TECNOLOGÍA · HIGH
México, segundo país más expuesto a ataques con IA y sin ley de ciberseguridad
El país registra unos 158.9 millones de intentos de ciberataque al día. La ausencia de una Ley General de Ciberseguridad y de presupuesto exclusivo deja la defensa fragmentada entre dependencias.
México suma cerca de 158.9 millones de intentos de ciberataque diarios y figura como el segundo país más expuesto a ataques impulsados por IA, con 29% de su infraestructura digital en riesgo. No existe una Ley General de Ciberseguridad ni un presupuesto exclusivo: la defensa se reparte entre Guardia Nacional, Sedena, Marina y el CNI, mientras el gasto queda en el lugar 8 regional.
México registra cerca de 158 millones 904 mil intentos de ciberataque al día y se ubica como el segundo país del mundo más expuesto a ataques impulsados por inteligencia artificial, con 29 por ciento de su infraestructura digital en situación de riesgo. El dato, difundido por firmas de ciberseguridad como FortiGuard Labs, Delta Protect, Microsoft, ESET y Check Point, no describe solo una amenaza técnica: expone un vacío de poder público. El país no cuenta con una Ley General de Ciberseguridad, carece de un presupuesto exclusivo para la materia y no tiene una agencia federal independiente que concentre la defensa digital.
La cifra equivale a 58.1 billones de intentos de ciberataque durante 2025, según el reporte global de amenazas de FortiGuard Labs. Los blancos principales son dependencias de gobierno, empresas e instituciones financieras. La defensa digital mexicana está fragmentada entre la Guardia Nacional —con su Dirección General Científica y el CERT-MX—, la Secretaría de la Defensa Nacional, la Policía Cibernética, la Marina y el Centro Nacional de Inteligencia, sin un mando civil único ni un marco legal que fije responsabilidades.
El contraste regional es elocuente. Chile, Brasil, Colombia y Uruguay cuentan con leyes marco y agencias nacionales de ciberseguridad que etiquetan fondos específicos para protección digital. México ocupa el lugar 8 en Latinoamérica en presupuesto para este rubro, por detrás de Brasil, que prevé 25,100 millones de dólares entre 2026 y 2029, y de Colombia, que destina 434 millones al año. En el Presupuesto de Egresos de la Federación no existe un monto específico para ciberseguridad: los recursos están dispersos en rubros generales de tecnología, inteligencia e infraestructura operativa de cada dependencia.
La exposición no es solo estatal: el 64 por ciento de responsables de seguridad digital de empresas considera que su vulnerabilidad aumentó por el avance y uso autónomo de la IA, y México es el segundo lugar internacional en propagación de archivos maliciosos y troyanos, según ESET. Check Point Research reporta en promedio 30,394 intentos de ciberataque diarios contra el sector empresarial y financiero. A nivel corporativo, el país supera los 3,120 millones de dólares de inversión en ciberseguridad, y 86 por ciento de las empresas planea aumentar su financiamiento en protección tecnológica, lo que sugiere que el sector privado está compensando con gasto propio lo que no cubre el erario.
El tráfico malicioso dirigido a redes mexicanas proviene principalmente de Estados Unidos, Rusia y países de Europa del Este, según estudios de Cloudflare y Kaspersky, además de China mediante bots y de Brasil con troyanos bancarios. Quien controla la infraestructura de defensa son dependencias militares y de seguridad, pero sin ley ni presupuesto etiquetado la rendición de cuentas queda difusa: no hay una autoridad civil identificable a la que exigir resultados.
La lectura
El patrón es claro: México tiene la escala económica para ser objetivo prioritario —es una de las 12 economías más grandes del mundo— pero no la arquitectura institucional para defenderse. La falta de Ley General de Ciberseguridad no es un detalle administrativo: implica que no existen obligaciones de reporte homogéneas, estándares mínimos para infraestructura crítica ni un fondo que permita investigación y capacitación. El resultado es que la defensa depende de la capacidad reactiva de corporaciones y de la buena voluntad presupuestal de cada dependencia.
La dimensión de derechos también está en juego. Los datos de millones de personas en servicios financieros, salud y gobierno quedan bajo resguardo de instituciones que no rinden cuentas ante una autoridad especializada. La ausencia de un marco unificado dificulta que la ciudadanía exija reparación cuando ocurre una filtración o un secuestro de datos.
Qué sigue
El debate pendiente es legislativo y presupuestal. Delta Protect ha planteado acelerar la creación de una Ley General de Ciberseguridad que regule también el uso de la IA como herramienta de defensa. La pregunta pública es quién quedará a cargo: si se mantiene el control militar o se crea una agencia civil independiente, y si el próximo Presupuesto de Egresos etiqueta por primera vez una partida exclusiva. Sin esos dos movimientos, la cifra de 158.9 millones de intentos diarios seguirá creciendo sin contrapeso institucional verificable.