Costo récord de filtraciones de datos en 2026: $4.99 millones y la sombra de la IA

Costos récord de filtraciones y la prima de la IA

Las organizaciones en Estados Unidos enfrentaron un costo promedio de $11.5 millones por filtración, más del doble del promedio global y un 11% más que en 2025 . Cada hora que una filtración permanecía sin resolverse costaba aproximadamente $1,100 .

Los ataques habilitados por IA fueron el factor de aumento de costos más significativo. Una de cada cuatro filtraciones maliciosas ahora involucra IA, un aumento del 56% respecto al año anterior, y estas filtraciones cuestan en promedio $6 millones, aproximadamente $1 millón más que el promedio global . Los tipos específicos de ataques de IA incluyen suplantación de identidad con deepfakes, malware potenciado por IA, inversión de modelos ($6.07 millones en promedio) e inyección rápida de instrucciones (prompt injection) ($5.89 millones) .

Los tiempos de detección y respuesta empeoran por primera vez en cinco años

Después de cinco años consecutivos de mejora, el tiempo medio para identificar y contener una filtración aumentó a 247 días (183 días para identificar, 64 días para contener) . Este retroceso indica que los atacantes se mueven más rápido que los defensores, comprimiendo la ventana de respuesta . Las filtraciones que duraron más de 200 días costaron $5.65 millones en promedio, en comparación con $4.32 millones para aquellas contenidas en menos de 200 días .

'Shadow AI' y fallos de gobernanza alcanzan niveles de crisis

Quizás el hallazgo más alarmante: los incidentes de 'shadow AI' (IA no autorizada) más que se duplicaron, pasando del 20% al 43% de las organizaciones afectadas . Las herramientas de IA no sancionadas y usadas sin revisión de seguridad ahora están detrás de casi la mitad de todos los incidentes .

Entre las organizaciones que sufrieron un incidente de seguridad relacionado con la IA, el 92% carecía de controles de acceso adecuados a la IA en el momento de la filtración . El 68% de las organizaciones afectadas no tenía ninguna política de gobernanza de IA . Los incidentes que involucran modelos de IA y aplicaciones basadas en IA aumentaron del 13% al 21% . El informe documenta ataques a la infraestructura de IA mediante inyección rápida de instrucciones, inversión de modelos y envenenamiento de datos . Las organizaciones que experimentaron una filtración relacionada con IA pero carecían de controles de acceso vieron costos promedio de $5.33 millones, frente a $4.70 millones para aquellas que no involucraron IA .

Respuesta de gasto: el 85% planea aumentar la inversión en seguridad

En una investigación complementaria, el 85% de las organizaciones afectadas afirmó que planea aumentar el gasto en herramientas de seguridad y gobernanza específicamente en respuesta a las amenazas de la IA de frontera . En la encuesta principal, el 64% dijo que una filtración en sí misma provocaría un aumento del gasto . Esta oleada de gasto se alinea con tendencias más amplias de la industria: Cisco, por ejemplo, reportó un crecimiento interanual del 14% en ingresos por seguridad durante el mismo período, lo que refleja una inversión empresarial acelerada en defensas conscientes de la IA .

Otros hallazgos críticos

• El compromiso de la cadena de suministro fue el mayor amplificador de costos, añadiendo $227,250 por filtración en promedio. Fue el segundo vector de ataque más común y tomó 258 días para identificar y contener .
• El sector salud siguió siendo la industria con las filtraciones más costosas, con un promedio de $6.64 millones, aunque por debajo de años anteriores .
• India registró su costo de filtración promedio más alto hasta la fecha: ₹25.5 crore ($3.05 millones), un aumento interanual del 15.9% .
• Las organizaciones que utilizan ampliamente IA y automatización para la seguridad ahorraron en promedio $1.93 millones en costos en comparación con las que no lo hacen .
• Solo el 42% de las organizaciones reportó una recuperación completa después de una filtración, frente al 35% del año anterior, pero la mayoría aún se encuentra en proceso de recuperación meses o años después del evento .

El informe de 2026 se basa en estudios de 602 organizaciones afectadas en 17 países y 17 industrias, con datos recopilados entre marzo de 2025 y febrero de 2026 .