Por qué las pequeñas empresas son un objetivo
Módulo 1: Por qué usted es un objetivo · Tiempo de lectura: 9 minutos
Objetivo de aprendizaje: Después de esta lección podrá explicar cómo trabajan los atacantes (de forma automatizada, orientados al dinero, de manera oportunista) y por qué «somos demasiado pequeños» no es un argumento válido.
Conceptos clave: amenaza, vulnerabilidad, riesgo, ataque oportunista, ataque dirigido, cibercrimen como servicio, superficie de ataque
«¿Qué van a querer de nosotros?»
Esa pregunta se escucha en casi todas las pequeñas empresas. Una panadería, una asesoría de tres personas, un club de fútbol: seguro que hay peces más grandes, ¿no? La idea detrás de esto es que un atacante primero elige un objetivo y después busca cómo entrar. Para una pequeña parte de los ataques, eso es cierto. Pero para la inmensa mayoría ocurre exactamente al revés: el atacante busca primero un punto débil, y le importa poco de quién sea.
Para entender esto bien necesita tres conceptos que aparecerán a lo largo de todo este curso.
- Una amenaza es algo que puede causar daño: un estafador que envía facturas falsas, un ransomware, un compañero que comparte por error el archivo equivocado.
- Una vulnerabilidad es un punto débil que permite que esa amenaza actúe: una contraseña que también utiliza en una tienda online, un plugin que lleva un año sin actualizarse, un proceso de pago sin control.
- Un riesgo es la combinación de ambos: ¿cuál es la probabilidad de que una amenaza actúe a través de una vulnerabilidad, y qué tan grave sería? A menudo se expresa como riesgo = probabilidad x impacto.
No existe una empresa sin vulnerabilidades. Por eso el objetivo de la seguridad no es «riesgo cero», sino reducir los mayores riesgos hasta un nivel con el que se pueda convivir.
Oportunista o dirigido
En términos generales existen dos tipos de ataques.
En un ataque dirigido, el atacante elige una organización concreta. Investiga quién trabaja allí, quién paga las facturas, qué proveedores tiene, y adapta su ataque a esa información. Esto requiere tiempo, así que debe merecer la pena. Piense en un estafador que sabe que su empresa va a pagar una maquinaria importante este mes, y envía justo entonces un «cambio de número de cuenta» como si fuera del proveedor.
En un ataque oportunista ocurre lo contrario. El atacante se centra en un punto débil que aparece simultáneamente en miles de organizaciones, y aprovecha lo que encuentra. No hay una elección personal para su empresa. Usted es simplemente una dirección más en la lista.
| Ataque dirigido | Ataque oportunista | |
|---|---|---|
| Qué se elige primero | La víctima | El punto débil |
| Número de víctimas | Una o unas pocas | Miles a la vez |
| Preparación | Investigación, a medida | Automatizado |
| Ejemplo | Fraude de facturas en un pedido conocido | Intentos masivos de inicio de sesión con contraseñas filtradas |
Las pequeñas empresas se ven afectadas sobre todo por el segundo tipo. No es mala suerte, es matemática: si repetir un ataque no cuesta nada, compensa lanzarlo contra todo el mundo.
Cómo la automatización abarata el ataque
Un atacante no escribe direcciones IP a mano una por una. Utiliza programas que recorren internet día y noche. Un escáner de este tipo pregunta dirección tras dirección: ¿qué servicio corre aquí, qué versión, hay una página de inicio de sesión abierta? En pocas horas se ha recorrido una gran parte de internet.
Supongamos que se descubre una vulnerabilidad en un plugin muy utilizado para tiendas online. Al día siguiente, un escáner busca todos los sitios que tienen ese plugin. Encuentra la tienda online de un despacho de abogados que nunca más ha vuelto a mirar su sitio, la web de una asociación, y www.example.com de Panadería Example. El escáner no sabe qué es una panadería y tampoco le importa. Solo ve: versión antigua, así que ataca.
