Cada pocas semanas nos llega la misma llamada: un correo que parecía del banco, una factura con el número de cuenta cambiado o un servidor con todos los archivos cifrados. Ninguna de esas empresas era un objetivo especial: eran pequeñas, tenían el correo en la nube y alguien hizo clic donde no debía.
La ciberseguridad en una pyme no consiste en comprar el producto más caro, sino en cerrar las puertas por las que entran los ataques reales. Esto es lo que aplicamos con empresas de 5 a 30 personas en Mallorca: qué amenazas importan, qué medidas tomar, en qué orden y en qué no gastar.
Las amenazas que vemos de verdad
Phishing y robo de credenciales
Sigue siendo la puerta de entrada principal. Un correo imita a Microsoft, al banco o a un proveedor y lleva a una página que pide usuario y contraseña. Con ellas el atacante entra en el buzón, lee durante semanas y espera el momento de actuar.
Fraude en pagos
Ya dentro del buzón o suplantando a un proveedor, el atacante envía una factura real con la cuenta bancaria cambiada. Nadie lo nota hasta que el proveedor reclama. Es el ataque más rentable contra una pyme y no necesita ningún virus.
Ransomware
Cifra los archivos del servidor y de los equipos y, muchas veces, los roba antes para amenazar con publicarlos. Entra por un acceso remoto expuesto, una contraseña débil o un equipo sin parches.
Contraseñas reutilizadas
La misma contraseña en el correo, en la facturación y en una tienda online que sufrió una filtración. Cuando se publica, alguien la prueba en tu Microsoft 365. Sin segundo factor, entra.
Un plan de protección por niveles
Nivel 1: esta semana
- MFA en todo lo que lo permita, empezando por el correo; en Microsoft 365 los valores predeterminados de seguridad lo activan para todos.
- Gestor de contraseñas para todo el equipo (Bitwarden o similar), con una contraseña distinta por servicio y credenciales compartidas por carpetas, no por WhatsApp.
- Actualizaciones automáticas en Windows, macOS y navegadores y, sobre todo, en el router, el firewall y cualquier NAS o servidor accesible desde fuera.
- Copias de seguridad 3-2-1: tres copias, en dos soportes distintos, una fuera de la oficina y, a ser posible, inmutable. Lo detallamos en nuestra guía 3-2-1. Y prueba la restauración: una copia que nunca se ha restaurado es una hipótesis.
Nivel 2: los próximos meses
- Filtrado de correo más allá del de serie, y SPF, DKIM y DMARC bien configurados en tu dominio para que nadie envíe correo en tu nombre.
- Mínimo privilegio: nadie trabaja a diario con una cuenta de administrador, ni en el portátil ni en Microsoft 365; las de administración se usan solo para eso y también llevan MFA.
- Bajas el mismo día: el acceso de quien deja la empresa se cierra ese día en todos los servicios, incluidos los compartidos.
- Formación corta y frecuente: veinte minutos cada pocos meses con correos reales recibidos por la empresa valen más que un curso anual de dos horas.
- Acceso remoto por VPN o basado en identidad, nunca el escritorio remoto abierto a Internet.
Nivel 3: cuando lo anterior funciona
- Plan de incidentes de una página: a quién se llama, qué se desconecta primero, dónde están las copias, cómo se avisa a los clientes y, si hay datos personales, cómo se notifica a la AEPD en 72 horas.
- Ciberseguro. Tiene sentido cuando ya hay MFA y copias, porque la mayoría de aseguradoras exigen ambas para cubrir el siniestro. Lee las exclusiones antes de firmar.
- Protección de endpoints con alguien que la mire (EDR gestionado) y una revisión periódica de accesos y configuración. Es parte de nuestro servicio de soporte técnico, porque instalar la herramienta sin que nadie lea las alertas sirve de poco.
Sobre NIS2 y el Esquema Nacional de Seguridad: la mayoría de empresas de este tamaño no están obligadas, salvo que trabajen para la administración pública o en un sector regulado. Si alguien te vende un “pack de cumplimiento” por miedo, pregunta primero si te aplica.
Señales de alerta
- Reglas de reenvío o de borrado en el buzón que nadie ha creado.
- Avisos de inicio de sesión desde países donde no hay nadie de la empresa.
- Un proveedor que “cambia de banco” por correo, sin llamada de confirmación.
- Archivos con extensiones extrañas o notas de texto en las carpetas compartidas.
Ante cualquiera de ellas: desconecta el equipo de la red (sin apagarlo), cambia la contraseña del correo desde otro dispositivo y llama a soporte.
En qué no merece la pena gastar
- Un firewall de gama alta con funciones que nadie va a configurar, mientras el correo sigue sin MFA.
- Monitorización 24/7 sin nadie detrás que responda.
- Un antivirus “premium” en cada equipo cuando el de Windows, bien gestionado, cubre lo esencial.
Presupuesto
No hay un porcentaje mágico. Lo que sí hay es un orden: casi todo el nivel 1 cuesta más tiempo que dinero. Un gestor de contraseñas, una copia externa inmutable y las licencias adecuadas de Microsoft 365 suman poco al mes; comparado con un fraude o una semana parada, es la partida con mejor retorno de toda la informática.
Por dónde empezar
Si solo puedes hacer tres cosas este mes: MFA en el correo, gestor de contraseñas y una prueba de restauración de la copia. Cuando eso funcione, sigue con el nivel 2. Y si no sabes en qué punto estás, una revisión de una mañana suele bastar.