Ciberseguridad para pymes: por dónde empezar de verdad

La ciberseguridad en una pyme empieza por proteger las identidades, no por comprar un cortafuegos: activar segundo factor en el correo y en los accesos remotos, formar a la gente para reconocer el fraude por correo y tener copias de seguridad que se puedan restaurar de verdad. La razón es simple: en una empresa pequeña los incidentes casi nunca llegan por una intrusión técnica sofisticada, sino por alguien que introduce su contraseña donde no debe o que paga una factura con el número de cuenta cambiado.

Las amenazas que se ven de verdad

Conviene ordenar las amenazas por frecuencia real y no por lo espectaculares que suenan, porque el presupuesto de una pyme es limitado y se gasta una vez.

Phishing y robo de credenciales

Es el origen de la mayoría de incidentes. Llega un correo que imita a Microsoft, a un banco o a un proveedor, el usuario introduce su contraseña en una página falsa y a partir de ahí el atacante tiene acceso legítimo al correo corporativo. Nada se rompe, ninguna alarma salta: alguien simplemente entra con las llaves correctas.

Fraude del CEO y cambio de IBAN

Es el que más dinero se lleva en pymes y no requiere prácticamente tecnología. Una variante es el correo del supuesto gerente pidiendo una transferencia urgente y confidencial, normalmente en un momento de viaje o de cierre. La otra, más peligrosa, es el correo de un proveedor real comunicando un cambio de cuenta bancaria, enviado desde su buzón comprometido o desde un dominio casi idéntico. La factura es auténtica, el importe es el esperado y el número de cuenta es del atacante.

Contra esto la defensa no es técnica sino de procedimiento: ningún cambio de cuenta bancaria se aplica sin llamar por teléfono al número que ya se tenía del proveedor, nunca al que aparece en el correo. Escrito, conocido por todo el departamento y sin excepciones por urgencia. Cuesta cero euros y es probablemente la medida más rentable de esta lista.

Ransomware

Menos frecuente que el fraude, pero el de mayor impacto: cifra los ficheros de los servidores y de los equipos, y hoy además suele robar los datos antes para amenazar con publicarlos. El detalle que sorprende a muchas empresas es que el atacante lleva días dentro antes de cifrar nada, y su primer objetivo es localizar y destruir las copias de seguridad accesibles desde la red.

Cuentas de Microsoft 365 comprometidas

Merece punto aparte porque es silencioso. Con acceso al buzón, el atacante crea reglas que ocultan o desvían mensajes, lee la correspondencia durante semanas para aprender cómo se comunica la empresa y espera al momento de una factura importante. Cuando actúa, escribe con el estilo correcto, en el hilo correcto y en el momento correcto. Revisar periódicamente las reglas de buzón y los inicios de sesión desde ubicaciones inusuales detecta esto antes de que haga daño.

El orden correcto de las medidas

El error clásico de una pyme es invertir primero en el perímetro y dejar las identidades para después. Ese orden tenía sentido cuando todo estaba dentro de la oficina. Hoy el correo, los ficheros y las aplicaciones están en la nube, y se accede a ellos desde casa, desde el móvil y desde redes ajenas. El perímetro ya no es la puerta de la oficina: es la cuenta de cada persona.

1. Segundo factor en todo lo que se pueda: correo, VPN, escritorio remoto, banca y administración de sistemas. Es la medida que más ataques corta por euro invertido.
2. Administradores separados: nadie trabaja a diario con una cuenta de administrador, y las cuentas privilegiadas se cuentan con los dedos de una mano.
3. Copias de seguridad con una copia fuera del alcance de la red y restauración probada.
4. Actualizaciones al día en sistemas operativos, navegadores y, muy especialmente, en cualquier cosa publicada a internet.
5. Antivirus moderno con detección de comportamiento y alguien que mire las alertas; una alerta que nadie lee no protege.
6. Formación breve y periódica del usuario, con ejemplos reales del sector.
7. Cortafuegos y segmentación de red bien configurados, y revisión de qué servicios están publicados hacia fuera.

El cortafuegos aparece el último no porque no importe, sino porque protege de un tipo de ataque que en una pyme es minoritario frente al correo y las contraseñas. Un cortafuegos caro con las cuentas sin segundo factor es dinero mal colocado.