Lo mismo ocurre con los inicios de sesión. Listas con millones de combinaciones filtradas de correo electrónico y contraseña se prueban automáticamente en el correo, la contabilidad y las redes sociales (lección 1.4). Y los correos de phishing se envían en grandes cantidades; si una pequeña parte de los destinatarios hace clic, la campaña ya es rentable.
Además, ya no hace falta ser usted mismo un hacker para atacar. Ha surgido todo un mercado de cibercrimen como servicio: uno desarrolla el ransomware y lo alquila, otro vende credenciales robadas, un tercero vende acceso a redes empresariales que ya están abiertas. Microsoft describe en su blog de seguridad cómo se agrupan, revenden y finalmente se ofrecen como acceso a empresas los datos robados. El umbral para participar es bajo, y el número de atacantes, elevado.
Dónde está el dinero
Casi todos los ataques contra pequeñas empresas giran en torno al dinero. Ese dinero llega de varias maneras:
- Pago directo. Usted o un compañero transfiere dinero a la cuenta equivocada: una factura falsa, una solicitud urgente «del director» (lección 1.2).
- Rescate. Sus archivos se cifran y tiene que pagar para recuperarlos, o para evitar que datos robados se hagan públicos (lección 1.3).
- Reventa. Credenciales, datos de clientes o acceso a sus sistemas se venden a quien quiera usarlos (lección 1.4).
- Uso de sus sistemas. Su buzón envía spam, su sitio web distribuye malware, su servidor mina criptomonedas. Usted paga la factura en forma de mala reputación o una dirección de correo bloqueada.
- A través de usted hacia otro. Usted es proveedor de una empresa más grande. Un atacante que se apodera de su buzón puede enviar facturas falsas a sus clientes en su nombre.
Las pequeñas empresas resultan atractivas por dos motivos. Sí tienen dinero en la cuenta y pagan facturas, pero a menudo no cuentan con un departamento de TI, ni con el principio de doble verificación en los pagos, ni con una copia de seguridad bien mantenida. Eso aumenta la probabilidad de éxito.
Su superficie de ataque
Todo lo que un atacante puede intentar desde fuera se llama su superficie de ataque. Para una pequeña empresa es más amplia de lo que piensa:
- su sitio web, con el CMS, los plugins y la página de administración;
- su correo electrónico: los buzones, pero también su dominio, que un estafador puede suplantar si SPF, DKIM y DMARC no están bien configurados (módulo 4);
- todas las cuentas online: banco, contabilidad, plataforma de tienda online, redes sociales, el registrador de su dominio;
- los dispositivos: portátiles, teléfonos, el router, el disco de red, la impresora;
- las personas: cualquiera que lea el correo, pague facturas o conteste el teléfono;
- sus proveedores: el desarrollador web con una cuenta de administrador, la empresa de TI con acceso remoto (módulo 7).
Cada componente que ya no utiliza pero que sigue en línea es superficie adicional sin ninguna utilidad. Un sitio de pruebas antiguo en test.example.com, una cuenta FTP olvidada de un desarrollador web anterior, una cuenta de un servicio que canceló hace tres años: nadie les presta atención, por eso ahí es donde están las vulnerabilidades.
Trampas en la forma de pensar
«Nosotros no tenemos nada de valor.»
En todo caso tiene una cuenta bancaria, un buzón en el que confían sus clientes y datos de clientes. Con eso basta.
«Tenemos antivirus, así que estamos seguros.»
El antivirus ayuda frente a una parte del software malicioso. No hace nada contra un compañero que paga una factura de aspecto real con un número de cuenta distinto, ni contra una contraseña filtrada en otro sitio.
«Nuestra empresa de TI se encarga de eso.»
Puede ser. Pero ¿sabe exactamente de qué se encargan? Una empresa de TI suele ocuparse de las actualizaciones y de un antivirus, pero no de su procedimiento de pago, su política de contraseñas o el acceso de su desarrollador web. Quién hace qué es algo que debe acordarse explícitamente (módulo 7).
