Getty Images/iStockphoto
El Mundial 2026 en México será una fiesta deportiva, ¿y de amenazas digitales?
A apenas días del inicio del torneo, las empresas tienen el tiempo en contra para blindar su infraestructura digital contra los esperados ciberataques.
Cuando el silbatazo inicial del Mundial de la FIFA resuene en el Estadio Banorte de México, el 11 de junio de 2026, los aficionados tendrán puestos sus ojos en México, al igual que los actores maliciosos que llevan meses preparando su propio partido contra servidores, redes de telecomunicaciones, sistemas de pago y aplicaciones oficiales.
La magnitud del reto es inédita: más de 100 partidos en 39 días, más de 5,5 millones de visitantes presenciales (solo en México) y miles de millones de espectadores globales. Pero, para los equipos de tecnología y seguridad, ese número determina la dimensión real de la superficie de ataque, especialmente en los sectores de energía, telecomunicaciones, transporte, servicios financieros, retail, hospitalidad y medios de comunicación.
Los eventos deportivos de alto perfil tienen un historial documentado como objetivos de ciberataques. Desde los Juegos Olímpicos de Londres 2012 hasta la EURO 2024 en Alemania, cada edición ha traído consigo campañas de reconocimiento, pruebas de intrusión y ataques directos a la infraestructura crítica. El Mundial 2026, distribuido en tres países y decenas de sedes, ofrece más puntos de entrada que cualquier evento anterior de su tipo.
“Cuando hablamos del Mundial, pensamos en goles, festejos y turismo”, señaló Arturo Torres, director de inteligencia contra amenazas para FortiGuard Labs de Fortinet en Latinoamérica y el Caribe, “pero desde una perspectiva de ciberseguridad, este hito es una inmensa red de datos. Cada aficionado que entre a un estadio llevará consigo un dispositivo móvil, consumirá datos, realizará pagos electrónicos y buscará redes Wi-Fi para compartir su experiencia. Esta hiperconectividad es una maravilla de la innovación, pero también expande la posible superficie de ataque a través de fraudes y estafas”.
Jorge Tsuchiya, director regional de NETSCOUT en México, también fue rotundo: "La Copa del Mundo será una vitrina no solo para los países anfitriones, sino también para las capacidades tecnológicas y de ciberseguridad que demuestren. México debe prepararse para garantizar no solo la seguridad física, sino también la continuidad digital del evento. La superficie de ataque será enorme y la prevención será clave para evitar interrupciones masivas o daños reputacionales".
Los vectores de riesgo que los equipos de seguridad deben tener en el radar son amplios y heterogéneos: proveedores de servicios de internet (ISP), sistemas de retransmisión y streaming, redes de telecomunicaciones en las sedes, plataformas de boletaje electrónico, pasarelas de pago y aplicaciones oficiales, así como servicios públicos como energía, transporte y seguridad.
"Los ataques DDoS son una de las armas favoritas de los atacantes por su capacidad de causar interrupciones masivas, dañar reputaciones de marca y generar pérdidas millonarias", agregó Tsuchiya. "La superficie de ataque se amplía cuando hay múltiples sedes, múltiples países, cientos de proveedores y millones de dispositivos conectados".
El ecosistema de amenazas que acompaña al Mundial
Más allá de los ataques de denegación de servicio distribuido (DDoS) —diseñados para tumbar infraestructura en los momentos de mayor demanda y visibilidad—, el perfil de amenazas que orbita a un evento de esta escala incluye un catálogo más amplio y sofisticado, tales como:
- campañas de phishing que suplantan a organismos oficiales de la FIFA o a las federaciones locales,
- fraudes digitales vinculados a la venta de boletos y transmisiones,
- sitios web apócrifos,
- puntos de acceso inalámbrico maliciosos en zonas de alta concentración de público y
- códigos QR diseñados para capturar credenciales e información financiera.
"Los atacantes aprovechan el momento emocional del evento; basta un mensaje bien diseñado para inducir al error. Estamos literalmente a un clic de comprometer nuestros dispositivos si no contamos con controles básicos de protección", señaló José Luis Ponce, responsable de Negocios de Ciberseguridad y CISO director de Ikusi México.
Arturo Torres, de Fortinet, advirtió que también hay que estar atentos frente a estafas de transmisiones en vivo. “Los aficionados que no puedan asistir al estadio buscarán opciones para ver los partidos en línea y aparecerán diversos sitios web que ofrecen streaming gratuito a cambio de descargar un pequeño archivo o registrarse con una tarjeta de crédito solo para verificación. En la mayoría de los casos, lo que el usuario está descargando es un virus que tomará control de su dispositivo”, apuntó.
