Según el estudio The State of Ransomware 2026, realizado por la empresa de seguridad Sophos con 2.158 responsables de TI de empresas afectadas por un secuestro de datos —un programa que cifra los archivos de la empresa y exige un pago para devolverlos— en 17 países, el firewall —el equipo que filtra lo que entra y sale de la red de la empresa— fue la puerta de entrada en el 21% de los ataques que comenzaron por una falla explotada, una contraseña comprometida o un intento de adivinar la contraseña por ensayo y error. Es la tercera puerta más usada, detrás solo de un sistema expuesto en internet (38%) y del equipo de algún empleado (30%).
El firewall ocupa un lugar distinto al de los otros tres. Está en el borde de la red, entre la empresa e internet, y ve todo lo que cruza esa línea. Cuando un atacante logra pasar por ahí, el daño suele ser mayor: según el mismo estudio, el 59% de los pedidos de rescate en ataques que comenzaron por una falla explotada en el firewall fueron de 1 millón de dólares o más, frente al 48% de todos los pedidos registrados en la encuesta.
Ese contraste es lo que le importa a quien aprueba el presupuesto de TI. El mismo equipo comprado para ser la primera barrera puede convertirse, por sí solo, en el motivo de un pedido de rescate más alto. Y en la mayoría de las pequeñas y medianas empresas, nadie puede decir con seguridad cuándo fue la última vez que alguien revisó de verdad lo que está configurado ahí dentro.
El equipo que nadie vuelve a revisar
Un firewall suele llegar de la forma más tranquila posible: el proveedor lo instala, lo prueba, habilita algunas reglas "solo por ahora" para que la prueba funcione, y se va. El problema es que ese "por ahora" casi nunca tiene fecha de cierre. La regla queda abierta, el firmware se queda en la versión del día de la instalación, y el único momento en que alguien vuelve a tocarlo es cuando algo ya dejó de funcionar —nunca antes.
Los datos de Sophos muestran por qué ese hábito sale caro. Entre los ataques que llegaron al firewall, la contraseña comprometida fue la causa más común (41%), seguida de una falla explotada en el propio equipo (33%) y de una contraseña adivinada por ensayo y error (26%). Y es justamente el firewall el blanco preferido de ese último método: entre los cuatro tipos de equipo medidos en el estudio, fue el más atacado por este tipo de intento, con una tasa del 44%, muy por delante de sistemas expuestos, redes privadas de acceso remoto y otros dispositivos de red.
El patrón de la contraseña por ensayo y error tiene una explicación simple: si nadie limita cuántas veces alguien puede equivocarse con la contraseña del panel de administración, o desactiva el acceso remoto a ese panel cuando no se usa, el firewall se convierte en un blanco más fácil de agotar a fuerza de intentos que forzar la entrada por cualquier otro camino.
En Brasil, el mismo estudio de Sophos, en un recorte específico para el país, muestra el valor del rescate exigido en aumento: la mediana subió 63% en un año, de US$ 392.500 a US$ 640 mil. No hay un recorte específico de cuánto de eso viene de un firewall mal configurado en Brasil, pero el patrón internacional deja una pista clara: cuando la puerta de entrada es un equipo de borde descuidado, el monto exigido tiende a subir, no a bajar.
Por qué tener el equipo encendido no alcanza
La forma común de manejar el firewall es comprarlo, instalarlo y dar el asunto por resuelto. La luz del equipo está encendida, el tráfico pasa por él, y eso ya parece prueba de que la red está protegida. Es justo ese razonamiento el que los datos de Sophos desarman.
En el estudio, el 61% de las víctimas dijo que su propio firewall identificó el ataque antes de que se ejecutara el secuestro de datos. Otro 32% dijo que lo identificó recién después, cuando el daño ya había comenzado. Y el 7% reportó que el equipo nunca identificó el ataque. La diferencia entre estos tres grupos no es menor: cuando el firewall lo detectó temprano, el 50% de las empresas tuvo datos cifrados; cuando lo detectó tarde, esa cifra sube a 65%; cuando no detectó nada, llega a 71%.
Es decir: el firewall solo cumple su papel de línea de defensa cuando alguien se asegura de que esté configurado para notar lo que es raro y enviar ese aviso a una persona de verdad —no solo registrarlo en un informe que nadie abre. Un equipo con la licencia de filtrado de contenido vencida, con una regla demasiado vieja para tener sentido y sin nadie revisando lo que reporta, se comporta, en la práctica, como si no estuviera ahí.
