Realidad Profesional | Revista del Consejo Profesional de Ciencias Económicas de la Provincia de Buenos Aires y su Caja de Seguridad Social
Ciberseguridad en estudios contables:
Cómo cambian las amenazas en tiempos de IA
Durante años, proteger un estudio contable parecía pasar por evitar correos fraudulentos y cuidar las contraseñas. Hoy, las vulnerabilidades del software, los proveedores externos y el uso de inteligencia artificial sin controles amplían los riesgos. A partir del informe DBIR 2026 de Verizon, analizamos cómo evolucionan las amenazas y qué medidas pueden adoptar los profesionales para proteger la información de sus clientes.
Un ciberataque a un estudio contable puede comenzar con una falla de software sin corregir, un proveedor comprometido o una contraseña robada. El informe DBIR 2026 de Verizon revela cómo están cambiando las modalidades de ataque y advierte sobre el crecimiento de los riesgos vinculados con vulnerabilidades informáticas, ransomware y proveedores tecnológicos externos. A estas amenazas se suma un riesgo diferente: el denominado shadow AI, el uso de herramientas de inteligencia artificial sin autorización o supervisión, que puede exponer información confidencial de los clientes. En esta nota, analizamos cómo estos riesgos pueden afectar el trabajo cotidiano de los estudios contables, comprometer la información que administran e incluso interrumpir sus servicios. Además, repasamos qué medidas concretas pueden adoptar para fortalecer su seguridad y reducir la exposición a estas amenazas.
Un estudio contable puede tener contraseñas robustas, copias de seguridad y equipos actualizados y, aun así, seguir expuesto. La superficie de ataque ya no termina en la computadora del profesional: incluye proveedores, plataformas en la nube, accesos remotos, teléfonos y herramientas de inteligencia artificial que se incorporan al trabajo cotidiano.
El Data Breach Investigations Report (DBIR) 2026 de Verizon permite dimensionar ese cambio. El informe, elaborado a partir de miles de incidentes y brechas registrados principalmente durante 2025, distingue entre incidentes y brechas de datos. Estas últimas son aquellos casos en los que se confirma que alguien accedió a información sin autorización o que esta quedó expuesta a terceros.
Entre sus principales hallazgos, señala que la explotación de vulnerabilidades de software estuvo presente como vía inicial en el 31% de las brechas y, por primera vez en los 19 años del estudio, superó a las credenciales robadas como principal puerta de entrada.
Para un estudio contable, la conclusión es concreta: la ciberseguridad ya no puede reducirse a tener cuidado con los correos sospechosos. El riesgo también puede aparecer en un programa desactualizado, un proveedor con controles insuficientes o una aplicación conectada al entorno de trabajo.
El uso de herramientas de IA sin supervisión puede exponer información confidencial de los clientes, mientras que un ataque de ransomware puede bloquear archivos e interrumpir la actividad profesional. Ya no alcanza con proteger la contraseña
El robo de credenciales sigue siendo una amenaza relevante, pero el DBIR muestra un desplazamiento: los atacantes están aprovechando con mayor frecuencia fallas conocidas en software y servicios antes de que sean corregidas.
Una contraseña comprometida puede permitir el acceso al correo, la documentación de clientes o los sistemas de gestión. Una vulnerabilidad de software puede abrir esa misma puerta sin necesidad de engañar a ninguna persona.
Por eso, una política de seguridad debería contemplar ambas dimensiones: autenticación multifactor y buenas prácticas de acceso, pero también actualización de sistemas, gestión de parches y revisión de las aplicaciones expuestas a internet.
A eso se suma un cambio en las formas de engaño. A medida que los usuarios aprenden a reconocer mejor los correos de phishing —mensajes falsos que buscan obtener datos o inducir a ingresar en un enlace fraudulento—, los atacantes están trasladando parte de esas maniobras al teléfono. Según Verizon, las simulaciones realizadas mediante mensajes de texto y llamadas tuvieron una tasa de éxito 40% superior a las enviadas por correo electrónico.
El celular que se utiliza para responder a clientes, acceder al correo o recibir códigos de autenticación también forma parte, entonces, de la superficie que debe protegerse.
El proveedor también puede ser una puerta de entrada
Otro dato obliga a mirar fuera de la propia organización: la participación de terceros en las brechas aumentó un 60% respecto del informe anterior y alcanzó al 48% de los casos.
Para un estudio contable, la lectura es directa. Buena parte del trabajo depende de terceros: software de gestión, servicios de almacenamiento, plataformas de facturación, sistemas de sueldos, proveedores de correo y soporte técnico, entre otros. La pregunta deja de ser solamente quién puede ingresar a los sistemas del estudio. También importa saber qué proveedores tienen acceso, qué información procesan, qué permisos conservan y qué sucedería si alguno de ellos sufriera un incidente.
