Las amenazas a la seguridad informática de una empresa pequeña no son las que salen en las películas. No hay nadie tecleando a oscuras contra un cortafuegos. Hay un correo que parece de un proveedor, una contraseña reutilizada y un servidor al que nadie ha actualizado desde hace dos años.
Esta es la lista de las diez que realmente aparecen en el trabajo diario, ordenadas por lo que más veces hemos visto entrar, con lo que las frena en cada caso. Sin cifras de informes que nadie comprueba y sin vender miedo.
1. Phishing y suplantación por correo
Sigue siendo la puerta número uno, y por mucha diferencia. Un correo que imita a un banco, a Microsoft, a Correos o a un proveedor real pide iniciar sesión, confirmar un dato o abrir un documento. Quien lo abre entrega sus credenciales o ejecuta el primer paso de todo lo demás.
Ha mejorado mucho. Se acabaron los correos con faltas de ortografía: hoy vienen bien redactados, con el logotipo correcto y, a menudo, respondiendo en un hilo de conversación que existía de verdad, porque el atacante ya estaba dentro del buzón de alguien.
Qué lo frena: doble factor en el correo, filtrado antiphishing, marcado visible de los correos externos y formación breve y repetida. Y una norma sencilla: ningún cambio de cuenta bancaria se aprueba por correo sin llamar por teléfono al número de siempre.
2. Ransomware
El cifrado de todos los archivos de la empresa y la petición de rescate. Rara vez es el primer paso: casi siempre llega después de que alguien haya entrado con unas credenciales robadas y haya estado mirando durante semanas.
Lo que ha cambiado es la extorsión doble: antes de cifrar, se llevan los datos. Aunque restaures desde copia y no pagues, tienen tu información y amenazan con publicarla, lo que convierte el incidente en un problema también de protección de datos.
Qué lo frena: copias de seguridad aisladas y probadas —la clave está en el «aisladas», porque un backup accesible desde la red se cifra con todo lo demás—, doble factor en los accesos remotos, EDR en los equipos y segmentación de la red para que no se propague.
3. Robo de credenciales e infostealers
Un programa que copia las contraseñas guardadas en el navegador y las cookies de sesión, y las envía fuera. Semanas después, alguien compra ese paquete y entra en el correo o en el ERP sin necesitar contraseña, porque la sesión seguía abierta.
Es la amenaza que más ha crecido y la que peor se detecta, porque cuando se ejecuta no hace nada llamativo: recoge y se va.
Qué lo frena: gestor de contraseñas en lugar del navegador, doble factor, sesiones con caducidad en los servicios críticos y EDR que vigile comportamientos.
4. Fraude del CEO y estafa de la factura
No hay malware. Hay una persona escribiendo. Un correo del «director» pidiendo una transferencia urgente y confidencial a alguien de administración, o la factura de un proveedor real con el número de cuenta cambiado.
Funciona porque explota la jerarquía y la prisa, dos cosas que ninguna herramienta de seguridad puede parchear. Y el dinero, cuando sale, casi nunca vuelve.
Qué lo frena: un procedimiento escrito de doble validación para pagos por encima de cierta cantidad, verificación telefónica de cualquier cambio de cuenta y permiso explícito para que quien esté en administración pueda parar una operación sin miedo a molestar a su jefe.
5. Contraseñas débiles y reutilizadas
La misma contraseña en el correo del trabajo y en una tienda online que sufrió una filtración hace tres años. Los atacantes prueban esas combinaciones de forma automática contra miles de servicios: no adivinan nada, simplemente reutilizan lo que ya está publicado.
Qué lo frena: gestor de contraseñas corporativo, contraseñas largas y distintas en cada servicio, doble factor en todo lo que lo permita y revisión periódica de si algún correo de la empresa aparece en filtraciones conocidas.
6. Servicios expuestos a internet
El escritorio remoto abierto para poder trabajar desde casa. El servidor de archivos publicado «temporalmente». La cámara con la contraseña de fábrica. El panel de administración de un equipo accesible desde cualquier parte del mundo.
Son puertas que alguien abrió por una necesidad real y que nadie volvió a cerrar. Existen escáneres automáticos que recorren internet buscándolas todo el día.
Qué lo frena: firewall con denegación por defecto, acceso remoto solo por VPN o pasarela con doble factor, y una revisión periódica —dos veces al año como mínimo— de qué está publicado hacia fuera.
¿Sabes qué tiene tu empresa expuesto a internet ahora mismo? Hacemos un análisis de vulnerabilidades y te lo entregamos en un informe entendible.
