La ciberseguridad básica de una pyme se sostiene en cinco medidas: un gestor de contraseñas con una contraseña distinta por servicio, verificación en dos pasos en correo, banca, dominio y redes sociales, capacitación para reconocer phishing, equipos actualizados y respaldos probados fuera de tus sistemas. A eso se suma controlar quién tiene acceso a qué y quitar accesos el mismo día que alguien sale de la empresa.
- Los ataques a pymes suelen ser automáticos: no te eligen, te encuentran.
- Un gestor de contraseñas resuelve el problema de las contraseñas repetidas.
- La verificación en dos pasos por app o llave física es más segura que por SMS.
- Protege primero el correo: quien lo controla puede recuperar todo lo demás.
- Los correos falsos del SAT, bancos y paqueterías son la puerta de entrada más común.
- Quita accesos el mismo día que alguien deja la empresa.
Por qué una pyme sí es un blanco
"¿Quién va a querer hackear a una refaccionaria en Torreón?" Nadie en particular, y ese es el punto. La mayoría de los ataques son automáticos: programas que prueban millones de contraseñas filtradas, envían correos falsos masivos o buscan sitios con plugins sin actualizar. No te eligen por quién eres, te encuentran porque dejaste una puerta abierta.
Los incidentes que más vemos en pymes mexicanas son:
- Robo de cuentas: correo, página de Facebook, cuenta publicitaria de Meta o perfil de Google Business.
- Fraude por correo: un "proveedor" avisa que cambió su cuenta bancaria y pide que el siguiente pago vaya a otra CLABE.
- Sitios web hackeados que muestran spam o redirigen a casinos, como en el caso de Hidrantes y Rociadores del Norte.
- Secuestro de información (ransomware) que cifra las computadoras y pide rescate.
- Robo de WhatsApp con el truco del código de verificación.
Ninguno requiere un genio. Todos se previenen con hábitos básicos.
Contraseñas: un gestor y una distinta para cada cosa
La regla más importante: nunca repitas contraseñas. Cuando un servicio cualquiera sufre una filtración, los atacantes prueban ese mismo correo y contraseña en bancos, correo y redes sociales. Si es la misma, entran.
Nadie puede memorizar 60 contraseñas distintas, por eso existe el gestor de contraseñas: una aplicación cifrada que las guarda, las genera y las llena por ti. Opciones confiables son Bitwarden, 1Password o Proton Pass, y los gestores integrados de Google y Apple para uso personal. Para empresas conviene uno con bóvedas compartidas, para dar acceso al equipo sin mandar contraseñas por WhatsApp.
- Usa contraseñas largas: una frase de cuatro o cinco palabras aleatorias es más fuerte y más fácil de escribir que "P@ssw0rd2026".
- No las cambies cada mes por obligación; cámbialas cuando haya sospecha de filtración. Así lo recomiendan hoy las guías del NIST de Estados Unidos.
- Protege la contraseña maestra del gestor con verificación en dos pasos.
Si necesitas generar una ahora, usa nuestro generador de contraseñas, que las crea en tu navegador sin enviarlas a ningún servidor.
Verificación en dos pasos: no todas valen lo mismo
La verificación en dos pasos (2FA) pide algo más que la contraseña para entrar. Aunque alguien robe tu contraseña, no le alcanza. Pero hay niveles:
| Método | Seguridad | Comentario |
|---|---|---|
| Código por SMS | Básica | Mejor que nada, pero vulnerable a duplicado de SIM y mensajes interceptados |
| App autenticadora (Google Authenticator, Microsoft Authenticator y similares) | Buena | Códigos que cambian cada 30 segundos en tu teléfono |
| Llaves de acceso (passkeys) | Muy buena | Usan la huella o el rostro del dispositivo; resistentes al phishing |
| Llave física de seguridad | La más alta | Un dispositivo USB o NFC; ideal para cuentas críticas |
Actívala en este orden: correo (quien controla tu correo puede restablecer todo lo demás), banca, registrador del dominio y hosting, Meta Business y Google Business Profile, gestor de contraseñas y tu sistema contable. En WhatsApp, activa la verificación en dos pasos con un PIN de seis dígitos y nunca compartas el código que te llega por SMS, aunque te lo pida "un conocido".
Phishing: los correos y mensajes falsos más comunes en México
La puerta de entrada más común no es técnica, es una persona que da clic. Los engaños que más circulan en México:
- "SAT: tienes un adeudo o una factura pendiente" con un archivo ZIP o un enlace. El SAT no envía archivos comprimidos ni pide tu contraseña o tu e.firma por correo.
- "Tu paquete no pudo entregarse" por SMS, con enlace para "pagar el envío".
- "Bloqueamos tu tarjeta" de un supuesto banco, con número para llamar o enlace.
- "Tu página de Facebook será eliminada por infringir derechos", muy dirigido a negocios, con un enlace a un formulario falso de Meta.
