Ciberseguridad básica para PyMEs: 12 medidas que sí puedes aplicar

La administradora recibe un correo del "proveedor de siempre": cambiaron de banco y te piden depositar la factura pendiente a una nueva cuenta. El logotipo es el correcto, la firma también, y el monto coincide. Se hace la transferencia por SPEI y, una semana después, el proveedor real llama para cobrar. El dinero ya no está.

Este tipo de fraude no requiere un hacker de película. Requiere una contraseña filtrada, un correo sin protección o un empleado que no sabía qué revisar. Por eso la ciberseguridad para PyMEs tiene menos que ver con comprar software caro y más con hábitos y configuraciones básicas que casi nadie aplica.

Las 12 medidas de esta guía están ordenadas por área y se pueden aplicar sin un departamento de TI. La mayoría cuestan poco o nada; lo que piden es disciplina.

Por qué una PyME es un blanco atractivo

Muchos dueños piensan "¿quién va a querer atacar mi negocio?". El problema es que la mayoría de los ataques no son dirigidos: son automáticos y masivos. Se prueban contraseñas filtradas en miles de cuentas, se envían correos de phishing a listas enormes y se buscan sitios con plugins desactualizados. Gana el que tenga la puerta abierta.

Además, una PyME suele tener justo lo que interesa: acceso a banca electrónica, datos de clientes, facturas con información fiscal y poca vigilancia. Y a diferencia de una empresa grande, un incidente puede detener la operación por días.

Cuentas y accesos: la primera línea

1. Activa la verificación en dos pasos en todo lo importante

Correo, banca en línea, redes sociales del negocio, WhatsApp, plataforma de facturación, tienda en línea y hosting. Si alguien roba una contraseña, la verificación en dos pasos le impide entrar. Prefiere apps de autenticación o llaves físicas sobre los códigos por SMS cuando la plataforma lo permita.

2. Usa un administrador de contraseñas

Una contraseña distinta y larga para cada servicio es imposible de recordar, por eso existen los administradores de contraseñas. Te permiten además compartir accesos con tu equipo sin mandarlos por WhatsApp ni pegarlos en un post-it.

3. Una cuenta por persona y permisos mínimos

Nada de "ventas@" compartido por cinco personas con la misma contraseña. Cada colaborador debe tener su propio usuario, con acceso solo a lo que necesita. Cuando alguien sale de la empresa, desactivas su cuenta el mismo día.

Haz una lista de todos los servicios que usa tu negocio y quién tiene acceso a cada uno. Si no puedes hacerla, ese es tu primer riesgo.

Correo y mensajería: donde empiezan la mayoría de los fraudes

4. Configura tu dominio contra la suplantación

Si usas correo con tu dominio, pide que configuren los registros SPF, DKIM y DMARC. Sirven para que otros servidores puedan comprobar que un correo realmente salió de tu empresa, lo que dificulta que alguien envíe correos falsos a tu nombre. Lo explicamos con más detalle en dominio propio y correo corporativo.

5. Establece una regla de doble confirmación para pagos

Cualquier cambio de cuenta bancaria de un proveedor, o una solicitud urgente de pago "del director", se confirma por un segundo canal: una llamada al número que ya tienes registrado, no al que viene en el correo. Esta sola regla habría evitado el fraude del ejemplo inicial.

6. Protege el WhatsApp del negocio

Activa la verificación en dos pasos de WhatsApp con un PIN, revisa periódicamente los dispositivos vinculados y no compartas códigos de verificación con nadie, aunque digan ser soporte. El robo de cuentas de WhatsApp para pedir dinero a contactos es un fraude común en México.

Equipos y redes

7. Mantén todo actualizado

Sistema operativo, navegador, antivirus integrado, plugins de tu página web y apps del celular. Las actualizaciones corrigen fallas que los atacantes ya conocen. Activa las actualizaciones automáticas donde sea posible.

8. Separa la red de clientes de la red de trabajo

Si tienes un local, la red wifi para clientes no debe ser la misma que usan tu punto de venta, tus computadoras o tus cámaras. La mayoría de los routers permiten crear una red de invitados en pocos minutos.

