La mayoría de las pymes no cae por ataques sofisticados sino por errores básicos y evitables: contraseñas repetidas, falta de doble factor, backups inexistentes y personal sin entrenar para detectar un correo falso. Este checklist recorre las medidas concretas que podés implementar en tu negocio sin ser técnico y sin contratar a nadie.

El dato que cambia la perspectiva: el 45% de las pymes reportó al menos un incidente de seguridad informática durante el último año, y seis de cada diez consideran probable ser víctimas de un ataque en los próximos doce meses. No es un problema de empresas grandes.

Por qué los atacantes van por los negocios chicos

Un negocio pequeño es un objetivo atractivo precisamente porque tiene menos defensas y suele pagar rápido para volver a operar. Los ataques hoy están industrializados: no hay una persona eligiendo tu empresa, hay sistemas automatizados escaneando miles de sitios y casillas buscando la puerta abierta.

Una tendencia reciente muestra hacia dónde va el problema: entre enero y abril de este año se detectaron más de 33.300 ataques dirigidos a pymes con malware disfrazado de herramientas de inteligencia artificial, casi cinco veces más que en el mismo período del año anterior, según el panorama de amenazas para pymes publicado por Securelist. El gancho es simple: alguien busca "editor de video con IA gratis", descarga un instalador falso y le abre la puerta al atacante.

También se registraron cientos de miles de ataques con software malicioso disfrazado de aplicaciones conocidas como Telegram, WhatsApp, Zoom y Microsoft Teams.

El diagnóstico de fondo aparece en el informe de SonicWall sobre los errores críticos que exponen a las pymes: la mayoría de los negocios chicos no cae por ataques altamente sofisticados sino por una lista corta de fallos predecibles y evitables.

Checklist 1: contraseñas y accesos

Es la capa más importante y la más descuidada. Si hacés solo una cosa de esta guía, que sea esta.

• Usá un gestor de contraseñas. Bitwarden, 1Password o el gestor integrado del navegador. Genera claves únicas para cada servicio y no tenés que recordarlas.

• Una contraseña distinta por servicio. Cuando filtran la base de un sitio cualquiera, lo primero que hacen los atacantes es probar esa misma combinación en el correo y el home banking.

• Activá el doble factor (2FA) en todo. Empezá por el correo, que es la llave maestra: con acceso a tu casilla se recupera la contraseña de cualquier otro servicio.

• Preferí app autenticadora antes que SMS. Google Authenticator o Authy son más seguros que el código por mensaje de texto, que puede interceptarse.

• Una cuenta por persona. Nada de compartir el usuario del administrador entre todo el equipo: sin cuentas individuales no hay forma de saber quién hizo qué.

• Revocá accesos el mismo día que alguien se va. Armá una lista de todos los servicios y usala como checklist de salida.

Checklist 2: backups que realmente funcionan

El backup es lo que convierte un ransomware en una molestia en lugar de un cierre de negocio.

• Aplicá la regla 3-2-1: tres copias de los datos, en dos tipos de soporte distintos, con una fuera del lugar físico o en la nube.

• Automatizá. Un backup que depende de que alguien se acuerde no existe.

• Probá la restauración. Una vez por trimestre, restaurá un archivo cualquiera. Un backup que nunca se probó es una suposición, no un respaldo.

• Que al menos una copia esté desconectada. El ransomware cifra todo lo que esté accesible desde la red, incluidos los discos de respaldo conectados.

Checklist 3: reconocer phishing

El phishing sigue siendo la vía de entrada más usada porque no ataca al sistema sino a la persona. Entrená al equipo para frenar ante estas señales:

• Urgencia artificial. "Tu cuenta será suspendida en 24 horas". La urgencia existe para que no pienses.

• El dominio del remitente. Mirá lo que está después de la arroba, no el nombre que se muestra. Las variaciones son sutiles.

• Enlaces que no coinciden. Pasá el mouse sobre el link y leé la dirección real antes de hacer clic.

• Pedidos de datos por correo. Ningún banco ni proveedor serio pide credenciales por mail.

• Cambios de datos bancarios de un proveedor. Este es el fraude más caro para una pyme. Confirmá siempre por teléfono a un número que ya tenías, nunca al que figura en el correo.

• Archivos adjuntos inesperados. Sobre todo si son ejecutables, comprimidos o documentos que piden habilitar macros.

Una práctica que funciona: establecé como regla del negocio que cualquier pago o cambio de datos bancarios requiere confirmación por un segundo canal. Es gratis y corta el 90% de estos fraudes.

