Para muchos dueños de empresas pequeñas, la lógica parece obvia: "nadie va a perder tiempo atacándonos a nosotros". Es una creencia comprensible — y equivocada. El ransomware, el secuestro de datos en el que un programa desordena los archivos de la empresa y cobra rescate para devolverlos, no elige víctima a dedo. Es automatizado: recorre internet buscando una puerta de acceso abierta y una contraseña débil, y ataca donde encuentra las dos. Y es justo ahí donde suele estar la empresa pequeña.
Según el informe más reciente de investigaciones de brechas de datos (DBIR) de Verizon, el secuestro de datos apareció en el 88% de los casos de brecha sufridos por pequeñas y medianas empresas — frente al 39% entre las organizaciones más grandes. Sophos, proveedor de seguridad que atiende directamente a este público, midió un patrón parecido desde la óptica de quien responde al incidente: en 2024, el secuestro de datos representó el 70% de los casos que atendió entre clientes de hasta 500 empleados, y más del 90% entre clientes de tamaño mediano, de 500 a 5.000 empleados.
Para quien decide el presupuesto de TI en una empresa pequeña, ese dato cambia la pregunta que importa. Ya no es "¿esto nos va a pasar a nosotros?" — es "¿por dónde entraría, si pasara mañana?".
Por qué el ataque encuentra la puerta pequeña
El ataque no es una persona investigando a la empresa antes de actuar. Es un programa que recorre continuamente millones de direcciones de internet buscando un servicio de acceso remoto expuesto, un equipo de red desactualizado o una contraseña repetida en más de un sistema. Cuando lo encuentra, ataca ahí — sin importar si del otro lado hay una fábrica de 40 empleados o una cadena minorista nacional.
En el estudio de Sophos sobre pequeñas y medianas empresas, cerca de una cuarta parte de los compromisos iniciales confirmados por telemetría comenzó por un equipo de red expuesto, como el punto que se usa para entrar a la red de la empresa desde afuera. Fallas de seguridad ya conocidas, pero no corregidas, aparecieron en el 14,53% de los casos de intrusión que el equipo investigó. Ninguna de las dos puertas exige un atacante talentoso — solo exige un sistema desactualizado que nadie recordó cerrar, y eso es justo lo que suele sobrar en una empresa sin alguien encargado de vigilarlo todos los días.
El mismo estudio muestra el tamaño del problema dentro de la rutina de quien atiende a este público: el robo de datos y el secuestro juntos representaron cerca del 30% de todos los incidentes de seguridad que Sophos atendió entre pequeñas y medianas empresas en 2024.
En Brasil, el panorama nacional tampoco anima. Kaspersky registró 105 organizaciones afectadas por secuestro de datos en 2024, un alza del 69% sobre las 62 del año anterior — el estudio no se abre por tamaño de empresa, pero muestra que el país sigue en la mira de los ataques. Salud, sector financiero y comercio minorista concentraron la mayor parte de los casos.
El propio corte de tamaño que usa Sophos ya es revelador: hasta 500 empleados entra en la categoría de empresa pequeña del estudio, y aun así el índice de secuestro de datos supera al de organizaciones mucho más grandes. Dicho de otro modo, el tamaño que la mayoría de los dueños de empresa clasificaría como "demasiado pequeño para interesarle a alguien" ya está dentro del rango más atacado.
Por qué la forma habitual no resuelve
La forma habitual de manejar esto en una empresa pequeña es reactiva: llamar a alguien solo cuando algo falla, confiar en una copia de seguridad que nunca se probó, dejar el asunto en manos de quien "entiende más de computadoras" en el equipo — sin tiempo, sin responsabilidad formal y sin una rutina definida para ocuparse de esto todos los días.
El problema es que un ataque automatizado no avisa antes. No manda una prueba. La primera noticia suele ser el mensaje de rescate en la pantalla, un lunes por la mañana, con los archivos ya desordenados. En ese momento, la pregunta "¿quién se encarga de esto en nuestra empresa?" ya debería tener respuesta desde hace meses.
Comprar una herramienta de protección más sin que nadie la configure, la mantenga actualizada y revise sus alertas todos los días produce el mismo resultado que no comprar nada: el programa queda instalado, y nadie lee lo que avisa hasta que es demasiado tarde.
