Un estudio reciente de Kaseya reveló un dato preocupante para la seguridad de las pequeñas y medianas empresas: el 69% de las organizaciones tiene más cuentas de invitados que usuarios con licencia en sus aplicaciones de software como servicio (SaaS). Esto incrementa significativamente los riesgos de ciberseguridad, según el Reporte de Seguridad SaaS 2026 de la compañía.

El reporte analizó más de 27,600 millones de eventos de seguridad SaaS en más de 50,000 entornos de pymes, incluyendo 5,400 socios MSP y 6.2 millones de cuentas de usuarios finales. Los datos revelan una realidad crítica: a medida que los ecosistemas SaaS se expanden, las comodidades operativas del día a día —como las cuentas de invitados no gestionadas, que hoy representan el 69% de todas las cuentas monitoreadas (4.3 millones frente a 1.9 millones de usuarios con licencia)—, los accesos persistentes de terceros y los datos compartidos externamente están generando enormes riesgos de seguridad para las pymes.

Entre los hallazgos clave del estudio destaca que el 56% de las cuentas aún no cuenta con autenticación multifactor activa. Además, el 45% de los archivos compartidos en Microsoft 365 se envía fuera de la organización, aumentando el riesgo de filtración de información. Los inicios de sesión de identidades no humanas —como aplicaciones y servicios automatizados— ya representan el 20% de las alertas críticas de seguridad.

El software como servicio —conocido como SaaS por sus siglas en inglés (Software as a Service)— engloba todas las aplicaciones que las empresas utilizan a través de internet sin necesidad de instalarlas localmente, como herramientas de correo, almacenamiento en la nube o gestión de proyectos. Los ciberdelincuentes han abandonado los ataques perimetrales en favor de objetivos más vulnerables como identidades, integraciones OAuth y flujos de trabajo colaborativos, dejando una brecha de confianza que la mayoría de las pequeñas y medianas empresas no puede detectar, y mucho menos cerrar.

“Los actores de amenazas de hoy, potenciados por la IA, ven un único entorno de ataque interconectado, mientras que la mayoría de las organizaciones defienden su infraestructura de forma fragmentada”, señaló Jim Lippie, director de Producto de Kaseya. “Las organizaciones más resilientes serán aquellas que adopten el monitoreo unificado y la gestión de accesos como una prioridad estratégica”.