471 millones de avisos de brecha en seis meses

En todo 2025 se enviaron 297.5 millones de avisos de brecha de datos a personas afectadas.

En los primeros seis meses de 2026 se enviaron 471 millones.

No es un aumento. Es el año pasado completo, superado antes de julio, con la mitad del calendario por delante.

Los números, en orden

CNBC publicó el 14 de agosto un análisis de los datos del Identity Theft Resource Center (ITRC), que lleva el conteo público más consistente de compromisos de datos en Estados Unidos. Fui a la fuente original para verificar las cifras. Estas son:

Ese último dato es el que menos titulares genera y el que más me preocupa. Explico por qué más abajo.

La brecha de datos ya no crece igual que el número de brechas

Fíjate en la relación entre los dos números principales. Los compromisos subieron apenas un 4% contra el año pasado. Los avisos a víctimas se multiplicaron.

Eso significa que no hay más ataques: hay ataques que alcanzan más gente por evento. Un solo compromiso en una plataforma que agrega datos de miles de organizaciones produce más víctimas que cien ataques a empresas individuales.

Es la consecuencia directa de la concentración. Tu empresa puede no ser atacada nunca y aparecer igual en la lista, porque el proveedor de nómina, el sistema escolar o la plataforma de RRHH que usas sí lo fue.

Dónde entra la IA

El dato duro no viene del ITRC sino de IBM, que publicó su informe anual de costo de brechas a fines de julio. Entre marzo de 2025 y febrero de 2026:

• Una de cada cuatro brechas maliciosas fue habilitada por IA, un aumento del 56% contra el año anterior.
• Esas brechas costaron en promedio $6 millones, cerca de un millón más que el promedio global de $4.99 millones.
• El tipo de ataque dominante fue la suplantación con deepfakes y el malware asistido por IA.

Y el contrapeso, que casi nadie cita: las organizaciones que reportaron usar IA y automatización en sus operaciones de seguridad redujeron el costo de sus brechas en cerca de $2 millones en promedio. Una de cada cuatro organizaciones todavía no adoptó ninguna de esas herramientas.

Dos datos más del mismo informe que dicen mucho sobre el estado real de las cosas: solo el 37% de las organizaciones que sufrieron una brecha cifra sus datos sensibles tanto en reposo como en tránsito. Y apenas el 34% tiene visibilidad de sus activos criptográficos.

Es decir: dos tercios de las empresas que fueron comprometidas no tenían cifrado completo. Eso no es un problema de IA. Es un problema de higiene básica que la IA ahora hace más rentable de explotar.

El insider que se va molesto

El salto de 3 a 21 incidentes de insiders maliciosos es proporcionalmente el cambio más grande del informe, y tiene dos causas identificadas: despidos en el sector tecnológico y un esquema de trabajadores remotos falsos vinculado a Corea del Norte, donde operativos consiguen empleo legítimo en empresas occidentales.

Para una pyme regional el segundo escenario suena lejano. El primero no.

La pregunta operativa es simple y casi nadie puede responderla rápido: cuando alguien sale de tu empresa hoy, ¿cuánto tiempo pasa hasta que pierde acceso a todo? No al correo. A todo: el CRM, el repositorio de código, la cuenta compartida de la herramienta que alguien contrató con tarjeta personal, el grupo de WhatsApp donde se comparten credenciales.

Si la respuesta es «depende de si IT se enteró», ya tienes el hallazgo.

Solo el 24% de los avisos de brecha explica cómo ocurrió el ataque. Es el porcentaje más bajo de la historia del registro — y significa que la industria está perdiendo su mecanismo de aprendizaje colectivo.

Cada aviso sin vector es una lección que nadie puede usar.

Cuando el atacante mejora con IA a velocidad industrial —algo que el lanzamiento de GPT-5.6-Cyber vuelve mucho más concreto— y el defensor pierde acceso a información sobre cómo lo atacaron, la asimetría no crece por capacidad técnica. Crece por opacidad.

Como dijo James Lee, presidente del ITRC, sobre el número creciente de brechas: no parece estar desacelerando.

Tres cosas concretas, en orden de retorno

Nada de esto requiere presupuesto nuevo.

1. Haz una lista de terceros que tienen datos de tus clientes o empleados. Nómina, contabilidad, RRHH, marketing, el CRM. La mayoría de las empresas no la tiene escrita. Sin esa lista no puedes ni enterarte de que te afectó una brecha ajena.
2. Define y cronometra tu proceso de baja de empleado. Un checklist con todos los sistemas y un responsable. Mide cuánto tarda hoy en ejecutarse completo.
3. Cifra en reposo y en tránsito lo que sea sensible. Si estás en el 63% que no lo hace completo, ese es el trabajo de mayor retorno disponible ahora mismo — y en Panamá tiene además implicaciones bajo la Ley 81 de protección de datos personales.

Las tres son aburridas. Las tres mueven el número.

Si tuvieras que escribir hoy la lista de todos los terceros que guardan datos de tus clientes, ¿en cuánto tiempo la tendrías completa?

Esa respuesta es una medida bastante honesta de tu exposición real.