La póliza estuvo sobre el escritorio del director financiero durante tres años, renovándose discretamente a 2,3 millones de dólares anuales, una manta de seguridad financiera que resultó estar hecha de papel de seda.
Cuando un grupo de ransomware vinculado a Corea del Norte bloqueó la empresa de logística Meridian Freight Partners, con sede en Baltimore, en febrero de 2026, cifrando 14 terabytes de datos operativos y exigiendo 47 millones de dólares en Monero, la aseguradora cibernética de la empresa hizo algo que conmocionó a la industria: no pagó nada. Cero. Citando una "exclusión de actor patrocinado por el estado" enterrada en la Sección 14(b) de la letra pequeña de la póliza, la aseguradora se lavó las manos —y de forma perfectamente legal.
Meridian Freight no está sola. En todo Estados Unidos y Europa Occidental, una catástrofe silenciosa se está desarrollando simultáneamente en salas de juntas y tribunales. El modelo de ciberseguro, una vez celebrado como la columna vertebral financiera de la resiliencia corporativa, se está fracturando bajo el peso de una amenaza que nunca fue diseñado para absorber.
La cláusula de exclusión que devoró la industria
El problema no apareció de la noche a la mañana. Lloyd's de Londres fue el primero en exigir a sus sindicatos que excluyeran los ciberataques patrocinados por el estado de las pólizas comerciales estándar en agosto de 2022. Para 2024, ese lenguaje había migrado a los modelos predefinidos de prácticamente todas las principales aseguradoras —Chubb, AIG, Beazley, Travelers—, cada una redactando su propia variación de lo que la industria ahora llama fríamente "la exclusión de guerra".
La lógica era actuarialmente sólida: las aseguradoras no pueden modelar, tarificar o absorber riesgos sistémicos a nivel de estado-nación de la misma manera que pueden absorber un ataque de ransomware por parte de un colectivo criminal que opera desde Europa del Este con fines de lucro. Cuando un gobierno despliega ciberarmas como instrumento de política exterior, el potencial de daños en cascada a toda la economía se asemeja más a una catástrofe natural que a un incidente corporativo discreto.
El problema es la atribución — y ahí es donde toda la estructura colapsa para los asegurados.
«Las cláusulas de exclusión están redactadas con una ambigüedad extraordinaria», afirma la Dra. Priya Venkataramaiah, economista de ciberriesgos en la Brookings Institution. «No se exige a las aseguradoras que prueben el patrocinio estatal más allá de toda duda razonable. Solo se les exige que lo afirmen de forma plausible, y en el entorno de amenazas actual, casi cualquier grupo sofisticado de ransomware puede vincularse vagamente a un actor estatal con suficiente evidencia circunstancial».
La atribución es el nuevo campo de batalla legal
En 2025, la Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. atribuyó formalmente el 61% de los incidentes de ransomware de alto impacto a grupos con vínculos "confirmados o probables" con Rusia, China, Irán o Corea del Norte. Esa estadística, destinada a informar la política de seguridad nacional, entregó a las aseguradoras un arma legal cargada.
Considere las cifras desde la perspectiva de una aseguradora. Si la mayoría de los ataques significativos conllevan algún lenguaje atribuible a un nexo estatal, la exclusión puede aplicarse teóricamente a la mayoría de los siniestros más grandes y costosos. El resultado es un instrumento financiero que cobra primas durante la calma y abandona el edificio cuando llega la tormenta.
Tres demandas federales separadas presentadas en el primer trimestre de 2026 —que involucran una red de hospitales de Texas, un fabricante de semiconductores de California y una cámara de compensación financiera con sede en Chicago— están impugnando las decisiones de denegación de cobertura basadas en exclusiones de actores estatales. Los analistas legales esperan que estos casos lleguen a los tribunales de circuito a finales de 2027, pero para las empresas que necesitan liquidez ahora, el litigio es un consuelo escaso.
La paradoja de la prima
Aquí está la cruel ironía que está destrozando los presupuestos de riesgo corporativo: incluso a medida que la cobertura se reduce, las primas no lo han hecho.
Las tasas de ciberseguro subieron un promedio del 34% en 2025, según la encuesta anual de referencia de la Risk & Insurance Management Society. Las aseguradoras justifican los aumentos señalando el aumento de la frecuencia de incidentes y el costo creciente de la respuesta a incidentes, la investigación forense y la defensa regulatoria —costos que siguen cubiertos incluso cuando se excluye el pago principal del rescate y la recuperación.
Lo que las empresas están comprando ahora, en términos prácticos, es una póliza costosa que cubre el viaje en ambulancia, pero no la estancia en el hospital.