7. Software y sistemas sin actualizar
Un servidor con una versión sin soporte, un equipo con Windows 10 —cuyo soporte terminó el 14 de octubre de 2025—, un gestor de contenidos con complementos de hace cuatro años o un firewall con la suscripción caducada.
Las vulnerabilidades conocidas tienen algo incómodo: están publicadas, con instrucciones. No hace falta un atacante brillante para aprovecharlas, solo uno con tiempo y una lista de objetivos.
Qué lo frena: inventario de equipos y software, actualizaciones automáticas donde se pueda, ventana de mantenimiento planificada donde no, y un plan de renovación para lo que ya no recibe soporte.
8. Errores y descuidos internos
No todo es un ataque. Una carpeta compartida con permisos para toda la empresa, un correo con datos de clientes enviado a la persona equivocada, un enlace de OneDrive compartido «con cualquiera que tenga el enlace» y publicado sin querer, un portátil olvidado en un tren sin cifrar.
Es la categoría que más incidentes provoca y la que menos se cuenta, porque no hay nadie a quien culpar fuera de casa.
Qué lo frena: permisos por grupos y revisados —no por acumulación—, cifrado de disco en todos los portátiles, políticas de compartición en Microsoft 365 y formación en el uso de las herramientas, que no es lo mismo que formación en ciberseguridad.
9. Dispositivos personales y redes ajenas
El móvil personal con el correo de la empresa configurado a mano. El portátil de casa que se conecta a la carpeta compartida. El wifi de un hotel o de una cafetería. La red de invitados de la oficina conectada a la red interna.
Cada uno de esos casos saca los datos del perímetro donde la empresa puede protegerlos, o mete en la red un equipo cuyo estado nadie conoce.
Qué lo frena: red de invitados separada de verdad, VPN para acceder desde fuera, perfil de trabajo separado en los móviles personales y EDR también en los portátiles que salen de la oficina.
10. Proveedores y cadena de suministro
Tu empresa puede estar impecable y entrar el problema por el acceso remoto de un proveedor, por una aplicación de terceros conectada a tu Microsoft 365 o por el equipo de una gestoría que trabaja con vuestros datos.
Cada acceso externo es una extensión de tu perímetro, y casi nunca está documentado.
Qué lo frena: lista escrita de quién accede, a qué y desde cuándo; accesos temporales que caducan; revisión de las aplicaciones conectadas a las cuentas corporativas; y cláusulas de seguridad y protección de datos en los contratos con proveedores que traten información de la empresa.
Por qué una pyme es un objetivo, aunque no lo parezca
La frase más repetida en las reuniones es «aquí no hay nada que robar». Suele decirse con sinceridad, y es justo la creencia que hace fácil el trabajo del atacante.
La mayoría de los ataques a empresas pequeñas no son dirigidos. Nadie ha elegido tu empresa: un sistema automático recorre internet buscando servicios expuestos, y un correo masivo llega a diez mil buzones esperando que responda el uno por ciento. Tu empresa no es un objetivo, es un resultado.
Y sí hay algo que robar, aunque no sea un secreto industrial. Está el dinero de las transferencias, que es lo más directo. Están los datos de clientes, que valen en el mercado y cuya fuga tiene consecuencias legales. Está la capacidad de parar tu actividad, que es lo que se cobra en un ransomware. Y está tu propia identidad como remitente de confianza: un buzón comprometido sirve para escribir a tus clientes con una factura falsa desde una dirección auténtica.
A eso se suma un cálculo incómodo: una empresa pequeña suele tener el mismo tipo de datos que una grande y una fracción de sus defensas. Para quien ataca de forma industrial, eso no es un objetivo pobre: es un objetivo barato.
Qué hacer el día que pasa
Casi todas las guías explican cómo prevenir y ninguna cuenta los primeros treinta minutos, que es cuando se decide el tamaño del destrozo. El orden es este.
Aislar, no apagar. Desconecta de la red el equipo afectado, por cable y por wifi. Apagarlo destruye información que después hace falta para saber qué entró y por dónde.
Cortar los accesos. Cambia las contraseñas de las cuentas implicadas desde otro dispositivo y, sobre todo, fuerza el cierre de todas las sesiones abiertas. Revisa si hay reglas de reenvío nuevas en el correo.
Avisar a quien toca. Dirección, responsable informático y, si hay datos personales de por medio, quien lleve la protección de datos: hay un plazo de 72 horas para notificar a la autoridad de control cuando el incidente supone un riesgo.
No restaurar a lo loco. Restaurar una copia sobre un entorno todavía comprometido devuelve el problema en horas. Primero se identifica la vía de entrada y se cierra.
