Ciberseguridad para pymes: los errores más frecuentes y cómo prevenirlos

Un lunes a la mañana, la administración de una pyme recibe un correo del proveedor de siempre. Mismo logo, misma firma, mismo tono. Solo cambia un detalle: avisa que la cuenta bancaria para los pagos es otra. Nadie sospecha, la transferencia sale y, dos semanas después, el proveedor real reclama una factura que figura como pagada.

Ese tipo de historia es mucho más común que los ataques sofisticados que aparecen en las películas. En la mayoría de las pymes, los incidentes de seguridad no empiezan con un hacker rompiendo un sistema complejo, sino con una contraseña repetida, un plugin sin actualizar, una cuenta de un exempleado que sigue activa o un correo que parecía legítimo.

Sin embargo, muchas empresas siguen pensando que la ciberseguridad es un tema de bancos y grandes corporaciones. Que una empresa chica no le interesa a nadie. La realidad es que la mayoría de los ataques son automatizados y oportunistas: no buscan una empresa en particular, buscan cualquier puerta que haya quedado abierta.

En esta nota repasamos los errores de seguridad más frecuentes en pymes, por qué ocurren y cómo prevenirlos con medidas concretas y proporcionadas. No hace falta un presupuesto enorme ni un equipo dedicado para mejorar mucho. Al final hay un plan de 90 días y una lista de verificación para empezar.

Por qué las pymes también son un objetivo

Una pyme maneja información valiosa: datos de clientes, cuentas bancarias, facturación, accesos a sistemas de gestión, tiendas online y correos con proveedores. Para quien ataca, eso alcanza.

Además, suele tener algunas características que la vuelven un blanco atractivo:

Menos controles formales que una empresa grande.
Pocas personas que concentran muchos accesos.
Sistemas instalados hace años y mantenidos a medias.
Proveedores externos con permisos amplios y poco revisados.
Ninguna persona responsable de la seguridad de manera explícita.

Muchos ataques se lanzan de forma masiva: robots que prueban contraseñas filtradas, que buscan sitios con versiones vulnerables o que envían miles de correos falsos por día. No hace falta ser famoso para quedar en la lista.

La buena noticia es que la mayoría de esos ataques aprovecha errores básicos. Y los errores básicos se pueden corregir.

Contraseñas repetidas y cuentas sin doble factor

Es probablemente el error más extendido. La misma contraseña para el correo, el home banking, el sistema de gestión y la tienda online. O una contraseña compartida por todo el equipo, anotada en un papel o en una planilla.

Cuando un servicio cualquiera sufre una filtración, esas credenciales terminan circulando. Si se repiten en otros servicios, quien las obtiene puede probarlas en todos lados. Herramientas como Have I Been Pwned permiten verificar si un correo apareció en filtraciones conocidas.

Qué conviene hacer con las contraseñas

Algunas prácticas simples cambian mucho el panorama:

Usar un gestor de contraseñas para toda la empresa.
Generar contraseñas largas y distintas para cada servicio.
Evitar cuentas compartidas siempre que el servicio permita usuarios individuales.
Cambiar de inmediato las contraseñas que aparecieron en una filtración.
No enviar contraseñas por WhatsApp ni por correo.

Un gestor de contraseñas también facilita compartir accesos de forma controlada y quitarlos cuando alguien deja la empresa.

El doble factor, empezando por las cuentas críticas

El segundo factor de autenticación agrega un paso extra al iniciar sesión: un código en una app, una llave física o una confirmación en el celular. Aunque alguien obtenga la contraseña, sin ese segundo paso no puede entrar.

Conviene activarlo primero en las cuentas que más daño harían si se comprometen:

Correo corporativo, especialmente el de administración y dirección.
Home banking y plataformas de pago.
Panel de administración del sitio web o la tienda online.
Dominio, hosting y DNS.
Redes sociales de la marca.
Sistemas de gestión, ERP y CRM.