Lo que hace especialmente difícil el escenario para los equipos de seguridad es que parte del crecimiento de estas amenazas está impulsado por modelos de crimen como servicio —fraude como servicio y ransomware como servicio— a través de plataformas clandestinas que permiten a actores sin conocimientos técnicos avanzados lanzar campañas de fraude, robo de información o secuestro de datos a cambio de una comisión. “La democratización del cibercrimen amplía exponencialmente el número de potenciales atacantes”, resaltó Ponce.
El tráfico puede pasarse por alto
Una dimensión del riesgo que con frecuencia no aparece en los planes de contingencia son los picos de demanda no maliciosos. El consumo masivo y simultáneo de plataformas de streaming, aplicaciones de boletos y sistemas de pago durante los partidos puede superar las capacidades de infraestructuras que, en condiciones normales, funcionan con holgura.
"Prepararse para absorber estos incrementos de tráfico es tan importante como protegerse de un ataque externo", subrayó José Luis Ponce. "La escalabilidad tecnológica debe ir acompañada de controles adecuados de seguridad de la información".
Esto implica revisar con anticipación la arquitectura de las plataformas, sus esquemas de escalabilidad y los planes de contingencia ante caídas de servicio, ya sea que provengan de un ataque deliberado o de un pico de demanda inesperado.
Seguridad pública, el reto de los gobiernos locales
El desafío no es exclusivo del sector privado. Los gobiernos estatales y municipales de las entidades sede, y de las zonas de tránsito y concentración turística, enfrentan uno de los mayores retos de seguridad pública de los últimos años, pero sus capacidades tecnológicas y operativas son muy desiguales.
De acuerdo con la Encuesta Nacional de Victimización y Percepción sobre Seguridad Pública (ENVIPE) 2025 del INEGI, en México se estimaron más de 33 millones de delitos cometidos en 2024. A eso se suma que más del 60 % de la población considera inseguro el entorno en el que vive, según la Encuesta Nacional de Seguridad Pública Urbana (ENSU).
"La seguridad de un evento como el Mundial 2026 no se construye únicamente con mayor presencia policial, sino con inteligencia, tecnología y una coordinación efectiva entre autoridades", afirmó Niv Yarimi, presidente y fundador de Grupo Kabat y Kabat One. "La experiencia internacional en grandes eventos demuestra que los esquemas tradicionales resultan insuficientes sin plataformas tecnológicas que integren información, faciliten el análisis predictivo y permitan una respuesta coordinada entre autoridades federales, estatales y municipales".
Según el experto, los principales retos para los gobiernos locales son la fragmentación de la información entre corporaciones, la limitada interoperabilidad entre distintos niveles de gobierno y la necesidad de fortalecer el análisis en tiempo real para la toma de decisiones ante incidentes.
Con el arranque del torneo a pocas semanas, la ventana de preparación se cierra con rapidez. Para los líderes de tecnología y seguridad en organizaciones que formarán parte del ecosistema del Mundial —como proveedores, patrocinadores, operadores de infraestructura crítica o empresas cuyas operaciones se verán afectadas por el incremento de actividad digital—, las recomendaciones apuntan en una dirección clara, dijo Jorge Tsuchiya:
- Adoptar sistemas de protección basados en inteligencia artificial y mitigación automática,
- fortalecer las redes de monitoreo y respuesta en tiempo real,
- establecer mecanismos de colaboración entre sector público y privado para el intercambio de inteligencia de amenazas, y
- realizar simulacros y pruebas de estrés digital son medidas que los especialistas coinciden en señalar como prioritarias.
Desde la perspectiva del usuario final —empleados, clientes y ciudadanos—, el periodo del Mundial también exige una mayor cultura de seguridad que implica proteger los dispositivos personales, desconfiar de promociones demasiado atractivas, evitar redes públicas no verificadas y confirmar siempre la autenticidad de los sitios web antes de introducir cualquier dato sensible.
“Las empresas deben entender que el cibercrimen hoy es una industria automatizada. Por ello, la respuesta debe ser igualmente tecnológica, a través del uso de IA o sistemas unificados en la nube para la detección de amenazas, teniendo una integración total que proteja desde la computadora de la oficina hasta el teléfono móvil del empleado que trabaja vía remota. Las inversiones en tecnología y ciberseguridad durante este periodo estarán contribuyendo a la creación de un ecosistema digital robusto que atraerán más inversiones incluso después del Mundial, construyendo un México conectado, inteligente y sobre todo seguro”, concluyó Arturo Torres, de Fortinet.