Esa misma reacción aparece del otro lado, cuando la empresa descubre la falla y la solución termina siendo comprar otra caja más —otro equipo, otro contrato— sin cambiar la rutina de quien cuida lo que ya existe. El equipo nuevo hereda el mismo destino que el anterior: instalado, olvidado, revisado solo cuando se rompe.
Lo que tiene que existir en la práctica
Un firewall bien cuidado se sostiene en la rutina, no en la confianza ciega en la caja. Los siguientes mecanismos son lo que suele faltar cuando nadie tiene este equipo como responsabilidad fija.
Revisión periódica de cada regla abierta. Toda regla habilitada —incluida la que se abrió "solo para que el proveedor probara"— tiene una fecha de creación y un motivo. Si ya nadie recuerda por qué existe, debería haberse cerrado hace mucho.
Firmware del equipo siempre en la versión actual del fabricante. El firewall es un programa que corre en un equipo de red, y recibe corrección de seguridad como cualquier otro programa. Quedarse en la versión de la instalación es quedar expuesto a toda falla descubierta desde ese día.
Suscripción de filtrado de contenido renovada y controlada. Buena parte de la capacidad de bloquear una amenaza nueva depende de una licencia que hay que renovar —y que, al vencer, no avisa sola. Alguien tiene que seguir esa fecha como sigue cualquier otro contrato.
Alertas que llegan a una persona que las revisa de inmediato, no solo un informe guardado. Una señal de acceso fuera de lo común, o de intento repetido de contraseña, tiene que convertirse en aviso para alguien —cruzado con lo que pasa en el resto de la red— y no solo una línea más en un archivo de registro.
Un único responsable del equipo. Cuando cuatro personas distintas tocaron la configuración a lo largo de los años y ninguna documentó lo que hizo, nadie puede decir con seguridad cuál es el estado actual del firewall —solo el estado que cada uno recuerda.
Así es como trabaja Skills IT: con revisión periódica de las reglas del firewall, firmware siempre actualizado y un único responsable siguiendo cada cambio, en vez de dejar el equipo en la configuración del día de la instalación.
La ganancia para la empresa
Mantener el firewall como rutina, y no como caja olvidada, se nota en dos lugares. El primero es una probabilidad menor de que se convierta en la puerta de entrada —y, si aun así ocurre, una probabilidad mayor de que avise temprano, cuando la diferencia entre 50% y 71% de datos cifrados todavía puede inclinarse a favor de la empresa.
El segundo es financiero, y aplica a un negocio de cualquier tamaño: según el estudio de impacto de violaciones que acompaña al informe de Verizon de 2026, en los casos más extremos —el 2,5% peor— el daño de una violación de datos ya consumió más del 7% de los ingresos de la empresa afectada. Para una pequeña o mediana empresa, sin caja para absorber un golpe de ese tamaño, esa porción de los ingresos equivale a meses de nómina.
Existe además una ganancia menos visible: previsibilidad. Una empresa que conoce el estado de su propio firewall puede planificar la renovación de la licencia, el costo de la revisión y el reemplazo del equipo con anticipación —en vez de descubrir todo eso en medio de una investigación, bajo presión, sin tiempo para comparar precio o proveedor.
Cuando el firewall identificó el ataque antes de que se desplegara el ransomware, el 50% de las empresas tuvo sus datos cifrados; cuando no identificó nada, esa cifra llegó al 71%.
Una guía para empezar
Antes de asumir que el firewall está resuelto solo porque está encendido, vale la pena llevar estas preguntas a la próxima reunión de TI:
- ¿Alguien puede decir, sin buscarlo, cuándo fue la última revisión de las reglas del firewall? Si la respuesta es "hace tiempo" o "no sé", esa revisión ya debería haber pasado.
- ¿La suscripción de filtrado de contenido está activa, con una fecha de renovación anotada en algún lugar? Una licencia vencida sin que nadie lo note es lo mismo que no tener licencia.
- ¿El firmware del equipo está en la versión más reciente que indica el fabricante? Si la respuesta es "no sé cuándo fue la última actualización", esa es la próxima tarea, no una pregunta abierta.
- ¿Quién recibe la alerta del firewall cuando algo se sale de lo común, y qué hace con ella? Una alerta que solo queda registrada no protege a nadie.
- ¿Existe alguna regla abierta hace años, "solo para aquella prueba", que ya nadie recuerda por qué? Una regla sin dueño es la puerta que queda destrabada por error.