«A nosotros no nos va a pasar, nunca nos ha pasado.»
A menudo, simplemente no lo sabe. Un buzón comprometido puede ser leído a escondidas durante meses antes de que alguien lo utilice de forma indebida.
En la práctica: así es como ocurre
Un ejemplo, elaborado a partir de situaciones que se repiten con frecuencia. Una pequeña asesoría (cuatro personas) tenía un sitio web con un CMS que había construido el anterior desarrollador web. Nadie volvía a iniciar sesión en él, así que nadie veía los avisos de actualización. Un lunes por la mañana apareció en el buzón un aviso de su proveedor de alojamiento: desde el sitio se estaban distribuyendo páginas de phishing. Los registros mostraron que un escáner había encontrado una vulnerabilidad conocida en un plugin de formularios antiguo, el mismo día que en cientos de sitios más. La asesoría nunca había sido «elegida». La recuperación costó una semana, y el nombre de dominio estuvo un tiempo en una lista de bloqueo, lo que hizo que el correo de la asesoría cayera en la carpeta de spam de sus clientes.
Esa vulnerabilidad se habría podido evitar con una sola actualización. De eso trata el resto de este curso: no de una seguridad perfecta, sino de la base que detiene los ataques baratos y masivos.
Resumen
- Un riesgo es la combinación de una amenaza y una vulnerabilidad: probabilidad x impacto.
- La mayoría de los ataques contra pequeñas empresas son oportunistas: primero el punto débil, después la víctima.
- La automatización y el cibercrimen como servicio abaratan los ataques, por lo que compensa lanzarlos contra todo el mundo.
- Casi todo gira en torno al dinero: pagos falsos, rescates, reventa de datos o uso indebido de sus sistemas.
- Su superficie de ataque está formada por el sitio web, el correo y el dominio, las cuentas, los dispositivos, las personas y los proveedores; los componentes olvidados son los más peligrosos.
Cuestionario
Ejercicio
Ejercicio A1.1: Amenaza, vulnerabilidad y riesgo. Se le presentan cuatro situaciones breves de pequeñas empresas. Indique para cada una cuál es la amenaza y cuál la vulnerabilidad, y estime la probabilidad y el impacto (bajo, medio, alto). Después, ordene las cuatro de mayor a menor riesgo. El programa corrige sus respuestas y explica el porqué de cada situación.
Ejercicio D1.1: Mapa de su superficie de ataque. Elabore una lista de todo lo que su empresa tiene en línea: sitios web y subdominios, cuentas, dispositivos con conexión al exterior, y quién tiene acceso desde fuera. Indique para cada elemento si todavía lo utiliza y quién es el responsable.
Ejercicio D1.1: Mapa de su superficie de ataque
Así lo aborda: (1) Cree una tabla con cinco columnas: elemento, tipo (sitio web, cuenta, dispositivo, proveedor), en uso todavía (sí/no), responsable, observación. (2) Incluya: todos sus sitios web y subdominios (consulte en la gestión de su DNS qué nombres existen), todas las cuentas en línea (correo, banco, contabilidad, alojamiento, registrador, redes sociales, plataforma de tienda online), dispositivos con conexión al exterior (router, NAS, impresora, cámaras, portátiles, teléfonos) y todas las personas externas con acceso (diseñador web, empresa de informática, asesor contable). (3) Marque lo que ya no se usa y ponga una fecha en la que lo eliminará o dará de baja. (4) Guarde la tabla; la volverá a utilizar en las lecciones 7.2 y 9.3.
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Para seguir leyendo
Los pasos de los artículos de WebOké se aplican al entorno de WebOké; en otros proveedores el funcionamiento es similar.
- ¡Ayuda! Mi web ha sido hackeada. ¿Cómo puedo solucionarlo o evitarlo?
- INCIBE, recursos de ciberseguridad para autónomos y pymes: https://www.incibe.es/empresas
- Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (en inglés): https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/