Siempre que se pueda, es preferible usar una app de autenticación antes que códigos por SMS.

Correos y mensajes que parecen legítimos

El phishing sigue siendo una de las puertas de entrada más usadas. Ya no se trata de correos mal escritos con promesas absurdas: muchos imitan con precisión a bancos, proveedores, organismos públicos o servicios conocidos.

También llegan por WhatsApp, SMS o redes sociales, y a veces desde cuentas reales que fueron comprometidas.

Señales para desconfiar

Antes de hacer clic, descargar un archivo o responder, conviene preguntarse:

¿El remitente es exactamente el de siempre o tiene una letra cambiada?
¿El mensaje pide actuar con urgencia o amenaza con una consecuencia?
¿Solicita contraseñas, códigos o datos bancarios?
¿El enlace lleva a un dominio distinto al oficial?
¿Incluye un adjunto inesperado, como una factura que nadie pidió?
¿Propone cambiar una forma de pago o una cuenta bancaria?

Ninguna de estas señales es definitiva por sí sola, pero varias juntas justifican frenar y verificar.

Una regla simple para pagos y cambios de datos

Hay una medida que previene buena parte de los fraudes más costosos: ningún cambio de cuenta bancaria, medio de pago o dato sensible se acepta solo por correo o mensaje.

Ese tipo de pedido se confirma por otro canal, con un contacto conocido y previamente registrado. Una llamada al número de siempre, no al que aparece en el correo.

La regla tiene que estar escrita y ser conocida por todo el equipo de administración. Así nadie siente que está desconfiando de un proveedor: simplemente cumple el procedimiento.

Sistemas y plugins sin actualizar

Cada actualización de software corrige errores, y muchas corrigen fallas de seguridad. Cuando esas fallas se publican, también se vuelven conocidas para quienes buscan aprovecharlas.

Un sistema operativo viejo, un WordPress con plugins abandonados o un servidor que nadie toca hace años son puertas abiertas que se pueden encontrar de forma automática.

Qué suele quedar desactualizado

Los puntos que más se descuidan son:

Sistemas operativos de computadoras y notebooks.
Navegadores y extensiones.
CMS como WordPress, junto con sus temas y plugins.
Servidores, bases de datos y paneles de hosting.
Routers, firewalls y dispositivos de red.
Sistemas de gestión instalados localmente.

En el caso de los sitios web, el tema da para una nota aparte. Si tenés un sitio en WordPress, te puede servir esta guía sobre cómo saber si tu sitio WordPress necesita mantenimiento urgente.

Cómo ordenar las actualizaciones

Actualizar sin control también tiene riesgos: una actualización puede romper una integración o un sistema crítico. Por eso conviene un proceso simple:

Hacer un inventario de equipos, sistemas y versiones.
Activar actualizaciones automáticas en equipos de usuarios y navegadores.
Definir una ventana periódica para actualizar servidores y sistemas críticos.
Probar primero en un entorno de prueba cuando el sistema es sensible.
Hacer un backup antes de cada actualización importante.
Reemplazar el software que ya no recibe soporte.

Lo importante es que actualizar deje de ser algo que se hace cuando alguien se acuerda.

Accesos que nadie revisa

Con el tiempo, los permisos se acumulan. Alguien necesitó acceso a la facturación para un proyecto puntual y lo conservó. Un exempleado sigue teniendo su usuario en el sistema. Un proveedor que terminó su trabajo hace un año todavía puede entrar al hosting.

Cada acceso innecesario es un riesgo que nadie está mirando.

Altas, bajas y cambios de rol

La mejor forma de controlar los accesos es atarlos a los movimientos del equipo:

Cuando alguien ingresa, recibe solo los permisos que necesita para su función.
Cuando alguien cambia de rol, se revisan y ajustan sus accesos.
Cuando alguien deja la empresa, se desactivan todas sus cuentas el mismo día.
Cada cierto tiempo, se revisa la lista completa de usuarios activos.

