Una empresa pequeña también puede sufrir secuestro de datos: el ataque bloquea o cifra archivos y puede incluir robo de información y exigencia de rescate. La protección debe considerar los sistemas que utiliza la empresa, sus accesos y la forma de recuperar el trabajo.
Según el informe más reciente de investigaciones de brechas de datos (DBIR) de Verizon, el secuestro de datos apareció en el 88% de los casos de brecha sufridos por pequeñas y medianas empresas — frente al 39% entre las organizaciones más grandes. Sophos distingue dos muestras de 2024: el ransomware fue el 70% de los casos de su servicio de respuesta a incidentes en pequeñas empresas y más del 90% en organizaciones medianas, de 500 a 5.000 empleados. Son casos atendidos por ese servicio, no la proporción de todas las empresas atacadas.
Para quien decide el presupuesto de TI en una empresa pequeña, ese dato cambia la pregunta que importa. Ya no es "¿esto nos va a pasar a nosotros?" — es "¿por dónde entraría, si pasara mañana?".
Por qué el ataque encuentra la puerta pequeña
Los delincuentes pueden combinar búsquedas automatizadas, credenciales robadas y acción humana para acceder a una empresa. El informe de Sophos también describe llamadas por Teams con personas que se hacen pasar por soporte. La protección incluye controles técnicos y una forma de confirmar quién solicita acceso.
En el estudio de Sophos sobre pequeñas y medianas empresas, cerca de una cuarta parte de los compromisos iniciales confirmados por telemetría comenzó por un equipo de red expuesto, como el punto que se usa para entrar a la red de la empresa desde afuera. Fallas de seguridad ya conocidas, pero no corregidas, aparecieron en el 14,53% de los casos de intrusión que el equipo investigó. Ninguna de las dos puertas exige un atacante talentoso — solo exige un sistema desactualizado que nadie recordó cerrar, y eso es justo lo que suele sobrar en una empresa sin alguien encargado de vigilarlo todos los días.
En otra muestra, los intentos de robo de datos y ransomware sumaron casi el 30% de los incidentes rastreados por el servicio de detección y respuesta gestionadas de Sophos. Ese conjunto incluye distintas actividades maliciosas detectadas y no debe compararse directamente con los casos de respuesta a incidentes.
En Brasil, el panorama nacional tampoco anima. Kaspersky registró 105 organizaciones afectadas por secuestro de datos en 2024, un alza del 69% sobre las 62 del año anterior — el estudio no se abre por tamaño de empresa, pero muestra que el país sigue en la mira de los ataques. Salud, sector financiero y comercio minorista concentraron la mayor parte de los casos.
Sophos incluye en la categoría de pequeñas empresas a organizaciones de hasta 500 empleados. Estas muestras muestran la presencia del ransomware en los casos analizados; no permiten estimar la probabilidad de ataque de una empresa ni comparar directamente realidades de distintos tamaños.
Por qué la forma habitual no resuelve
La forma habitual de manejar esto en una empresa pequeña es reactiva: llamar a alguien solo cuando algo falla, confiar en una copia de seguridad que nunca se probó, dejar el asunto en manos de quien "entiende más de computadoras" en el equipo — sin tiempo, sin responsabilidad formal y sin una rutina definida para ocuparse de esto todos los días.
El problema es que un ataque automatizado no avisa antes. No manda una prueba. La primera noticia suele ser el mensaje de rescate en la pantalla, un lunes por la mañana, con los archivos ya desordenados. En ese momento, la pregunta "¿quién se encarga de esto en nuestra empresa?" ya debería tener respuesta desde hace meses.
Comprar una herramienta de protección también exige definir quién la configura, supervisa sus actualizaciones y atiende las alertas. Sin ese trabajo, la empresa puede aprovechar menos sus recursos y dejar avisos sin investigar.
El CERT.br, centro nacional que reúne y trata las notificaciones de incidentes de seguridad en Brasil, publicó en 2025 una guía dedicada a este tema justamente porque el patrón se repite. La mayoría de sus recomendaciones no piden comprar nada nuevo — piden rutina: corregir la falla ya conocida, limitar quién accede a qué y mantener una copia aislada de la red principal. Es una guía escrita pensando en quien no tiene una sola persona dedicada a esto todos los días, no en la empresa grande con equipo propio de seguridad.