Checklist 4: seguridad en pagos y tienda online

Si vendés online, tu operación maneja datos de terceros y eso sube la responsabilidad:

• Nunca guardes datos de tarjetas. Delegá el cobro en una pasarela de pagos certificada. Que el dato sensible no pase por tus sistemas.

• HTTPS en todo el sitio, no solo en el checkout.

• Mantené la plataforma y los plugins actualizados. La mayoría de los sitios comprometidos lo fueron por un complemento desactualizado con una vulnerabilidad pública conocida.

• Limitá los usuarios administradores del sitio a los estrictamente necesarios.

• Activá alertas de transacciones inusuales en la pasarela de pago.

Checklist 5: dispositivos y red

• Actualizaciones automáticas activadas en sistemas operativos, navegadores y aplicaciones. La mayoría de los ataques explota fallas para las que ya existe parche.

• Antivirus activo en todas las computadoras, incluidas las personales que se usan para trabajar.

• Cifrado de disco en notebooks. Si se pierde o la roban, los datos no son legibles.

• Cambiá la contraseña por defecto del router y separá la red de invitados de la red de trabajo.

• Bloqueo automático de pantalla a los pocos minutos de inactividad.

• Cuidado con las descargas de software. Bajá siempre desde el sitio oficial, nunca desde un resultado publicitario ni desde un enlace de un video.

Qué hacer si ya te pasó

1. Desconectá el equipo afectado de la red pero no lo apagues: la memoria puede tener información útil para el análisis.

2. Cambiá las contraseñas críticas desde un dispositivo limpio, empezando por el correo.

3. Avisá al banco si hubo movimientos o datos de pago involucrados.

4. Documentá todo: qué pasó, cuándo, qué se vio afectado. Lo vas a necesitar para el seguro y para la denuncia.

5. Restaurá desde backup, no desde el sistema comprometido.

6. No pagues el rescate como primera opción. No garantiza recuperar los datos y te marca como objetivo dispuesto a pagar.

Cursos recomendados de Coderhouse

La seguridad de un negocio digital se cruza con la operación, la tecnología y la gestión. Estos programas cubren esas capas:

• Curso de Introducción a la Inteligencia Artificial — nivel inicial, útil para entender cómo se usan estas herramientas y por qué proliferan los instaladores falsos que las imitan.

• Curso de E-commerce — nivel inicial/intermedio, incluye el manejo de plataformas, medios de pago y operación de una tienda online.

• Curso de Administración de Empresas — para incorporar la gestión de riesgos a las decisiones del negocio.

• Curso de DevOps & Cloud — nivel avanzado, si querés entender a fondo infraestructura, accesos y buenas prácticas de despliegue.

Si querés profundizar en los conceptos base antes de avanzar, esta introducción sobre qué es la ciberseguridad y cómo se organiza la seguridad informática ordena el panorama completo.

Preguntas frecuentes

¿Cuánto cuesta proteger una pyme?

Mucho menos de lo que la gente asume. Un gestor de contraseñas para el equipo, doble factor, backups automáticos en la nube y actualizaciones al día cubren la mayoría del riesgo y representan un gasto mensual bajo. Lo que cuesta caro es el incidente: además del rescate, están los días sin operar, la pérdida de datos y el daño reputacional.

¿Necesito contratar a alguien de sistemas?

Para el checklist básico, no: son configuraciones que podés hacer vos en un par de tardes. Conviene sumar un especialista cuando la empresa maneja datos sensibles de clientes, tiene una operación crítica que no puede parar, o supera las 15 o 20 personas, porque ahí la gestión de accesos empieza a ser un trabajo en sí mismo.

¿El antivirus alcanza?

No. El antivirus cubre una parte del problema —el software malicioso conocido— pero no protege contra phishing, contraseñas débiles, filtraciones de proveedores ni errores humanos, que son las causas más frecuentes. Pensalo como una capa más, no como la solución.

¿Cómo entreno a mi equipo sin que sea aburrido?

Lo que mejor funciona son simulacros cortos y frecuentes en lugar de una capacitación anual larga. Mandá un correo de phishing simulado, mostrá los resultados sin señalar a nadie y explicá qué señales había. Diez minutos por mes rinden más que una charla de dos horas al año.

¿Qué pasa si uso herramientas de IA en el negocio?

Las herramientas legítimas de proveedores reconocidos son seguras si las descargás desde sus sitios oficiales. El riesgo está en las versiones falsas, "gratis" o "crackeadas" que circulan como instaladores: ese es justamente el vector de ataque que más creció contra pymes. Regla simple: solo desde el dominio oficial del proveedor, y nunca desde un anuncio o un enlace compartido.