Tener una planilla o un documento con qué accesos tiene cada persona ya es un avance enorme.

Proveedores y cuentas compartidas

Los proveedores externos suelen tener accesos amplios: agencias, desarrolladores, contadores, soporte técnico. Conviene darles usuarios propios, con permisos acotados, y quitarlos cuando termina el trabajo.

Las cuentas genéricas como «admin» o «ventas», usadas por varias personas, impiden saber quién hizo qué. Siempre que sea posible, es mejor reemplazarlas por usuarios individuales.

Backups que no protegen frente a un ransomware

El ransomware cifra los archivos de la empresa y pide un rescate para devolverlos. Uno de los motivos por los que causa tanto daño es que muchas empresas descubren, en ese momento, que sus backups también quedaron cifrados o que nunca funcionaron.

Un backup conectado permanentemente a la red, en la misma carpeta compartida o con las mismas credenciales que el resto de los sistemas, puede ser alcanzado por el mismo ataque.

Qué hace que un backup sirva de verdad

Para que un respaldo proteja frente a este tipo de incidentes, conviene que cumpla con algunas condiciones:

Al menos una copia fuera de la oficina o en la nube.
Al menos una copia desconectada, inmutable o con acceso separado.
Credenciales distintas de las que se usan en el día a día.
Pruebas de restauración periódicas.
Retención suficiente para volver a una versión anterior al incidente.

Profundizamos en este tema en la nota sobre backups empresariales: qué guardar, cada cuánto y dónde.

Equipos y redes descuidados

La seguridad no depende solo de los sistemas en la nube. Las computadoras, notebooks, celulares y la red de la oficina también son puntos de entrada.

Notebooks y celulares

Un equipo perdido o robado puede exponer correos, archivos y sesiones abiertas. Algunas medidas básicas:

Bloqueo de pantalla con contraseña o PIN en todos los dispositivos.
Cifrado del disco en notebooks.
Antivirus o protección de endpoint activa y actualizada.
Usuarios sin permisos de administrador para el uso diario.
Posibilidad de bloquear o borrar el equipo de forma remota.

Si el equipo usa sus propios dispositivos para trabajar, conviene definir qué se puede hacer desde ellos y qué no.

La red de la oficina y el trabajo remoto

En muchas oficinas, el Wi-Fi tiene la misma contraseña desde hace años y la comparten empleados, visitas y clientes. El router conserva la clave de fábrica y nadie sabe bien qué dispositivos están conectados.

Conviene separar la red de invitados de la red de trabajo, cambiar las contraseñas por defecto, actualizar el firmware del router y, para el trabajo remoto, usar conexiones seguras para acceder a los sistemas internos en lugar de exponerlos directamente a internet.

Sitios web y tiendas online expuestos

El sitio web y la tienda online son la cara pública de la empresa, y también uno de los puntos más atacados. Un sitio comprometido puede distribuir malware, redirigir a páginas falsas, robar datos de clientes o quedar marcado como peligroso por los buscadores.

El proyecto OWASP Top 10 reúne las categorías de riesgo más relevantes en aplicaciones web y es una buena referencia para equipos de desarrollo.

Puntos a revisar en un sitio

Algunos controles básicos para cualquier sitio o tienda:

Certificado HTTPS válido en todas las páginas.
CMS, temas, plugins y dependencias actualizados.
Panel de administración con doble factor y usuarios individuales.
Formularios protegidos contra spam y abuso.
Backups automáticos del sitio y de la base de datos.
Monitoreo de disponibilidad y de cambios inesperados.
Hosting confiable, con soporte y aislamiento entre sitios.

En una tienda online, además, conviene revisar cómo se integran los pagos: lo ideal es que los datos de tarjetas los procese siempre la plataforma de pago y nunca queden guardados en el servidor propio.

Datos de clientes guardados sin criterio

Muchas empresas acumulan datos de clientes sin saber bien dónde están: planillas descargadas, exportaciones del CRM en el escritorio, correos con documentos adjuntos, carpetas compartidas abiertas a cualquiera con el enlace.

