Los 4 ataques que más afectan a las pymes (y cómo reconocerlos)

Ser pequeño no te protege

La mayoría de los ataques que sufre una pequeña empresa no son personales. Son programas automáticos que rastrean internet a todas horas buscando una contraseña débil, un equipo sin actualizar o alguien con prisa que hace clic donde no debe. Al programa le da igual si detrás hay un banco o una empresa familiar de cinco personas: si encuentra la puerta abierta, entra.

Los datos lo confirman. INCIBE gestionó en 2024 más de 97.000 incidentes de ciberseguridad, y alrededor de un tercio afectaron a empresas, incluidas pymes, micropymes y autónomos (fuente: balance de ciberseguridad 2024 de INCIBE).

Cuatro amenazas explican la mayoría de los sustos. Todas se aprovechan más de las prisas y la confianza de las personas que de fallos técnicos sofisticados.

1. Phishing: el mensaje que se hace pasar por alguien de confianza

Correos, SMS o mensajes de WhatsApp que suplantan a tu banco, a un cliente, a la Agencia Tributaria o incluso a un compañero para que hagas clic en un enlace, abras un archivo o entregues una contraseña. Según los informes europeos de ENISA, es la principal vía por la que los atacantes consiguen su primera entrada en las empresas.

Cómo reconocerlo: te mete prisa o miedo («problema con tu cuenta»), te pide claves o datos, y el enlace lleva a una página que imita a la real. Ante la duda, no se hace clic: se entra por el camino de siempre o se pregunta.

2. Ransomware: el secuestro de tus datos

Un programa malicioso que, una vez dentro, cifra todos los archivos de la empresa (los hace ilegibles) y exige un pago, normalmente en criptomonedas, para devolver el acceso. Es de las amenazas más destructivas porque puede dejar la empresa completamente parada: sin pedidos, sin facturación, sin nada.

Cómo reconocerlo: archivos que no se abren o cambian de nombre, ficheros de texto extraños en las carpetas y, al final, un mensaje que pide un rescate.

3. Fraude del CEO y fraude de la factura: el engaño que desvía tu dinero

En el fraude del CEO, alguien con capacidad para hacer pagos recibe un correo que parece de la gerencia pidiendo una transferencia «urgente y confidencial». En el fraude de la factura, el atacante se hace pasar por un proveedor habitual y comunica un «cambio de número de cuenta» para que los siguientes pagos vayan a su cuenta. INCIBE documenta ambos como estafas frecuentes y especialmente dañinas en las pymes.

Cómo reconocerlo: urgencia, secreto y un cambio en los datos bancarios. La defensa es una norma sencilla: ningún pago ni cambio de cuenta se ejecuta a partir de un correo; se confirma por teléfono, al número de siempre, nunca al que aparece en el mensaje.

4. Robo de credenciales: la llave de tu casa anda suelta

Las credenciales son el usuario y la contraseña con los que se entra al correo, al programa de gestión, a la banca o a los portales de tus clientes. Los atacantes las consiguen con phishing, probando contraseñas débiles o repetidas, o comprando listados de claves robadas en otras webs. Con una sola credencial válida entran como si fueran un empleado, sin forzar nada.

Cómo reconocerlo: contraseñas que dejan de funcionar, avisos de accesos desde lugares u horas imposibles, o contactos que reciben correos raros «de tu parte».

Hazte esta pregunta

Para cada una de las cuatro amenazas, pregúntate: ¿ha estado cerca de pasarme, o me ha pasado ya sin darle importancia? El correo raro que se borró, la factura con un número de cuenta distinto, el ordenador que un día iba lentísimo… Muchas empresas descubren así que el primer aviso ya lo tuvieron.

Para saber más

• Kit de concienciación (enlace externo) INCIBE

  Herramienta gratuita para formar a tu equipo frente a estos engaños.

  https://www.incibe.es/empresas/formacion/kit-concienciacion