El CERT.br, centro nacional que reúne y trata las notificaciones de incidentes de seguridad en Brasil, publicó en 2025 una guía dedicada a este tema justamente porque el patrón se repite. La mayoría de sus recomendaciones no piden comprar nada nuevo — piden rutina: corregir la falla ya conocida, limitar quién accede a qué y mantener una copia aislada de la red principal. Es una guía escrita pensando en quien no tiene una sola persona dedicada a esto todos los días, no en la empresa grande con equipo propio de seguridad.
Lo que tiene que existir en la práctica
Cerrar esa puerta no depende de un solo producto. Depende de un conjunto pequeño de rutinas, sostenidas por alguien responsable de ellas todos los días — no solo cuando el problema ya apareció.
Cada puerta de acceso remoto expuesta a internet, cerrada o protegida por un segundo paso de confirmación además de la contraseña. Es el punto de entrada más común en los ataques automatizados: si no existe abierto, el programa que recorre internet sigue hacia el próximo blanco.
Contraseña única y fuerte en cada sistema, nunca repetida entre ellos. Una contraseña filtrada en un servicio cualquiera no puede ser la misma que abre el servidor de la empresa.
Aviso de falla de seguridad crítica que se convierte en actualización aplicada en días, no guardada para el próximo proyecto. Es la diferencia entre cerrar la falla antes o después de que alguien la explote.
Una copia de los archivos guardada fuera del alcance de quien ya entró a la red — desconectada de la red principal o imposible de alterar desde afuera. Un secuestro de datos también apunta a la copia conectada; si está junto al resto, también queda cifrada.
Alguien observando el comportamiento de la red, no solo el antivirus de cada computadora. Un secuestro de datos suele avisar antes de cifrar todo: tráfico fuera de lo normal, acceso en horario extraño, archivos copiándose en masa. Detectarlo a tiempo es la diferencia entre una alerta y una crisis.
Un acuerdo por escrito sobre quién decide qué el día del ataque — quién desconecta la red, quién avisa a la dirección, quién contacta al seguro o al área legal. Decidir esto en medio del incendio cuesta un tiempo que la empresa no tiene.
Así es como trabaja Skills IT: puertas de acceso cerradas por defecto, actualizaciones de seguridad aplicadas apenas se publican, y copias de seguridad guardadas fuera del alcance de quien intente entrar.
La ganancia para la empresa
La ganancia de cerrar estas puertas no es la promesa de nunca ser atacado — nadie garantiza eso. Es reducir la probabilidad de que el ataque encuentre camino libre y, si lo encuentra, tener una copia intacta para recomenzar sin tener que negociar con quien secuestró los datos.
Hay un efecto que pocas empresas ponen en la cuenta hasta que lo necesitan: negociar con quien secuestró los datos no es rápido, no es barato, y no garantiza que los archivos vuelvan completos. Tener una copia intacta cambia toda esa conversación — la empresa decide recuperarse por su cuenta, en vez de depender de la buena voluntad de quien la atacó.
Del lado financiero, el cálculo es fácil de explicar a quien aprueba el presupuesto: el costo de mantener estas rutinas funcionando es previsible y mensual. El costo de no tener ninguna de ellas solo aparece después del ataque, y llega más grande, sin aviso y sin cuotas.
Del lado operativo, la ganancia es que la empresa siga funcionando mientras se resuelve el resto: pedidos saliendo, personal trabajando, clientes siendo atendidos — en vez de todos detenidos esperando a que alguien "arregle la computadora".
Una hoja de ruta para empezar
Antes de la próxima reunión sobre presupuesto de TI, vale la pena llevar estas preguntas listas:
- ¿Qué puertas de acceso remoto de la empresa están abiertas a internet hoy, y por qué? Si nadie sabe responder, esa es la primera brecha por cerrar.
- ¿Existe una copia de seguridad que quede fuera del alcance de quien invade la red principal? Si la respuesta es "todo está en el mismo lugar", el riesgo es mayor de lo que parece.
- ¿Quién, en la empresa, decide qué hacer en el primer minuto de un ataque? Sin esa persona definida, la decisión se traba justo cuando la velocidad importa más.
- ¿Las actualizaciones de seguridad de los sistemas críticos están al día o "en la fila"? Una falla conocida y no corregida es la puerta más fácil de todas.
- ¿Alguien observa el comportamiento de la red, o solo el antivirus de cada computadora? Esa diferencia separa detectar un ataque que empieza de solo descubrirlo cuando termina.
