Las empresas enfrentan una presión creciente para fortalecer sus sistemas de seguridad informática ante el constante ataque de herramientas de inteligencia artificial capaces de identificar y explotar vulnerabilidades en menos tiempo. En este contexto, Moody’s Ratings manifiesta que las compañías con defensas cibernéticas vulnerables podrían quedar más expuestas a riesgos que afecten su perfil crediticio.
El informe publicado el pasado 19 de octubre, señala que el tiempo medio para enmendar una vulnerabilidad conocida y explotada se sitúa en 87 días, mientras que el plazo promedio entre la divulgación de una falla de software y su explotación cayó de 745 días en 2020 a 44 días en 2025. La diferencia deja en evidencia las dificultades a las que se enfrentan las empresas para responder a amenazas que se desarrollan con mayor rapidez.
La exposición ya alcanza a una medida significativa de las empresas evaluadas. Según el análisis de Moody’s, el 60% de aproximadamente 9.500 emisores calificados tenía al menos una vulnerabilidad conocida y explotada que permanecía sin corregir en sus redes durante 2025.
Más vulnerabilidades y menos tiempo para responder
El desafío no se limita a la velocidad de los ataques. Las fallas pendientes de corrección también representan un problema para los equipos de seguridad informática. Datos citados por Moody’s, correspondientes a un análisis de Qualys sobre más de 10.000 organizaciones entre los años 2022 y 2025, demuestran que la proporción de vulnerabilidades críticas que seguían sin corregirse siete días después de su identificación aumentó del 56% al 63%, pese a que el volumen de correcciones realizadas se multiplicó por 6,5.
A esta problemática se suman las estadísticas que el 82% de las organizaciones mantiene vulnerabilidades sin resolver durante más de un año, frente al 74%, datos registrados en 2025, según Veracode.
La incorporación de la inteligencia artificial al desarrollo de software puede incrementar el problema. De acuerdo con la misma fuente, los modelos de IA introducen fallas de seguridad consideradas riesgosas en el 44% de las tareas de programación evaluadas. Esto añade nuevas exigencias a equipos que ya deben gestionar un volumen importante de vulnerabilidades.
Los agentes autónomos, por su parte, pueden operar de forma continua, probar múltiples vías de acceso y ejecutar tareas con una intervención humana limitada. Aunque las capacidades más avanzadas todavía enfrentan restricciones técnicas y de costos, Moody’s considera que su expansión podría facilitar ataques a una mayor variedad de organizaciones, incluidas pequeñas y medianas empresas.
La seguridad informática también incide en el perfil financiero
Para las empresas, las consecuencias de un incidente cibernético pueden ir más allá de la pérdida de información. Las interrupciones operativas, los costos de recuperación y las dificultades para mantener la continuidad del negocio pueden afectar los ingresos y debilitar la posición financiera de una organización.
En ese contexto, Moody’s sostiene que la resiliencia cibernética será un factor cada vez más relevante para evaluar la calidad crediticia. Las compañías que mantienen prácticas deficientes de actualización de sistemas y acumulan vulnerabilidades podrían quedar en una posición más desfavorable, especialmente cuando operan redes digitales extensas o dependen de infraestructura tecnológica antigua y proveedores externos.
El informe identifica una exposición elevada en los sectores de educación, medios de comunicación y telecomunicaciones, donde coinciden un mayor riesgo de ataques y debilidades en las defensas. La banca, los seguros y las empresas de software también continúan entre los objetivos de los atacantes, aunque sus presupuestos de seguridad pueden contribuir a mitigar parte del riesgo.
La inteligencia artificial también puede fortalecer las defensas
Moody’s advierte que la inteligencia artificial no representa únicamente una amenaza. Estas herramientas también pueden ayudar a detectar actividades sospechosas, priorizar vulnerabilidades y acelerar las correcciones, además de incorporar controles de seguridad desde las primeras etapas del desarrollo de software.
Sin embargo, la automatización tiene límites. El informe cita un estudio de Cobalt según el cual el 78% de los equipos de seguridad consultados afirmó que las herramientas automatizadas de análisis habían pasado por alto vulnerabilidades críticas. Además, una corrección aplicada de forma incorrecta puede provocar interrupciones en sistemas operativos o afectar funciones esenciales del negocio.
Por este motivo, la implementación de soluciones automatizadas requiere controles y validación humana. Para Moody’s, las empresas con programas de actualización consolidados y capacidad para invertir en sus defensas estarán mejor posicionadas para responder a la evolución de las amenazas, mientras que aquellas que arrastran debilidades podrían ampliar su exposición al riesgo crediticio.
El análisis es global y no presenta indicadores específicos para Paraguay. Sin embargo, plantea un desafío para la gestión empresarial: la ciberseguridad deja de ser exclusivamente una cuestión tecnológica y pasa a formar parte de los factores que pueden incidir en la continuidad operativa y la solidez financiera de una compañía.