la IA entre en el flujo de trabajo.

Las cifras de tiempo exigen la misma cautela. La automatización extensa se correlacionó con una identificación 61 días más temprana, pero la contención tardó seis días más en los resultados publicados para India.

Esa inconsistencia debe permanecer visible. Eliminarla convertiría un conjunto de datos matizado en marketing.

La interpretación más sólida no es que la automatización garantice una respuesta más rápida en cada etapa. Es que las organizaciones que la utilizaron ampliamente reportaron menores costes y una identificación mucho más temprana en general.

La comparación global también complica la historia de India. IBM informó de un coste medio global por brecha de USD 4,99 millones, un 12 por ciento más que el año anterior.

Las brechas habilitadas por IA promediaron aproximadamente USD 6 millones a nivel mundial. Sin embargo, las diferencias geográficas, regulatorias, laborales y de infraestructura impiden una conversión directa en una referencia para India.

Por eso la cobertura original sobre costes récord funciona mejor como punto de partida. No debería ser el nivel final de análisis.

La conclusión más defendible es que la IA se ha convertido en un factor medible en las brechas. Refuerza algunos ataques, crea nuevas rutas de datos no gestionadas y ayuda a los defensores maduros a controlar los costes.

Cuánto contribuyó cada mecanismo al récord de India sigue siendo incierto. Las cifras públicas de IBM no proporcionan un desglose causal de todo el aumento anual de INR 35 millones.

Los sectores más expuestos de India enfrentan presiones diferentes

Los servicios financieros, la tecnología y las comunicaciones afrontan los costes medios más elevados, pero cada sector llega a ese resultado a través de riesgos operativos distintos.

Las organizaciones de servicios financieros de India registraron un coste medio por brecha de INR 409 millones. Esto supuso INR 154 millones por encima de la media general de India.

Los bancos, aseguradoras, proveedores de pagos y plataformas de inversión gestionan identidades, transacciones y registros altamente sensibles. Una intrusión puede desencadenar simultáneamente respuesta técnica, protección de clientes y trabajo regulatorio.

Estas organizaciones también dependen de redes complejas de proveedores y servicios. Una intrusión en la cadena de suministro puede eludir controles centrados únicamente en ataques externos directos.

Las instituciones financieras no pueden simplemente desconectar todos los sistemas afectados sin considerar el acceso de los clientes y la continuidad de las transacciones. Esa restricción puede encarecer la contención.

Las empresas tecnológicas registraron el segundo promedio más alto, con INR 357 millones. Su riesgo suele extenderse más allá de los registros de clientes, hasta el código fuente, las credenciales, la infraestructura de desarrollo y los servicios en la nube conectados.

Una cuenta de desarrollador comprometida puede exponer varios entornos. Un atacante puede pasar de una herramienta de colaboración a un repositorio, un sistema de despliegue o una cuenta en la nube.

Las herramientas de IA añaden otra vía porque los desarrolladores las utilizan para generar código, depurar y elaborar documentación. El código sensible o los datos de configuración pueden salir de los límites aprobados a través de un asistente no autorizado.

Las empresas tecnológicas también crean productos utilizados por otras organizaciones. Por tanto, una intrusión puede convertirse en un incidente de cadena de suministro que se extienda más allá de la víctima original.

Las organizaciones de comunicaciones promediaron INR 345 millones. Operan infraestructura que conecta a clientes, empresas y servicios públicos.

Una brecha puede involucrar información de abonados, acceso a la red o interrupción del servicio. La carga de recuperación aumenta cuando una organización debe proteger las pruebas mientras mantiene una conectividad crítica.

Estas diferencias muestran por qué una política genérica de seguridad de IA es insuficiente. Cada sector necesita controles alineados con sus sistemas más valiosos y sus rutas de ataque más probables.

Las organizaciones financieras deberían supervisar de cerca la identidad, la autorización de transacciones y el acceso de terceros. Las empresas tecnológicas necesitan una protección sólida alrededor de repositorios, sistemas de compilación, secretos e identidades en la nube.

Los proveedores de comunicaciones deben combinar salvaguardas de datos de clientes con seguridad operativa de red. En los tres sectores, los planes de respuesta a incidentes deben tener en cuenta la continuidad del servicio.

El phishing atraviesa estos entornos porque todos los sectores dependen de la comunicación humana. La IA facilita la personalización de la suplantación de identidad, pero las organizaciones aún pueden reducir su impacto.

La autenticación resistente al phishing limita la utilidad de las contraseñas robadas. Los controles de acceso privilegiado reducen a qué puede llegar una identidad comprometida.