- Cambio de datos bancarios de un proveedor, desde un correo casi idéntico al real.
Tres reglas que evitan casi todo: revisa la dirección real del remitente y del enlace antes de dar clic; nunca escribas contraseñas desde un enlace que te llegó, entra tú escribiendo la dirección; y confirma cualquier cambio de cuenta bancaria por teléfono, con un número que ya tenías.
Protege tu correo y tu dominio
Si tu empresa usa correo con su propio dominio, configura tres registros DNS que le dicen al mundo quién puede enviar correos a tu nombre:
- SPF: lista los servidores autorizados para enviar correo de tu dominio.
- DKIM: firma cada correo para demostrar que no fue alterado.
- DMARC: indica qué hacer con correos que fallan las dos anteriores y te manda reportes.
Además de evitar que suplanten tu dominio, mejoran la entrega: Gmail y Yahoo exigen estas configuraciones a quienes envían correo masivo desde 2024. Revisa también que el dominio esté registrado a nombre de la empresa, con renovación automática y verificación en dos pasos en el registrador. Hemos visto negocios perder su dominio porque estaba a nombre de un exempleado o de la agencia anterior.
Equipos y celulares al día
- Actualizaciones automáticas en Windows, macOS, iOS y Android. La mayoría de los ataques usan fallas que ya tienen parche.
- Antivirus integrado activo: Microsoft Defender en Windows es suficiente para la mayoría de las oficinas pequeñas si se mantiene al día.
- Disco cifrado: BitLocker en Windows o FileVault en Mac. Si roban la laptop, no pueden leer la información.
- Bloqueo de pantalla automático y con PIN en computadoras y celulares de trabajo.
- Nada de software pirata. Las versiones "crackeadas" y los plugins piratas de WordPress son una vía frecuente de malware.
- Red de invitados separada para clientes, sobre todo en restaurantes, consultorios y salas de espera.
Accesos: quién entra a qué
Con el tiempo, una pyme acumula accesos que nadie recuerda: el exempleado que sigue siendo administrador de la página de Facebook, el proveedor que tiene la contraseña del hosting, la cuenta compartida "ventas@" con la misma clave desde 2019.
- Haz un inventario de cuentas críticas: correo, banca, dominio, hosting, sitio web, redes sociales, Meta Business, Google, contabilidad, CRM, punto de venta.
- Cada persona con su propio usuario. Las cuentas compartidas impiden saber quién hizo qué.
- Mínimo privilegio: cada quien con el acceso que necesita para su trabajo, no más.
- Baja el mismo día: lista de verificación de salida que incluya todas las cuentas.
- Resguarda la e.firma y los certificados de sello digital del SAT: con los archivos y la contraseña se pueden firmar trámites y emitir facturas a tu nombre.
Para decidir por dónde empezar sin abrumarte, la matriz de Eisenhower ayuda a separar lo urgente de lo importante.
Qué hacer si ya te pasó
Si sospechas que alguien entró a una cuenta o a un equipo, el orden importa:
- Desde un dispositivo limpio, cambia la contraseña de la cuenta afectada y la del correo asociado, y cierra todas las sesiones abiertas.
- Revisa la verificación en dos pasos y los datos de recuperación: los atacantes suelen agregar su propio teléfono o correo para volver a entrar.
- Si hubo movimientos bancarios, llama de inmediato a tu banco por el número de tu tarjeta y presenta la aclaración por escrito.
- Si una computadora muestra un mensaje de rescate, desconéctala de la red, no apagues el resto de los equipos sin revisar y no pagues sin asesoría.
- Avisa a tus clientes si desde tu cuenta se enviaron mensajes falsos, y documenta todo: fechas, capturas y correos.
Si el incidente involucra datos personales de clientes o empleados, la ley mexicana de protección de datos te obliga a informar a los afectados cuando la vulneración afecte de forma significativa sus derechos. Más vale tener este procedimiento escrito antes de necesitarlo.
Tu plan de 30 días
- Semana 1: instala un gestor de contraseñas y activa la verificación en dos pasos en correo, banca y dominio.
- Semana 2: cambia las contraseñas repetidas, revisa administradores de redes sociales, Meta Business y Google, y quita a quien no deba estar.
- Semana 3: configura SPF, DKIM y DMARC; activa actualizaciones automáticas y cifrado de disco.
- Semana 4: revisa tus respaldos con la regla 3-2-1, haz una prueba de restauración y da una plática de 20 minutos al equipo sobre phishing con ejemplos reales.
Para los respaldos, sigue la guía de copias de seguridad para negocios. Si tu sitio usa WordPress, revisa también qué hacer si algún día lo atacan en la guía de WordPress hackeado, y si vas a usar herramientas de IA con datos de clientes, lee la de privacidad de datos al usar IA. Nosotros aplicamos estas medidas en cada proyecto de desarrollo web y de software que entregamos.
