«A mí no me van a hackear» es el mito más caro.
El tabú: lo que pasa y no se cuenta
Pocas empresas cuentan que han sufrido un ataque. Da vergüenza, preocupa la reputación y existe el miedo a la sanción: si hay datos personales afectados, el RGPD obliga a notificarlo a la Agencia Española de Protección de Datos en un máximo de 72 horas. Así que los casos se quedan dentro, y el resto del polígono sigue pensando que eso les pasa a otros.
La creencia de que solo atacan a las grandes empresas parte de una idea equivocada: que alguien tiene que elegirte. En realidad, la mayor parte de los ataques son automáticos. Programas que prueban contraseñas filtradas, que buscan servidores sin actualizar o que envían miles de correos falsos a la vez. No distinguen entre una multinacional y un taller de cinco personas: entran por donde está abierto.
Los tres ataques que más vemos
- La factura con el IBAN cambiado. Alguien accede al correo de un proveedor, o se hace pasar por él, y te envía una factura real con una cuenta bancaria distinta. Pagas, y el dinero no llega nunca. Se conoce como fraude del CEO o man in the middle de correo.
- Phishing. Un correo que parece de tu banco, de una empresa de mensajería o de Hacienda te pide que inicies sesión. La página es falsa y tus credenciales acaban en otras manos.
- Ransomware. Un programa cifra los archivos de la empresa y pide un rescate por devolverlos. Facturación, contabilidad y pedidos se quedan bloqueados de un día para otro.
Si te ocurre, además de avisar a tu técnico, INCIBE atiende de forma gratuita en el 017, su línea de ayuda en ciberseguridad.
Las grietas del día a día
En casi todas las revisiones que hacemos aparecen los mismos cuatro problemas. Ninguno necesita un atacante sofisticado para ser aprovechado.
- La misma contraseña para todo. Banco, correo, ERP y ordenador con la misma clave, o con variaciones previsibles como Empresa2025 y Empresa2026. Cuando se filtra una, caen todas.
- Contraseñas guardadas en el navegador de equipos compartidos, sin bloqueo automático de sesión. Quien se siente en ese ordenador tiene acceso a todo.
- Sesiones que nunca se cierran. Un malware no necesita tu contraseña si puede robar el testigo (token) de una sesión que lleva meses abierta.
- Correo en un alojamiento compartido sin configurar. Sin los registros SPF, DKIM y DMARC, cualquiera puede enviar correos que parezcan salir de tu dominio, y tus clientes no tienen forma de distinguirlos.
Tu pyme como puerta de entrada: ataques a la cadena de suministro
Hay un tipo de ataque que está creciendo y que cambia la pregunta de «¿qué me pueden robar a mí?» a «¿a quién pueden llegar a través de mí?». Muchas veces el objetivo no es tu empresa, sino tus clientes: una gran superficie, una aseguradora, un fabricante al que sirves piezas.
El mecanismo es sencillo. Si alguien controla el correo de un proveedor legítimo, sus mensajes se abren sin sospecha. Desde ahí se envían facturas modificadas o enlaces maliciosos a los clientes de ese proveedor. La confianza que has construido durante años es exactamente lo que el atacante aprovecha.
La presión normativa: NIS2 y CRA
Europa ha respondido con dos normas. La Directiva NIS2 obliga a las empresas medianas y grandes de sectores considerados esenciales o importantes, como transporte, energía, alimentación, salud o la fabricación de determinados productos, a gestionar sus riesgos de ciberseguridad, notificar incidentes y responder de ello a nivel de dirección. El Reglamento de Ciberresiliencia (CRA) exige seguridad a los productos con elementos digitales, desde el software hasta la maquinaria conectada.
En España la ley que traspone NIS2 todavía no está aprobada, pero eso no frena el efecto que más va a notar una pyme: la propia directiva obliga a esas grandes empresas a controlar la seguridad de sus proveedores. La exigencia llega por contrato, en forma de cuestionarios, auditorías y requisitos mínimos para seguir trabajando con ellas.