Lo que tiene que existir en la práctica
Cerrar esa puerta no depende de un solo producto. Depende de un conjunto pequeño de rutinas, sostenidas por alguien responsable de ellas todos los días — no solo cuando el problema ya apareció.
Cada puerta de acceso remoto expuesta a internet, cerrada o protegida por un segundo paso de confirmación además de la contraseña. Es el punto de entrada más común en los ataques automatizados: si no existe abierto, el programa que recorre internet sigue hacia el próximo blanco.
Contraseña única y fuerte en cada sistema, nunca repetida entre ellos. Una contraseña filtrada en un servicio cualquiera no puede ser la misma que abre el servidor de la empresa.
Actualizaciones priorizadas por riesgo. El equipo evalúa criticidad, compatibilidad y necesidad de pruebas, acuerda la ventana de mantenimiento y sigue la aplicación.
Una copia de los archivos guardada fuera del alcance de quien ya entró a la red — desconectada de la red principal o imposible de alterar desde afuera. Un secuestro de datos también apunta a la copia conectada; si está junto al resto, también queda cifrada.
Alguien observando el comportamiento de la red, no solo el antivirus de cada computadora. Un secuestro de datos suele avisar antes de cifrar todo: tráfico fuera de lo normal, acceso en horario extraño, archivos copiándose en masa. Detectarlo a tiempo es la diferencia entre una alerta y una crisis.
Un acuerdo por escrito sobre quién decide qué el día del ataque — quién desconecta la red, quién avisa a la dirección, quién contacta al seguro o al área legal. Decidir esto en medio del incendio cuesta un tiempo que la empresa no tiene.
Skills IT evalúa accesos, configura la protección contratada, revisa alertas y gestiona actualizaciones según el riesgo y la ventana acordada. En el respaldo contratado, define copias, retención y pruebas de restauración. La propuesta registra cobertura, responsabilidades y horarios; el monitoreo continuo no equivale a atención humana las 24 horas.
La ganancia para la empresa
La ganancia de cerrar estas puertas no es la promesa de nunca ser atacado — nadie garantiza eso. Es reducir la probabilidad de que el ataque encuentre camino libre y, si lo encuentra, tener una copia intacta para recomenzar sin tener que negociar con quien secuestró los datos.
Hay un efecto que pocas empresas ponen en la cuenta hasta que lo necesitan: negociar con quien secuestró los datos no es rápido, no es barato, y no garantiza que los archivos vuelvan completos. Tener una copia intacta cambia toda esa conversación — la empresa decide recuperarse por su cuenta, en vez de depender de la buena voluntad de quien la atacó.
Del lado financiero, el cálculo es fácil de explicar a quien aprueba el presupuesto: el costo de mantener estas rutinas funcionando es previsible y mensual. El costo de no tener ninguna de ellas solo aparece después del ataque, y llega más grande, sin aviso y sin cuotas.
El objetivo es reducir interrupciones y preparar la recuperación. Sistemas, datos y dependencias deben evaluarse para definir el plan; no puede garantizarse operación continua durante todo incidente.
Una hoja de ruta para empezar
Antes de la próxima reunión sobre presupuesto de TI, vale la pena llevar estas preguntas listas:
- ¿Qué puertas de acceso remoto de la empresa están abiertas a internet hoy, y por qué? Si nadie sabe responder, esa es la primera brecha por cerrar.
- ¿Existe una copia de seguridad que quede fuera del alcance de quien invade la red principal? Si la respuesta es "todo está en el mismo lugar", el riesgo es mayor de lo que parece.
- ¿Quién, en la empresa, decide qué hacer en el primer minuto de un ataque? Sin esa persona definida, la decisión se traba justo cuando la velocidad importa más.
- ¿Las actualizaciones de seguridad de los sistemas críticos están al día o "en la fila"? Una falla conocida y no corregida es la puerta más fácil de todas.
- ¿Alguien observa el comportamiento de la red, o solo el antivirus de cada computadora? Esa diferencia separa detectar un ataque que empieza de solo descubrirlo cuando termina.
