No hace falta ser una gran empresa para sufrir un ciberataque: las PYMEs son objetivo precisamente porque suelen tener menos controles. La buena noticia es que la mayoría de incidentes se apoyan en cosas básicas que faltan. Estas diez comprobaciones cubren lo esencial y puedes empezarlas hoy.
1. Activa el doble factor (MFA) en los accesos críticos
Es la medida con mejor relación coste-beneficio: aunque un atacante consiga tu contraseña, no puede entrar sin el segundo factor. Empieza por el correo (desde él se restablecen casi todas las demás cuentas) y sigue por banca, nube y CRM.
Cómo comprobarlo: entra en la configuración de seguridad de cada servicio y verifica si el doble factor está activo. Si no lo está, actívalo — en la mayoría tarda menos de cinco minutos.
2. Ten claro qué se ve desde Internet
Subdominios olvidados, paneles de administración accesibles, servidores de pruebas… Todo lo que responde desde Internet es superficie de ataque, y suele crecer sin que nadie lo controle.
Cómo comprobarlo: pide a tu proveedor de hosting o DNS el listado de subdominios activos, anota qué es cada uno y apaga o protege lo que no uses. Una auditoría OSINT te lo entrega en 72 h sin tocar tus sistemas y sin coste.
3. Actualizaciones al día (y automáticas donde puedas)
La mayoría de ataques usan fallos que ya tienen parche publicado. No hace falta el último equipamiento: hace falta aplicar los parches.
Cómo comprobarlo: activa las actualizaciones automáticas del sistema operativo y del navegador. Para la web (CMS y plugins), pon una revisión mensual en el calendario.
4. Copias de seguridad que se prueban
Una copia que nunca se ha restaurado no es una copia: es una esperanza. El ransomware busca precisamente las copias conectadas a la red.
Cómo comprobarlo: haz una restauración de prueba a un equipo aislado este trimestre y confirma que las copias no son accesibles desde la red de trabajo con las credenciales habituales.
5. Cuentas de exempleados y accesos olvidados
Bajas, cambios de proveedor, prácticas que terminan… y las cuentas siguen activas. Son una de las puertas de entrada favoritas porque nadie las vigila.
Cómo comprobarlo: haz una lista de quién tiene acceso a correo, CRM, nube y hosting. Todo lo que ya no se use, fuera — hoy mismo.
6. Contraseñas únicas con un gestor de equipo
Reutilizar la contraseña del correo en cualquier otro servicio es regalar la llave: basta una filtración en un foro o una tienda online para abrir la puerta a lo importante.
Cómo comprobarlo: adoptad un gestor de contraseñas con planes de equipo, cread contraseñas únicas y empezad por correo y banca. Los navegadores modernos pueden generarlas y guardarlas por vosotros.
7. Saber si vuestras credenciales circulan por ahí
Cuando una credencial aparece en una filtración, el reloj empieza a correr: los atacantes la probarán contra vuestros sistemas en cuestión de días.
Cómo comprobarlo: revisa tu dominio en fuentes de filtraciones conocidas o encarga una auditoría OSINT: es gratuita, no necesita acceso a tus sistemas y te dice qué credenciales y datos circulan de tu empresa.
8. Formación anti-phishing, con simulacros
El correo sigue siendo la puerta de entrada preferida. Un equipo que sabe reconocer un correo fraudulento es la mejor defensa que existe — y la más barata.
Cómo comprobarlo: organiza un simulacro sencillo, mide quién cae y repite cada seis meses. Refuerza sin castigar: el objetivo es aprender, no señalar a nadie.
9. Alertas y registro de accesos
Detectar un acceso raro a tiempo convierte un desastre de semanas en un incidente de horas.
Cómo comprobarlo: activa las notificaciones de inicio de sesión desde ubicaciones nuevas y revisa los registros de tu proveedor de correo y de la nube al menos una vez al mes.
10. Plan de respuesta: a quién llamar
Cuando pasa algo, improvisar sale caro: la primera hora decide el daño. Un plan de una página vale más que cincuenta páginas teóricas.
Cómo comprobarlo: escribid una hoja con tres cosas: a quién llamar (proveedor, asesor legal, policía), cómo aislar los equipos afectados y dónde están las copias.
Si quieres saber cómo se ve tu empresa desde fuera antes de empezar, empieza por nuestra auditoría OSINT gratuita: analizamos tu exposición pública y te entregamos un informe en 72 h.