México, en la mira de la ciberdelincuencia potenciada por IA: un gobierno que llega tarde a su propia defensa
Imagen: AdadiaCarbon | https://www.deviantart.com/adadiacarbon
Por Víctor Ruiz, fundador de SILIKN, CyberOps Associate (CCNA CyberOps), CompTIA Security+ ce Certification, Instructor Certificado en Ciberseguridad (CSCT™), NIST Cybersecurity Framework 2.0 Certified Expert (CSFE), (ISC)² Certified in Cybersecurity℠ (CC), EC-Council Ethical Hacking Essentials (EHE) Certified, EC-Council Certified Cybersecurity Technician (CCT), Ethical Hacking Certified Associate (EHCA), Cisco Ethical Hacker & Cisco Cybersecurity Analyst, Coordinador de la Subcomisión de Ciberseguridad de COPARMEX Querétaro y Líder del Capítulo Querétaro de la Fundación OWASP.
Una carta abierta firmada en agosto por más de un centenar de organizaciones del sector de inteligencia artificial —entre ellas OpenAI, Anthropic y Hugging Face— advirtió que en los próximos meses la mejora acelerada de los modelos de lenguaje facilitará ataques cibernéticos más rápidos, más baratos de ejecutar y más difíciles de detectar contra los servicios públicos de los que dependen las sociedades modernas: hospitales, redes de telecomunicaciones, sistemas de agua y administraciones locales. El documento, que llama a los gobiernos a coordinar acciones, compartir inteligencia y financiar con urgencia la ciberdefensa de las instituciones con menos recursos, no es una hipótesis abstracta para México. Es, más bien, una descripción anticipada de lo que ya está ocurriendo en el país.
La advertencia llega firmada, entre otros, por compañías que han reconocido públicamente que sus propios sistemas de inteligencia artificial fueron usados —o burlados— con fines maliciosos. Anthropic reveló que modelos de su asistente Claude lograron acceder a internet y vulnerar los sistemas de organizaciones durante pruebas de seguridad, mientras que agentes de OpenAI protagonizaron un incidente similar contra la plataforma Hugging Face. Si las propias creadoras de estas herramientas admiten perder el control momentáneo de sus modelos en entornos controlados, la pregunta que debería inquietar a cualquier autoridad mexicana es qué ocurre cuando esas mismas capacidades caen en manos de grupos criminales organizados que ya operan con total impunidad dentro del territorio nacional.
Porque México no llega a este momento desde una posición de fortaleza. Distintas mediciones — entre ellas la de la unidad de investigación de SILIKN — coinciden en que el país se ubica entre los dos o tres destinos más atacados de toda América Latina, con más de 40 mil millones de intentos de intrusión registrados tan solo en el primer semestre reciente y con más de ocho de cada diez organizaciones mexicanas reportando al menos un incidente de seguridad en los últimos doce meses, una proporción superior al promedio global.
Instituciones como Pemex, la Secretaría de la Defensa Nacional, el Instituto Nacional Electoral y el Servicio de Administración Tributaria ya figuran en la lista de víctimas de brechas relevantes. La inteligencia artificial no inaugura esta vulnerabilidad: la multiplica. De acuerdo con reportes de la industria, el tiempo que tarda un atacante en pasar del acceso inicial al control de un sistema se ha reducido a menos de media hora gracias al uso de IA ofensiva, con casos documentados de apenas segundos.
Frente a ese panorama, la respuesta institucional mexicana ha sido, en el mejor de los casos, tardía, y en el peor, contradictoria. El país apenas transita hacia su primer Plan Nacional de Ciberseguridad y una eventual Ley General en la materia, impulsados por la recién creada Agencia de Transformación Digital y Telecomunicaciones. El diagnóstico de especialistas del sector apunta a que el problema de fondo no es la ausencia de marcos normativos, sino la falta de capacidades técnicas y de ejecución para ponerlos en práctica, además de vacíos en la definición de responsabilidades entre dependencias, sector privado y academia que dejan sin mecanismos claros de coordinación ni consecuencias por incumplimiento.
Ese diagnóstico se vuelve más grave a la luz del presupuesto. Entre 2022 y 2025, al menos seis dependencias federales fueron víctimas de incidentes de ciberseguridad, y cinco de ellas, lejos de reforzar su gasto en la materia, lo recortaron. El caso de la Secretaría de Infraestructura, Comunicaciones y Transportes resulta ilustrativo: su presupuesto en informática cayó más de 85% en pocos años, pese a haber sido blanco de ataques que comprometieron sistemas y datos críticos.
La contradicción no podría ser más elocuente: mientras la ofensiva digital crece en volumen y sofisticación, la capacidad de respuesta del Estado se contrae. Solo durante el primer año de aplicación de las estrategias oficiales vigentes se bloquearon cerca de 9,800 millones de intentos de ciberataque, una cifra que más que demostrar control, retrata la magnitud de una guerra digital permanente contra el país.
A esa fragilidad institucional se suma un déficit estructural de talento. Apenas una cuarta parte de las empresas mexicanas contrata servicios especializados de protección, y solo cuatro de cada diez pequeñas y medianas empresas cuentan con protocolos de seguridad o planes de respuesta ante incidentes. La persecución penal de los ataques más sofisticados sigue siendo mínima, no por ausencia de tipos penales, sino por la falta de capacidades técnicas dentro de las propias fiscalías.
En este contexto, la irrupción de una inteligencia artificial capaz de automatizar el reconocimiento de vulnerabilidades, generar malware adaptable en tiempo real y producir campañas de phishing indistinguibles de comunicaciones legítimas no representa una amenaza futura: es un acelerador que actúa sobre una base ya débil.
El gobierno mexicano no puede seguir tratando la ciberseguridad como un asunto de comunicación de crisis o como una promesa legislativa pendiente de aterrizar. Las propias empresas que están construyendo la tecnología que amenaza con desbordar las defensas actuales han pedido explícitamente que se dote de recursos, personal y acceso a inteligencia artificial defensiva a los servicios esenciales que hoy carecen de presupuesto para protegerse: hospitales, sistemas de agua, administraciones locales.
Es difícil imaginar un llamado más directo, y más incómodo, para un Estado que en los últimos años ha optado por reducir precisamente ese tipo de inversión en las dependencias que ya han sido vulneradas. La ventana que la industria de IA describe como limitada para fortalecer las ciberdefensas no es solo una advertencia técnica: es, para México, una medida del tiempo que su gobierno todavía no ha decidido usar.
Para más información, visite: https://www.silikn.net/