No se trata de auditar técnicamente a cada proveedor, sino de incorporar algunas preguntas antes de contratar o renovar un servicio: si ofrece autenticación multifactor, cómo administra los usuarios y permisos, cómo comunica un incidente de seguridad y con qué rapidez pueden revocarse los accesos.
Un mensaje recibido en el celular puede parecer una consulta habitual, pero también esconder un intento de fraude. Verificar enlaces y solicitudes inusuales es una medida sencilla para proteger la información de los clientes. Ransomware: Cuando el problema también es no poder trabajar
El ransomware es un tipo de ataque que bloquea o cifra archivos y sistemas para impedir su acceso y exigir un rescate para recuperarlos. En algunas modalidades, los atacantes también roban información y amenazan con divulgarla. En el DBIR 2026 aparece involucrado en el 48% de las brechas analizadas.
Para un estudio contable, el daño no se limita al eventual robo de información. Perder temporalmente el acceso a sistemas de liquidación, archivos de trabajo, documentación de clientes o bases de datos puede interrumpir directamente la prestación profesional. Un ataque ocurrido cerca de un vencimiento impositivo o durante una liquidación de sueldos puede tener consecuencias especialmente graves. En ese escenario, la seguridad de la información pasa a estar directamente vinculada con la capacidad de seguir trabajando.
Las copias de seguridad son necesarias, pero no alcanzan si nunca se comprobó que puedan restaurarse. También conviene identificar qué sistemas son indispensables, cuánto tiempo podría funcionar el estudio sin ellos y qué procedimiento seguiría si de un momento a otro quedaran inaccesibles.
A su vez, el informe dedica un apartado específico a organizaciones de menor tamaño. Verizon considera pequeñas a aquellas que tienen menos de 1.000 empleados —una clasificación que no debe equipararse automáticamente con la definición argentina de PyME— y analizó 7.152 brechas confirmadas dentro de ese universo.
La conclusión resulta especialmente relevante para los estudios profesionales: las organizaciones pequeñas se encuentran desproporcionadamente afectadas por ransomware y enfrentan amenazas similares a las grandes compañías, pero suelen disponer de menos recursos para prevenirlas y responder.
La pregunta, entonces, no debería ser “¿quién va a querer atacar a un estudio pequeño?”. Muchos ataques no seleccionan a sus víctimas por notoriedad. Buscan credenciales comprometidas, sistemas vulnerables o accesos deficientemente protegidos y aprovechan la oportunidad cuando la encuentran.
El riesgo de compartir información sensible
La inteligencia artificial generativa agrega un riesgo diferente. No siempre hace falta que alguien ataque a una organización para que se produzca una exposición de información. También puede ocurrir cuando una persona carga datos o documentos sensibles en una plataforma que no fue autorizada para uso laboral.
Verizon señala que el uso frecuente de herramientas de IA por parte de empleados pasó del 15% al 45% en un año. Al mismo tiempo, el denominado shadow AI —el uso de servicios de inteligencia artificial no aprobados por la organización— aparece cada vez más asociado al riesgo de pérdida de información.
Para un estudio contable, la cuestión tiene una dimensión particular. Una herramienta puede ser muy útil para resumir, redactar, comparar o analizar documentación, pero cargar información de un cliente sin evaluar dónde se procesa, almacena o reutiliza puede generar una exposición innecesaria.
La discusión, entonces, no debería ser solamente si usar o no inteligencia artificial. También debería incluir qué información puede compartirse, qué plataformas están autorizadas y qué datos conviene anonimizar o mantener fuera de ellas.
Qué debería revisar hoy un estudio contable
Los datos de Verizon no permiten construir una receta única para cada estudio, pero muestran que concentrarse solamente en antivirus y contraseñas deja cada vez más puntos ciegos.
Un diagnóstico básico puede comenzar por algunas preguntas simples: cuáles son los sistemas y datos sin los que el estudio no podría trabajar, quiénes tienen acceso a ellos, qué proveedores procesan información, qué programas necesitan actualización y qué sucedería si mañana las principales herramientas quedaran inaccesibles durante varias horas o días.
A partir de esas respuestas aparecen medidas conocidas, pero decisivas: utilizar autenticación multifactor, evitar la reutilización de contraseñas, mantener los sistemas actualizados, limitar permisos, revisar los accesos de terceros, verificar las copias de seguridad y establecer reglas claras para el uso de inteligencia artificial.
La principal enseñanza del DBIR 2026 no es que haya aparecido una amenaza completamente nueva: es que las puertas se multiplicaron. La computadora sigue siendo una de ellas, pero también lo son un proveedor, una vulnerabilidad sin corregir, una cuenta comprometida, un teléfono o una herramienta de inteligencia artificial utilizada sin controles.
Para un estudio contable, la ciberseguridad ya no consiste solamente en proteger archivos. También implica proteger la posibilidad de seguir trabajando, cumplir con los clientes y preservar la confianza depositada en el profesional.
