Si hay una frase que escucho constantemente cuando hablo con propietarios de pequeñas empresas sobre ciberseguridad es esta: “No somos suficientemente importantes para que alguien nos ataque.”
Entiendo por qué tiene sentido intuitivamente. Si fueras un ladrón, ¿irías a robar a una joyería grande o a un puesto de mercado pequeño? La respuesta obvia es la joyería.
El problema es que los ciberataques no funcionan así.
Los ataques masivos no son selectivos
La mayoría de ciberataques que afectan a PYMEs no empezaron con alguien decidiendo atacar tu empresa específicamente. Empezaron con un script automatizado que escaneó millones de IPs, encontró servicios con configuraciones vulnerables, y atacó a todos los que cumplían los criterios.
No te seleccionaron a ti. Te encontraron.
El coste de lanzar un ataque automatizado a escala es prácticamente cero. Un atacante puede intentar acceder a diez mil empresas simultáneamente con el mismo esfuerzo que intentarlo con una. Y de esas diez mil, algunas tendrán un RDP expuesto, algunas tendrán contraseñas débiles, algunas tendrán software sin parchear.
Las que tienen esas vulnerabilidades son las que caen. No las más grandes ni las más importantes — las menos protegidas.
El phishing tampoco es selectivo
Los ataques de phishing masivo funcionan igual. Se envían millones de correos. El porcentaje de clics solo tiene que ser pequeño para ser rentable.
Si alguien de tu empresa hace clic en un enlace malicioso en un correo que parecía ser de Correos, del banco, o de un proveedor, el resultado puede ser un malware instalado en su equipo. No importa si tu empresa tiene 5 empleados o 500.
El ransomware como negocio
El ransomware se ha profesionalizado. Existen grupos organizados que operan como empresas: tienen estructuras de precios, equipos de soporte (sí, para ayudar a las víctimas a pagar), y un modelo de negocio claro.
Para esos grupos, una PYME no es un objetivo pequeño — es un objetivo fácil. El rescate puede ser de 3.000 a 30.000 euros. Multiplicado por cientos de empresas al año, es un negocio rentable. Y cuanto menos protegida esté la empresa, más rápido y barato es el ataque.
La comparación correcta no es “¿soy interesante para los atacantes?”
La pregunta útil no es si tu empresa merece la atención de un atacante. Es: ¿si alguien ataca miles de empresas aleatoriamente, soy de las que caen?
Eso depende de cosas concretas:
- ¿Tengo servicios de acceso remoto expuestos sin protección adecuada?
- ¿Las contraseñas de mis sistemas son robustas y únicas?
- ¿Mi software está actualizado?
- ¿Mis empleados saben reconocer un correo de phishing?
- ¿Tendría backups desde los que recuperarme si me cifraran los datos?
Si la respuesta a varias de estas preguntas es no o no lo sé, el tamaño de tu empresa no te protege.
No se trata de paranoia
No estoy diciendo que debas tener un equipo de ciberseguridad ni gastar una fortuna en herramientas. Estoy diciendo que la seguridad básica — contraseñas robustas, actualizaciones al día, backups verificados, acceso remoto bien configurado — no es algo que solo necesitan las grandes empresas.
Es el mínimo razonable para cualquier empresa que dependa de sus sistemas informáticos. Y la mayoría de PYMEs, hoy, dependen de ellos para todo.
El primer paso es abandonar la creencia de que el tamaño es una protección. No lo es.