La segmentación de red puede evitar que una intrusión inicial se convierta en un incidente que afecte a toda la organización. Los procedimientos de respuesta probados reducen la incertidumbre cuando los equipos deben actuar con rapidez.

La notificación por parte de los empleados sigue siendo importante porque la detección automatizada no captará todos los mensajes. Un trabajador que informa pronto sobre una solicitud sospechosa puede aportar la primera señal fiable.

La presión sobre estos sectores es tanto inmediata como a largo plazo. Las brechas actuales aumentan los costes de respuesta, mientras que la expansión de la adopción de IA crea más aplicaciones, identidades y conexiones de datos que gobernar.

Por tanto, los programas de seguridad deben crecer al mismo ritmo que el despliegue empresarial de IA. Añadir asistentes y agentes sin actualizar los controles de identidad y datos amplía la superficie de ataque más rápido de lo que los defensores pueden cartografiarla.

Tres señales mostrarán si la curva de costes está cambiando

Los datos sobre brechas del próximo año deberían revelar si las organizaciones indias están convirtiendo el gasto previsto en seguridad en mejoras de control medibles.

La primera señal es la adopción amplia de IA y automatización de seguridad. IBM concluyó que solo el 32 por ciento de las organizaciones indias había alcanzado ese nivel en 2026.

Casi el 73 por ciento supuestamente planeaba reforzar las herramientas de seguridad y la gobernanza después de sufrir una brecha. Las investigaciones futuras deberían mostrar si esa intención se traduce en un despliegue más amplio.

Si la adopción amplia aumenta mientras disminuyen los costes medios por brecha y los tiempos de identificación, el argumento de IBM sobre la automatización ganará respaldo. Si los costes siguen aumentando, será necesario examinar más de cerca la calidad del despliegue.

Las organizaciones no deberían considerar una herramienta aislada de alertas como automatización madura. La medida útil es si los flujos de trabajo de detección, investigación, control de identidad y respuesta operan conjuntamente.

La segunda señal es el coste y la prevalencia de la IA en la sombra. IBM la situó entre los tres principales amplificadores de costes en India, añadiendo INR 17,9 millones cuando estaba presente.

Una reducción sugeriría que las organizaciones están obteniendo visibilidad sobre las aplicaciones de los empleados y los datos conectados. Un crecimiento continuado mostraría que la adopción sigue superando a la gobernanza.

La métrica importante no es simplemente cuántas herramientas de IA usan los empleados. Es cuántas manejan información sensible sin identidades aprobadas, normas de retención ni supervisión.

Las organizaciones deberían vigilar las aplicaciones conectadas mediante cuentas personales. También deberían seguir las funciones de IA añadidas a software existente después de la revisión de seguridad original.

La tercera señal es el equilibrio entre el phishing y las técnicas más recientes habilitadas por IA. El phishing siguió siendo el principal vector inicial en India, con el 19 por ciento, pese al rápido crecimiento de los ataques asistidos por IA.

Si el phishing conserva esa posición, la protección de identidad y la verificación de empleados seguirán siendo las prioridades de defensa más prácticas. El gasto en seguridad de IA no puede sustituir esas bases.

Si la suplantación mediante deepfakes, el malware habilitado por IA o los ataques contra modelos de IA aumentan de forma pronunciada, los equipos de seguridad necesitarán controles de detección y acceso más especializados.

Ese cambio reforzaría el argumento de que la IA está modificando la estructura del panorama de amenazas. Una participación estable de los vectores de ataque sugeriría que principalmente está acelerando métodos conocidos.

Los lectores que conozcan la historia a través de Google News deberían seguir estas tres medidas en lugar de una media anual. La cifra del titular describe un daño ya absorbido.

Los indicadores más útiles revelan si las organizaciones están reduciendo el tiempo de permanencia de los atacantes, gobernando el uso de IA y evitando que una identidad robada alcance sistemas críticos.

Para los líderes tecnológicos, la acción inmediata es comparar cada despliegue empresarial de IA con su cobertura de seguridad. ¿Quién es responsable de la aplicación, a qué datos puede acceder y qué identidad autoriza sus acciones?

Para los empleados y trabajadores del conocimiento, la pregunta es igual de concreta. ¿Existe un flujo de trabajo aprobado para la información que se introduce en un sistema de IA?

El récord de INR 255 millones de India no demuestra que las organizaciones deban retirarse de la IA. Muestra que la adopción sin visibilidad genera costes, mientras que la automatización gestionada puede mejorar la posición defensiva.

El próximo titular de Google News no debería juzgarse solo por si la media vuelve a aumentar. Observe si se expande la automatización amplia, disminuyen los costes de la IA en la sombra y el phishing pierde su posición como la puerta de entrada más fácil.