1. Fuimos a leer los avisos originales del «octubre negro», y casi ningún número coincide
Durante la segunda quincena de octubre circuló que la ciberseguridad vivía sus peores días y que una ofensiva de agentes de inteligencia artificial estaba golpeando Internet. Leí los avisos oficiales y los informes de quienes investigaron cada caso, y la mayoría de las cifras que se repitieron no está en ellos.
«2,250 organizaciones comprometidas»: Microsoft dice intentos de inicio de sesión en 2,250 inquilinos, y no da un número de comprometidas. «Más de cien sitios comprometidos», con empresas nombradas: NorForge habla de proyectos de ataque, no publica recuento y no nombra a ninguna empresa. «El 70% de Internet afectado»: ese 70% es la cuota de uso de PHP, no un conteo de sitios vulnerables, que nadie ha hecho. «Millones de intentos», de Cloudflare: en su blog no hay ninguna cifra.
Pero sí hay algo que atender, y es concreto. El 21 de octubre PHP corrigió dos vulnerabilidades críticas que permiten ejecutar código sin necesidad de contraseña. Y lo que las hace distintas: están en el motor, no en tu sitio. Cloudflare lo dice sin rodeos, actualizar el código o los plugins no las corrige. Hasta un sitio mínimo, sobre una versión vieja, puede ser vulnerable.
¿Por qué debe de interesarte?
Las dos lecturas llevan a acciones distintas. Si creíste la versión del pánico, la conclusión es que no hay nada que hacer contra una ola imparable de robots. Si lees el aviso, la conclusión es una pregunta de dos minutos: qué versión de PHP corre tu sitio y cuándo se actualizó. Una te paraliza, la otra te mueve.
Fuente: El artículo completo, con las ocho fuentes originales
2. Solo 5 de 19 países de América Latina obligan por ley a gestionar la ciberseguridad
Se revisaron 19 países bajo el mismo criterio, y solo cinco obligan con rango de ley: Chile, Ecuador, El Salvador, Perú y Uruguay. Otros siete tienen un proyecto en su congreso, México entre ellos.
Chile es el referente: ley marco desde abril de 2024, agencia operando desde enero de 2025, y el plazo de reporte más corto de la región, alerta temprana en 3 horas. Ecuador es el caso más reciente, con su ley de mayo de 2026 y multas de hasta 1.5% del volumen de negocios.
Para comparar: en la Unión Europea, NIS2 está en vigor en 24 de 27 Estados y la banca notifica incidentes graves en 4 horas. En Estados Unidos no hay ley integral, pero sí obligaciones vigentes: la SEC en 4 días hábiles, los bancos en 36 horas, y leyes de aviso de brechas en los 50 estados.
En México no hay ley de ciberseguridad ni obligación general de reportar. Obligan la política federal, que aplica solo al gobierno, la ley de datos personales, y las reglas de la CNBV y Banxico para bancos y fintech.
¿Por qué debe de interesarte?
Donde nadie está obligado a reportar, nadie reporta. Y entonces te enteras de lo que está pasando por el pánico en redes, cuando ya pasó, en vez de por un aviso a tiempo. La ausencia de obligación no te protege: te deja decidiendo a ciegas.
3. Y dentro de México: cero leyes estatales de ciberseguridad
El radar revisa las 32 entidades bajo un mismo criterio, con corte al 22 de octubre. El reparto: 8 entidades tienen en ley, reglamento o ley orgánica al menos un deber fuerte de ciberseguridad; 4 lo prevén de forma parcial o condicionada; 8 solo tienen deberes genéricos; 2 dependen de instrumentos del Ejecutivo sin rango de ley; y 10 no tienen instrumento estatal específico identificado.
Pero los dos números que más dicen son ceros: cero leyes estatales identificadas, en las fuentes revisadas, cuyo título u objeto principal sea la ciberseguridad, y cero que fijen un plazo en horas para notificar un incidente a una autoridad.
Sonora propone 12 horas. Aprobada así, sería la primera ley estatal identificada con un plazo en horas.
Hay un hallazgo que conviene no perder de vista: la operación puede ir por delante de la ley. El único equipo de respuesta a incidentes de un gobierno estatal registrado internacionalmente es el del Estado de México, una entidad que en el plano normativo es apenas un caso límite.
¿Por qué debe de interesarte?
Hoy nadie te obliga, y ahí está justo la oportunidad. Chile no tenía nada y hoy exige alerta en tres horas; Ecuador publicó su ley en mayo. En México hay siete proyectos en el congreso: no sabemos cuándo, pero sí hacia dónde va. Quien se pone al corriente cuando ya hay ley lo hace contra reloj, con quien esté disponible y en las condiciones que le pongan. Quien se adelanta lo hace a su ritmo y eligiendo. Por ahora el calendario lo pones tú, y ésa es toda la ventaja.
Una cosa que puedes hacer esta semana
Manda un correo de un renglón a quien administra tu sitio: «¿Qué versión de PHP corre nuestro sitio y cuándo se actualizó?»
Si la respuesta es anterior al 21 de octubre, hay trabajo pendiente. Si es PHP 8.1 o anterior, el problema es mayor que un parche: esa rama ya no recibe actualizaciones. Y si es 8.2, tienes hasta el 31 de diciembre de 2026.
Pedirlo por escrito toma dos minutos y deja constancia de cuándo preguntaste.
Marcela Mexía
Transformation Trends