La ciberseguridad para pymes ya no es un tema secundario ni exclusivo de grandes empresas. Cualquier negocio que use correo electrónico, facturación online, banca digital, CRM, WhatsApp Business, tienda online, almacenamiento en la nube, redes sociales, TPV, software de gestión o equipos conectados a internet está expuesto a riesgos.

Una pyme puede sufrir un ciberataque por muchas vías: un correo de phishing, una contraseña débil, un ordenador sin actualizar, una copia de seguridad mal hecha, un proveedor comprometido, una web vulnerable, un empleado que instala software no autorizado o una cuenta de Microsoft 365 o Google Workspace sin doble factor.

El problema es que muchas pequeñas empresas creen que “no son objetivo” porque no son grandes, no manejan millones de euros o no tienen datos especialmente valiosos. Esa es una de las ideas más peligrosas. Para un ciberdelincuente, una pyme puede ser atractiva precisamente porque suele tener menos protección, menos personal técnico y procesos de seguridad más informales.

INCIBE recomienda a las pymes pasar de la preocupación a la acción con medidas básicas como actualizar sistemas, usar contraseñas seguras, activar doble factor, realizar copias automáticas y mantener antivirus y cortafuegos actualizados.

Comparativa de software de contabilidad online para negocios

En esta guía veremos los errores de ciberseguridad más comunes en pymes, cómo evitarlos y qué medidas prácticas puedes aplicar aunque no tengas un gran presupuesto.

---

Qué es la ciberseguridad para pymes

La ciberseguridad para pymes es el conjunto de medidas técnicas, organizativas y humanas que protegen los sistemas, dispositivos, datos, cuentas y procesos digitales de una pequeña o mediana empresa.

Incluye proteger:

• Ordenadores.
• Portátiles.
• Móviles.
• Servidores.
• Correo electrónico.
• Web corporativa.
• Tienda online.
• CRM.
• ERP.
• Software de facturación.
• Redes WiFi.
• Copias de seguridad.
• Cuentas bancarias.
• Redes sociales.
• Herramientas cloud.
• Datos de clientes.
• Datos de empleados.
• Documentos internos.
• Accesos de proveedores.

La ciberseguridad no consiste solo en instalar un antivirus. También implica tener buenas políticas, formar al equipo, controlar accesos, hacer backups, actualizar sistemas, saber responder ante incidentes y reducir el riesgo de error humano.

Cómo elegir un servidor VPS: ventajas, precios y proveedores recomendados

INCIBE ofrece políticas de seguridad para pymes con listas de chequeo orientadas a empresarios, equipos técnicos y empleados, cubriendo áreas esenciales que deben estar bajo control.

---

Por qué las pymes son objetivo de ciberataques

Una pyme puede pensar que los ciberdelincuentes solo atacan a bancos, multinacionales o administraciones públicas. En realidad, muchas amenazas están automatizadas y buscan cualquier objetivo vulnerable.

Las pymes suelen tener menos protección

Muchas pequeñas empresas no cuentan con:

• Responsable de ciberseguridad.
• