La mayoría de los incidentes que sufre una pyme no son ataques dirigidos. Son intentos masivos que aprovechan lo de siempre: una contraseña reutilizada, un correo con un enlace, un portátil sin cifrar. Cerrar esas vías cuesta poco y evita el 90% de los sustos.
Contraseñas únicas y doble factor
Una contraseña reutilizada convierte cualquier filtración ajena en un problema tuyo. Usa un gestor de contraseñas y deja que genere claves largas y distintas por servicio. Activa la verificación en dos pasos en el correo, la banca y el software de facturación: es la medida con mejor relación entre esfuerzo y protección. Evita el SMS cuando puedas y prefiere aplicación de códigos o llave física.
Si no quieres usar un gestor, al menos usa frases largas y distintas para el correo y el banco: son las dos cuentas que abren todas las demás.
Copias de seguridad que se puedan restaurar
Una copia que nunca has probado no es una copia. Aplica la regla 3-2-1: tres copias, en dos soportes distintos, una fuera de la oficina. Mantén al menos una desconectada o inmutable, porque el ransomware cifra también los discos de red. Prueba la restauración cada trimestre y anota cuánto tardas: ese dato define cuántas horas de negocio puedes perder.
Elige una herramienta que cifre antes de subir y guarda la clave en un sitio distinto del backup. Un disco externo conectado todo el día tampoco cuenta como copia aislada: si llega un ransomware, lo cifra con el resto.
Dato útil: en una pyme pequeña, perder la base de datos de facturación un lunes por la mañana puede significar días de trabajo manual. Una copia diaria cifrada y externa cuesta menos que ese día.
Phishing y fraude del CEO
El fraude más caro no es técnico: es un correo que parece del jefe pidiendo una transferencia urgente o un cambio de IBAN de un proveedor. Establece una regla simple: cualquier cambio de datos bancarios se confirma por teléfono con un número conocido, nunca respondiendo al correo. Forma al equipo para mirar el dominio real del remitente y desconfiar de la urgencia.
Correo y suplantación de dominio
El correo corporativo es la puerta de entrada de casi todo: facturas, clientes, banca. Configura los registros SPF, DKIM y DMARC para que nadie pueda enviar mensajes haciéndose pasar por tu dominio; tu proveedor suele generarlos y basta con activarlos. Revisa los reenvíos automáticos: cuando alguien entra en una cuenta, lo primero que hace es crear una regla para seguir leyendo aunque cambies la contraseña. Enseña al equipo a no abrir adjuntos inesperados, ni siquiera de un contacto conocido.
Accesos y dispositivos
Da a cada persona solo los permisos que necesita y retíralos el mismo día que sale de la empresa. Ten un inventario de dispositivos y herramientas, con cifrado de disco y bloqueo de pantalla. Actualiza sistema y aplicaciones de forma automática; la mayoría de las brechas explotadas tienen parche desde hace meses. Separa las cuentas de administrador de las de uso diario.
Haz una lista de las cuentas con acceso a dinero o datos —banco, correo, facturación, hosting— y revisa quién entra cada seis meses. Las cuentas de exempleados son una puerta abierta que casi nadie mira.
Qué hacer cuando pasa algo
Ten escrito un protocolo de cuatro pasos: aislar el equipo afectado, cambiar las contraseñas comprometidas, avisar al responsable y valorar si hay datos personales afectados. Guarda registros y no borres evidencias. Si hay riesgo para personas, la notificación a la Agencia de Protección de Datos tiene un plazo de 72 horas. Practica el protocolo una vez al año con un supuesto sencillo.
Si el incidente toca facturación o pagos, avisa también a tu gestoría y conserva correos y registros: sirven para la reclamación y para el seguro. Guarda el protocolo también en papel: si el sistema está caído, no podrás leerlo en la intranet.
Preguntas frecuentes
¿Merece la pena contratar un seguro ciber?
Si manejas datos de clientes o dependes de sistemas conectados, sí. Cubre respuesta a incidentes y perjuicios, pero no sustituye las medidas básicas.
¿Y si trabajo solo con el móvil y el portátil?
El riesgo es el mismo, en miniatura. Cifra el disco, activa el doble factor, haz copia en la nube y no uses la misma clave para el correo y el banco.