Cuantos más datos y más copias haya, mayor es el riesgo y más difícil es protegerlos.

En Argentina, el tratamiento de datos personales está regulado, y la Agencia de Acceso a la Información Pública publica información sobre las obligaciones de quienes administran bases de datos.

Algunas prácticas que ayudan:

Guardar solo los datos que realmente se necesitan.
Centralizar la información en sistemas con control de acceso.
Revisar los permisos de las carpetas y documentos compartidos.
Eliminar exportaciones y copias que ya no se usan.
Definir quién puede descargar o exportar información de clientes.

Errores frecuentes y cómo prevenirlos

A modo de resumen, estos son los errores que más se repiten y la medida que conviene priorizar en cada caso:

Error frecuente	Riesgo principal	Medida de prevención
Contraseñas repetidas o compartidas	Acceso no autorizado a varias cuentas	Gestor de contraseñas y claves únicas
Cuentas críticas sin doble factor	Robo de correo, banco o redes	Activar segundo factor en cuentas clave
Pagos aceptados solo por correo	Fraude por cambio de cuenta bancaria	Verificar por otro canal conocido
Software y plugins desactualizados	Explotación de fallas conocidas	Inventario y rutina de actualizaciones
Usuarios de exempleados activos	Accesos sin control	Bajas el mismo día y revisión periódica
Backups conectados y sin probar	Pérdida total ante un ransomware	Copia desconectada y pruebas de restauración
Equipos sin bloqueo ni cifrado	Exposición ante pérdida o robo	Bloqueo, cifrado y borrado remoto
Wi-Fi compartido con visitas	Acceso a la red interna	Red de invitados separada
Datos de clientes dispersos	Filtraciones y problemas legales	Centralizar y minimizar datos

Ninguna de estas medidas requiere una gran inversión. Lo que sí requiere es que alguien se haga cargo de implementarlas y sostenerlas.

Qué hacer si ocurre un incidente

Aunque se tomen todas las precauciones, un incidente puede ocurrir igual. La diferencia está en qué tan rápido se detecta y qué tan ordenada es la respuesta.

Las primeras horas

Ante una sospecha de incidente, conviene:

No apagar ni borrar nada sin evaluar, para no perder información útil.
Aislar el equipo o la cuenta afectada de la red.
Cambiar las contraseñas comprometidas desde un dispositivo seguro.
Avisar al banco de inmediato si hubo un pago fraudulento.
Contactar al equipo técnico o al proveedor de soporte.
Registrar qué pasó, cuándo y qué se hizo.

Tener esos pasos escritos antes de necesitarlos evita improvisar en el peor momento.

Después del incidente

Cuando la situación está controlada, llega el momento de entender cómo ocurrió y qué cambiar para que no se repita. También puede ser necesario avisar a clientes, proveedores o autoridades, según el tipo de datos involucrados.

Un incidente bien analizado suele dejar a la empresa mucho mejor preparada que antes.

Capacitar al equipo sin aburrirlo

La tecnología ayuda, pero muchas decisiones de seguridad las toman personas: abrir o no un adjunto, confirmar o no un pago, compartir o no una contraseña.

Una capacitación útil no es una charla larga una vez por año. Funciona mejor algo breve y frecuente:

Ejemplos reales de correos y mensajes falsos.
Reglas claras y cortas, como la verificación de pagos.
Un canal simple para consultar ante una duda.
Reconocimiento a quien reporta algo sospechoso, aunque sea una falsa alarma.

Hay materiales gratuitos y pensados para empresas, como los de INCIBE o la campaña Secure Our World de CISA, que se pueden adaptar al equipo.

Lo más importante es que nadie tenga miedo de avisar. Un error reportado a tiempo es mucho menos grave que uno escondido.