Escribir lo que va pasando. Hora, decisión, quién la tomó. Sirve para la investigación, para el seguro y para no repetir el mismo error dentro de un año.
Resumen: la amenaza y lo que la frena
| Amenaza | Medida que más la reduce |
|---|---|
| Phishing | Doble factor + filtrado del correo + formación |
| Ransomware | Copias aisladas y probadas + EDR + segmentación |
| Robo de credenciales | Gestor de contraseñas + doble factor + cierre de sesiones |
| Fraude del CEO | Doble validación de pagos + verificación telefónica |
| Contraseñas reutilizadas | Gestor corporativo + revisión de filtraciones |
| Servicios expuestos | Firewall denegando por defecto + VPN |
| Software sin actualizar | Inventario + actualizaciones + plan de renovación |
| Errores internos | Permisos revisados + cifrado de disco |
| Dispositivos personales | Perfil de trabajo separado + red de invitados aislada |
| Proveedores | Accesos documentados y temporales |
Lo que ha cambiado en los últimos años
La lista de amenazas se parece a la de hace cinco años en los nombres y no se parece en nada en la forma de ejecutarlas. Hay tres cambios que conviene tener presentes porque invalidan consejos que todavía circulan.
El correo falso ya no se detecta a simple vista. La redacción impecable dejó de ser señal de legitimidad. Un texto bien escrito, en el idioma correcto y con el tono de la empresa cuesta hoy cero esfuerzo de producir, así que el criterio ya no puede ser cómo está escrito, sino qué pide y por qué canal llega.
El segundo factor dejó de ser infalible. Sigue siendo la medida que más rinde, pero existen ataques que roban la sesión ya autenticada o que bombardean a notificaciones hasta que la persona acepta por cansancio. Por eso importan la caducidad de las sesiones y los métodos resistentes al phishing, como las llaves físicas, en las cuentas críticas.
El ataque se compra hecho. Quien roba las credenciales, quien las vende y quien despliega el ransomware suelen ser personas distintas, con negocios distintos. Eso explica el retraso entre la infección y el daño, y explica por qué un equipo «que ya está limpio» no cierra el incidente.
Por dónde empezar si no tienes nada
Diez amenazas asustan. La buena noticia es que las medidas se repiten: cuatro decisiones cubren la mayor parte de la lista.
- Doble factor en el correo, hoy. Es gratis, se activa en una tarde y corta de raíz la mitad de los incidentes de esta página.
- Copias de seguridad aisladas y probadas. Con una restauración de prueba al trimestre. Una copia que nunca se ha restaurado no es una copia: es una esperanza.
- Cerrar lo que está abierto a internet. Media jornada de revisión y quitas de la mesa la vía de entrada más automatizada.
- EDR en todos los equipos, con alguien mirando las alertas. Sin ese alguien, es una licencia decorativa.
Ninguna de estas cuatro medidas exige cambiar de sistemas ni hacer una inversión grande. Exige decidirlas y ponerles fecha, que es exactamente donde se atascan en la mayoría de las empresas pequeñas.
Preguntas frecuentes sobre amenazas de seguridad informática
En una empresa pequeña, por orden de frecuencia: phishing, ransomware, robo de credenciales mediante infostealers, fraude del CEO y de la factura, contraseñas reutilizadas, servicios expuestos a internet, software sin actualizar, errores internos, dispositivos personales sin control y accesos de proveedores.
El ransomware, por el impacto: puede parar la actividad durante días y, con la extorsión doble, publicar los datos aunque restaures desde copia. Ahora bien, la vía de entrada más frecuente sigue siendo el phishing, así que ahí es donde más rinde invertir.
La amenaza es lo que puede pasar —un ransomware, un fraude—. La vulnerabilidad es la debilidad que lo permite: un servidor sin actualizar, una contraseña reutilizada. El riesgo es la combinación de ambas con el impacto que tendría en tu empresa concreta.
No. Cubren dos de las diez amenazas de esta lista. El fraude del CEO, las contraseñas reutilizadas, los permisos mal puestos o el acceso de un proveedor no los detiene ningún producto: los detienen procedimientos y decisiones.
Una revisión completa al año y comprobaciones trimestrales de lo que cambia: qué hay publicado hacia fuera, quién accede desde fuera, si las copias restauran y si las licencias de seguridad siguen en vigor.
¿Cuál de estas diez puertas está abierta hoy en tu empresa?
Pide una auditoría de ciberseguridad Sin compromiso · Respuesta en menos de 24 h
Me ha gustado las definiciones de la amenazas informáticas.
Seguir con vuestro trabajo, que esto ayudará a muchos empresarios a tomar en serio este problema.
Gracias
Cordiales saludos