No siempre hace falta una vulnerabilidad recién descubierta para comprometer una computadora. Un nuevo análisis de ESET revela que dos fallas de Microsoft Office conocidas desde 2017 concentraron más del 81 % de los incidentes de explotación registrados por la compañía en América Latina durante el primer semestre de 2026.
El problema tiene una explicación sencilla: equipos sin actualizar y documentos maliciosos continúan ofreciendo a los ciberdelincuentes una puerta de entrada que lleva casi una década documentada. Para usuarios y pequeñas empresas dominicanas, la noticia deja varias medidas prácticas que pueden aplicarse inmediatamente.
Los atacantes no necesitan inventar algo nuevo
El panorama regional de ciberamenazas elaborado por ESET para el primer semestre de 2026 muestra que buena parte de los ataques sigue dependiendo de técnicas conocidas.
El phishing y la ingeniería social representaron en promedio el 23.66 % de las alertas registradas en América Latina, mientras los programas utilizados para descargar otras amenazas en los equipos alcanzaron un 14.94 %.
Pero uno de los hallazgos más llamativos aparece al analizar las vulnerabilidades explotadas: más del 81.8 % de los incidentes de esa categoría se concentró en únicamente dos fallas de Microsoft Office divulgadas en 2017.
Dos vulnerabilidades antiguas siguen funcionando
La primera es CVE-2017-0199, que representó aproximadamente el 58.3 % de las detecciones de exploits estudiadas por ESET.
La segunda es CVE-2017-11882, relacionada con el antiguo Microsoft Equation Editor, y concentró otro 23.5 %.
Microsoft publicó hace años actualizaciones para corregir estas vulnerabilidades. En el caso de CVE-2017-11882, la compañía explicó que la falla podía permitir ejecución remota de código mediante archivos de Office especialmente preparados.
Esto significa, en términos sencillos, que un documento aparentemente normal puede aprovechar una aplicación desactualizada para ejecutar instrucciones no deseadas en el equipo.
El peligro puede llegar disfrazado de documento cotidiano
Según ESET, documentos en formatos como DOC y RTF siguen utilizándose como vehículo para intentar explotar sistemas que no han instalado las correcciones correspondientes.
Ahí aparece uno de los mayores riesgos para usuarios comunes y empresas: un archivo puede presentarse como una factura, currículo, cotización, reservación, contrato, comprobante de pago o comunicación empresarial.
En una oficina, hotel, agencia de excursiones, restaurante o pequeño negocio turístico dominicano es perfectamente normal intercambiar documentos durante todo el día. Precisamente esa familiaridad puede hacer que una persona abra un archivo sin detenerse a comprobar quién lo envió realmente.
Los datos de ESET corresponden al conjunto de América Latina y no permiten afirmar qué porcentaje específico de ataques en República Dominicana utiliza estas vulnerabilidades. Sin embargo, el mecanismo de protección es el mismo independientemente del país.
Qué debes revisar ahora mismo en tu computadora
La primera medida es mantener Windows y Microsoft Office actualizados. Microsoft continúa recomendando utilizar sus mecanismos de actualización para instalar automáticamente los parches de seguridad correspondientes.
También conviene desconfiar de documentos inesperados recibidos por correo electrónico, WhatsApp, servicios de almacenamiento o plataformas de mensajería, incluso cuando aparentemente procedan de una empresa o persona conocida.
Si Word, Excel o PowerPoint muestran advertencias de seguridad, Vista protegida o solicitudes inesperadas para habilitar contenido, no conviene ignorarlas automáticamente. Antes de permitir cualquier acción adicional se debe comprobar que el remitente y el documento sean legítimos.
Las empresas deberían además revisar computadoras antiguas que permanecen operativas durante años sin una política clara de actualizaciones. Muchas brechas no comienzan con tecnología extremadamente sofisticada, sino con software que simplemente llevaba demasiado tiempo sin recibir mantenimiento.
El phishing continúa siendo el enemigo más cotidiano
Las cifras del informe ofrecen otra advertencia importante: el phishing y la ingeniería social continúan generando más alertas que muchos ataques técnicamente complejos.
En estas modalidades, el atacante intenta convencer a la persona para que entregue una contraseña, abra un documento, visite una página falsa o instale algo por iniciativa propia.
Por eso mantener el software actualizado resuelve solamente una parte del problema. La otra depende del comportamiento del usuario: verificar remitentes, evitar enlaces sospechosos, utilizar autenticación multifactor cuando esté disponible y nunca entregar contraseñas o códigos de verificación porque alguien los solicite mediante llamada, mensaje o correo.
La principal lección del informe de 2026 es llamativamente simple: una falla de hace nueve años todavía puede funcionar cuando encuentra una computadora que nunca instaló la solución.
Volver a noticias