9. Cifra y bloquea los equipos

Laptops y celulares de trabajo deben tener contraseña o biometría, bloqueo automático y cifrado del disco activado (la mayoría de los sistemas actuales lo incluyen). Si se pierde una laptop en un Uber, la diferencia entre un susto y un problema legal es si los datos estaban cifrados.

Datos y respaldos

10. Respalda con la regla 3-2-1

Tres copias de tu información, en dos tipos de almacenamiento distintos, una de ellas fuera de la oficina o en la nube. Y lo más importante: prueba que puedes restaurar. Un respaldo que nunca se ha probado es una esperanza, no un respaldo. Si estás pensando en mover tus archivos, revisa esta guía de servicios en la nube para empresas.

11. Cuida los datos personales de tus clientes

Recolecta solo lo que necesitas, guarda la información en sistemas con acceso controlado y ten un aviso de privacidad acorde con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Si usas herramientas de IA, ten especial cuidado con lo que se sube a ellas; lo tratamos en IA y datos personales en México.

12. Capacita a tu equipo dos veces al año

Una sesión corta para mostrar ejemplos reales de phishing, explicar la regla de doble confirmación de pagos y repasar qué hacer si algo se ve raro. La gente es la que hace clic; también es la que puede detectar el engaño a tiempo.

Qué hacer si ya te hackearon

Ten este plan impreso o guardado fuera de tus sistemas principales:

1. Contén: cambia las contraseñas de la cuenta afectada desde un equipo limpio, cierra sesiones activas y desconecta de la red el equipo comprometido.
2. Avisa a tu banco de inmediato si hubo movimientos de dinero. Mientras más rápido, más posibilidades de frenar una transferencia.
3. Revisa accesos: reglas de reenvío en el correo, dispositivos vinculados en WhatsApp, usuarios nuevos en tu web o tienda.
4. Comunica a clientes o proveedores si alguien está usando tu nombre para pedir dinero.
5. Documenta lo que pasó: fechas, capturas, correos. Lo necesitarás si presentas una denuncia ante las autoridades o la policía cibernética de tu estado.
6. Corrige la causa antes de dar el incidente por cerrado.

Cómo priorizar si tienes poco presupuesto

Imagina un despacho contable de seis personas en CDMX que maneja información fiscal de sus clientes. No puede hacer todo en una semana, así que ordena así:

Ninguna de estas medidas es perfecta por sí sola, pero juntas elevan mucho el esfuerzo que necesita un atacante. Y la mayoría de los ataques buscan el blanco fácil. Si además usas herramientas de inteligencia artificial, considera los riesgos de la IA en empresas como parte del mismo plan.

Preguntas frecuentes

¿Con un antivirus es suficiente?

No. El antivirus ayuda contra programas maliciosos, pero no evita que alguien entre con una contraseña robada ni que un empleado haga una transferencia por un correo falso. Las medidas de cuentas, correo y procesos de pago suelen proteger más que el antivirus por sí solo.

¿Necesito contratar a una empresa de ciberseguridad?

Para empezar, no. Las 12 medidas de esta guía puedes aplicarlas con tu proveedor de tecnología o con alguien de tu equipo. Si manejas información muy sensible, como datos de salud o financieros, o ya sufriste un incidente, una auditoría externa sí vale la pena.

¿Qué es el phishing y cómo lo detecto?

Es un engaño en el que alguien se hace pasar por una empresa o persona de confianza para que des datos, hagas un pago o abras un archivo. Las señales típicas son urgencia, cambios de cuenta bancaria, remitentes con direcciones ligeramente distintas y enlaces que no llevan al sitio oficial.

¿Mi página web también puede ser hackeada?

Sí, sobre todo si usa plugins o temas desactualizados. Un sitio comprometido puede redirigir a tus visitantes a páginas fraudulentas o ser marcado como peligroso por los navegadores. Mantén actualizaciones, respaldos y accesos con verificación en dos pasos.

Por dónde empezar hoy

Activa la verificación en dos pasos en tu correo, tu banca y tu WhatsApp, y establece la regla de confirmar por llamada cualquier cambio de cuenta bancaria. Son dos acciones de una tarde que cierran las puertas más usadas.

Si quieres revisar la configuración de tu correo, tu página web y tus accesos con alguien que lo haga contigo, en Emproyecta podemos ayudarte como parte de nuestros servicios de tecnología para PyMEs.