Qué te pueden pedir exactamente y cómo prepararte lo explicamos en NIS2 y CRA: lo que te van a pedir aunque no seas una gran empresa.
Protección real sin presupuestos desproporcionados
La buena noticia es que la mayoría de los ataques se frenan con medidas sencillas, bien aplicadas y mantenidas en el tiempo:
| Medida | Qué evita | Esfuerzo |
|---|---|---|
| Gestor de contraseñas (Bitwarden, KeePassXC) | Claves repetidas y filtraciones en cadena | Bajo |
| Doble factor en correo, banca y paneles | Accesos con contraseñas robadas | Bajo |
| SPF, DKIM y DMARC en tu dominio | Que suplanten tu correo | Bajo, una sola vez |
| Redes separadas: oficina, producción e invitados | Que un equipo infectado alcance toda la empresa | Medio |
| Copias 3-2-1 cifradas en la UE | Perder los datos ante un ransomware | Medio |
| Actualizaciones y revisión periódica | Que te entren por fallos ya conocidos | Continuo |
Una regla que evita el fraude del IBAN y no cuesta nada: cualquier cambio de cuenta bancaria de un proveedor se confirma por teléfono, llamando a un número que ya tuvieras, nunca al que aparece en el propio correo.
Sobre copias de seguridad tienes la guía honesta, con la regla 3-2-1 explicada, y si tu equipo se conecta desde casa, revisa cómo montar teletrabajo seguro.
Lo último no es una herramienta, es una relación: alguien que mantenga los sistemas, compruebe que las copias se pueden restaurar y revise los accesos cada cierto tiempo. Por eso trabajamos con mantenimiento continuo y no con instalaciones que se olvidan. Lo tienes en infraestructura y ciberseguridad.
Y si estás digitalizando tu gestión con un ERP, este trabajo va de la mano: tener todos los datos en un único servidor es más cómodo y también más valioso. Lo contamos en la serie sobre la brecha digital de la pyme.
¿Sabrías qué hacer si mañana enciendes el ordenador de la empresa y todos los archivos están secuestrados? Hacemos auditorías de higiene digital y planes de protección práctica para pymes de Alcalá la Real y comarca, sin costes disparados. Hablemos y revisamos tus accesos sin compromiso.
Preguntas rápidas
Sí. La mayoría de los ataques son automáticos: programas que prueban contraseñas filtradas, buscan equipos sin actualizar o envían correos falsos en masa. No eligen por tamaño, sino por lo que encuentran abierto.
No pagues todavía. Llama al proveedor a un número de teléfono que ya tuvieras, nunca al que venga en el correo, y confirma el cambio. Si no lo reconoce, avisa a tu técnico: su correo o el tuyo puede estar comprometido.
No. Ayuda, pero la mayoría de los incidentes entran por credenciales robadas o por correo. El antivirus funciona cuando va acompañado de doble factor, contraseñas únicas, actualizaciones y copias de seguridad.
Desconecta de la red los equipos afectados sin apagarlos, avisa a tu técnico y llama al 017 de INCIBE, que es gratuito. Si hay datos personales afectados, valora con tu asesor la notificación a la AEPD en el plazo de 72 horas. No pagues un rescate sin asesoramiento.
Muchas medidas básicas cuestan poco o nada: gestor de contraseñas, doble factor y configurar bien el correo. Nuestros planes de mantenimiento parten de 150 euros al mes e incluyen monitorización, parches de seguridad al día y copias de seguridad garantizadas.
Fuentes oficiales
- INCIBE · Tu Ayuda en Ciberseguridad, 017
- Agencia Española de Protección de Datos · Brechas de datos personales
- EUR-Lex · Directiva (UE) 2022/2555 (NIS2)
Datos normativos revisados el 30 de septiembre de 2026. Actualizamos este artículo cuando cambian las fechas o la norma.
