Muchos dueños de negocio piensan que los ciberataques son un problema de bancos y multinacionales. La realidad es que las pequeñas empresas son blancos atractivos precisamente porque suelen tener menos protección. Un correo falso que roba la contraseña del correo de la empresa, una computadora sin actualizar o una memoria USB infectada pueden paralizar la facturación por días. La buena noticia: la mayoría de los incidentes se evitan con medidas sencillas y casi gratuitas. Aquí tienes 15, ordenadas por impacto.
Cuentas y contraseñas
1. Activa la verificación en dos pasos en todo lo importante
Correo, banca en línea, redes sociales de la empresa, hosting y sistemas en la nube. Con la verificación en dos pasos, aunque alguien robe la contraseña, necesitará también un código de tu teléfono. Es la medida individual que más ataques detiene. Prefiere una app autenticadora a los mensajes SMS cuando el servicio lo permita.
2. Usa un gestor de contraseñas
Nadie puede recordar 40 contraseñas distintas, y por eso se repiten. Un gestor de contraseñas genera y guarda claves únicas para cada servicio. Solo tienes que recordar una contraseña maestra, larga y robusta.
3. Una cuenta por persona
Evita los usuarios compartidos del tipo "caja1" con la misma clave para todos. Si cada empleado tiene su usuario, sabrás quién hizo qué y podrás quitar el acceso a quien se va sin cambiarle la clave a todo el mundo.
4. Revoca accesos el mismo día que alguien sale
Ten una lista de todos los sistemas a los que tiene acceso cada empleado. Cuando alguien deje la empresa, desactiva sus cuentas ese mismo día.
Equipos y software
5. Actualizaciones automáticas
Windows, el navegador, el antivirus y los programas de oficina deben actualizarse solos. La mayoría de los ataques aprovechan fallos que ya tienen solución publicada.
6. Retira los sistemas sin soporte
Una computadora con un sistema operativo que ya no recibe actualizaciones de seguridad es una puerta abierta. Si un equipo viejo es imprescindible para un programa antiguo, desconéctalo de internet o aíslalo de la red principal.
7. Antivirus activo y sin excepciones innecesarias
El antivirus integrado de Windows, bien configurado y actualizado, ofrece una protección razonable para una PYME. Lo importante es que esté activo en todos los equipos y que nadie lo desactive "para instalar algo".
8. Usuarios sin permisos de administrador
Los empleados deben trabajar con cuentas estándar. Así, si abren un archivo malicioso, este tendrá mucho menos poder para instalarse.
9. Cifra las laptops
Si una laptop se pierde o la roban, el cifrado de disco evita que alguien lea los archivos. Las versiones profesionales de Windows incluyen esta función.
Correo y fraude
10. Desconfía de la urgencia
La mayoría de los fraudes llegan por correo o WhatsApp con un tono urgente: "tu cuenta será suspendida", "el suplidor cambió de cuenta bancaria", "el gerente necesita que compres tarjetas de regalo". Regla de oro: cualquier cambio de datos bancarios o pago inusual se confirma por teléfono, con un número que ya tengas, nunca con el que aparece en el mensaje.
11. Revisa el remitente real y los enlaces
Pasa el cursor sobre el enlace antes de hacer clic y mira la dirección real. Un dominio parecido al de tu banco, con una letra cambiada, es una señal clásica.
12. Correo con dominio propio
Usar un correo con el dominio de tu empresa (nombre@tuempresa.com) en lugar de una cuenta gratuita genérica da más confianza a tus clientes y te permite configurar protecciones contra suplantación. Pide a tu proveedor que configure los registros SPF, DKIM y DMARC del dominio.
Red y datos
13. Separa la Wi-Fi de clientes
Los clientes y visitantes deben conectarse a una red de invitados, separada de la red donde están tus computadoras, impresoras y servidor. Cambia también la contraseña de administración del router: la que trae de fábrica suele ser conocida.
14. Copias de seguridad que se puedan restaurar
Ante un ransomware (el virus que cifra tus archivos y pide rescate), la única defensa realmente eficaz es tener copias recientes y desconectadas. Te lo explicamos en detalle en nuestra guía de la regla 3-2-1.
15. Ten un plan de respuesta de una página
Escribe qué hacer si algo pasa: a quién llamar, cómo desconectar el equipo afectado de la red, qué contraseñas cambiar primero y dónde están las copias. En el momento del incidente nadie piensa con claridad; una hoja impresa ayuda mucho.
¿Por dónde empiezo?
| Esta semana | Este mes | Este trimestre |
|---|---|---|
| Verificación en dos pasos en correo y banca. Actualizaciones automáticas. Regla de confirmar pagos por teléfono. | Gestor de contraseñas. Cuentas individuales. Wi-Fi de invitados. Copias de seguridad. | Retiro de equipos sin soporte. Cifrado de laptops. Plan de respuesta. Capacitación breve al personal. |
La capacitación vale más que cualquier programa
Una charla de 30 minutos con tu equipo, con ejemplos reales de correos falsos, reduce más riesgos que muchas herramientas costosas. Repítela cada seis meses y felicita a quien reporte un mensaje sospechoso: así se crea una cultura donde preguntar es lo normal.
Desconecta el equipo afectado de la red (cable y Wi-Fi), no lo apagues si vas a pedir ayuda técnica, cambia desde otro dispositivo las contraseñas del correo y la banca, y avisa a tu banco si hubo movimientos. Después, busca apoyo técnico para revisar el alcance.
Revisamos este artículo periódicamente. Si encuentras un dato desactualizado o tienes una pregunta, escríbenos a info@softecard.com.