Las copias son el último recurso, no la estrategia

Hay una confusión extendida: creer que con copias de seguridad se está protegido. Las copias no evitan el incidente, limitan el daño. Y sirven únicamente si cumplen tres condiciones que conviene verificar de forma explícita.

• Una copia fuera del alcance de las credenciales del día a día, ya sea inmutable o realmente desconectada.
• Restauraciones probadas de verdad, con un cronómetro: no basta con que el trabajo termine en verde.
• Cobertura de lo que está en la nube: el correo y los ficheros de Microsoft 365 o Google Workspace no se respaldan solos como mucha gente supone.

La pregunta útil para dirección no es si hay copias, sino cuánto se tardaría en volver a trabajar y cuántas horas de trabajo se perderían. Si nadie sabe responder con un número medido, en la práctica no hay plan de recuperación.

Una copia que nunca se ha restaurado no es una copia de seguridad: es una suposición cara.

La formación del usuario, bien planteada

La formación funciona si es corta, frecuente y concreta. Sesiones de veinte minutos varias veces al año con ejemplos reales de correos que ha recibido la propia empresa enseñan más que una charla anual de dos horas que nadie recuerda.

Y hay una regla cultural que vale más que el contenido: quien avisa de que ha hecho clic donde no debía no puede llevarse una reprimenda. Si la reacción de la empresa es buscar culpables, la siguiente persona callará, y esas horas de silencio son exactamente las que un atacante necesita. Avisar rápido tiene que ser lo que se premia.

RGPD y NIS2 sin alarmismo

Si un incidente afecta a datos personales, existe la obligación de notificarlo a la autoridad de control, la Agencia Española de Protección de Datos, en un plazo de setenta y dos horas desde que se tiene conocimiento, salvo que sea improbable que suponga un riesgo para las personas afectadas. Cuando el riesgo para esas personas es alto, además hay que comunicárselo a ellas. Ese plazo es corto y transcurre justo cuando todo el mundo está ocupado recuperando sistemas, así que conviene saber de antemano quién redacta esa notificación.

Sobre NIS2, la directiva europea de ciberseguridad traspuesta al ordenamiento español, la mayoría de pymes no está directamente sujeta a ella: se dirige a sectores concretos y a entidades de cierto tamaño. Ahora bien, si su empresa presta servicios a una organización que sí lo está, es previsible que le trasladen requisitos por contrato. Ese es el motivo realista por el que a una pyme le puede acabar afectando, y conviene verificarlo con criterio profesional en lugar de asumirlo por lo que dice un comercial.

Qué hacer el primer día tras un incidente

Las primeras horas condicionan el resto. Estos pasos asumen indicios claros de compromiso, no una simple sospecha.

1. Aísle, no apague: desconecte de la red los equipos afectados, pero no los apague, porque apagar destruye evidencias útiles para saber qué ocurrió.
2. Corte el acceso: cambie contraseñas de las cuentas implicadas, revoque las sesiones activas y revise reglas de buzón y accesos de aplicaciones creados recientemente.
3. Avise a quien corresponda: dirección, su proveedor de sistemas y, si hay dinero de por medio, el banco de inmediato, porque una transferencia reciente a veces se puede detener.
4. Documente desde el minuto uno: hora, qué se vio, qué se hizo. Servirá para la notificación, para el seguro y para la denuncia.
5. No restaure a toda prisa: si no se sabe cómo entraron, restaurar sobre el mismo agujero devuelve el problema en pocos días.
6. Valore la notificación de setenta y dos horas si hay datos personales implicados, y denuncie ante las Fuerzas y Cuerpos de Seguridad.

Sobre pagar un rescate: la recomendación general de las autoridades es no hacerlo, porque financia la actividad, no garantiza recuperar los datos ni impide su publicación, y convierte a la empresa en objetivo conocido. No es una decisión para tomar de madrugada y sin asesoramiento.

Conclusión práctica

Una pyme no necesita un centro de operaciones de seguridad para estar razonablemente protegida. Necesita segundo factor en todas partes, un procedimiento escrito para los cambios de cuenta bancaria, copias con una copia fuera de alcance y restauración probada, actualizaciones al día, y gente que sepa avisar sin miedo cuando algo huele mal.

Si esta semana solo se puede hacer una cosa, que sea revisar que el segundo factor está activo en todas las cuentas de correo, incluidas las de dirección y las cuentas genéricas de administración y facturación, que son las que suelen quedarse fuera por comodidad y las que más daño hacen cuando caen.