Un plan de 90 días para empezar

No hace falta resolver todo a la vez. Un plan por etapas permite avanzar sin frenar la operación. Como marco de referencia más completo, el NIST Cybersecurity Framework organiza la seguridad en funciones como identificar, proteger, detectar, responder y recuperar.

Primer mes: lo urgente

En las primeras semanas conviene concentrarse en lo que más reduce el riesgo:

Activar el doble factor en correo, banco, hosting y redes.
Implementar un gestor de contraseñas.
Dar de baja usuarios de personas y proveedores que ya no trabajan con la empresa.
Escribir la regla de verificación de pagos y cambios de cuenta.

Segundo mes: ordenar

Con lo urgente resuelto, llega el momento de ordenar:

Inventariar equipos, sistemas, accesos y proveedores.
Ponerse al día con las actualizaciones pendientes.
Revisar backups y agregar una copia desconectada.
Separar la red de invitados de la red de trabajo.

Tercer mes: probar y medir

Por último, se trata de comprobar que todo funciona:

Hacer una prueba de restauración completa.
Escribir el procedimiento ante incidentes.
Hacer una primera capacitación breve con el equipo.
Definir una revisión trimestral de accesos y actualizaciones.

Lista de verificación

Antes de dar por cubierta la seguridad básica de tu empresa, revisá:

Cada persona tiene su propio usuario en los sistemas principales.
Las contraseñas son únicas y se guardan en un gestor.
El correo corporativo tiene doble factor activado.
El home banking y las plataformas de pago tienen doble factor.
El dominio, el hosting y el DNS tienen accesos protegidos.
Las redes sociales de la marca tienen doble factor y más de un administrador.
Existe una regla escrita para verificar cambios de cuenta bancaria.
Los sistemas operativos y navegadores se actualizan automáticamente.
El sitio web, sus plugins y temas están actualizados.
Hay un inventario de equipos, sistemas y accesos.
Los usuarios de exempleados y exproveedores fueron dados de baja.
Los accesos se revisan al menos una vez por trimestre.
Hay una copia de backup desconectada o inmutable.
La restauración de backups se probó en los últimos meses.
Las notebooks tienen bloqueo de pantalla y disco cifrado.
La red de invitados está separada de la red de trabajo.
Los datos de clientes están centralizados y con acceso controlado.
Existe un procedimiento escrito ante incidentes.
El equipo sabe a quién avisar ante algo sospechoso.
Alguien tiene asignada la responsabilidad de la seguridad.

Si varios ítems quedan sin resolver, conviene empezar por el doble factor, las contraseñas y los backups, que son los que más riesgo reducen con menos esfuerzo.

La seguridad se construye de a poco

La ciberseguridad no es un producto que se compra una vez ni un proyecto que se termina. Es un conjunto de hábitos y controles que se sostienen en el tiempo y que acompañan el crecimiento de la empresa.

Una pyme no necesita la misma estructura que un banco. Necesita cerrar las puertas más obvias, saber qué tiene que proteger y estar preparada para responder si algo sale mal.

Cada medida suma, y las primeras son las que más protegen.

En Soup IT ayudamos a empresas a mejorar su seguridad de forma práctica: diagnóstico de riesgos, ordenamiento de accesos, configuración de doble factor, mantenimiento y actualización de sitios web y sistemas, backups con pruebas de restauración, hardening de servidores y soporte ante incidentes. Podemos trabajar junto al equipo interno o hacernos cargo del mantenimiento técnico mediante outsourcing.

Si tu empresa no sabe por dónde empezar o sospecha que tiene puertas abiertas, podemos hacer una revisión inicial y convertir ese diagnóstico en un plan concreto, con prioridades y plazos realistas. Escribinos por WhatsApp o a contacto@soupit.ar.

Además, podés visitar Soup IT y seguirnos en LinkedIn e Instagram para encontrar más contenidos sobre ciberseguridad, sitios web, desarrollo de software, automatización, infraestructura y tecnología aplicada a empresas.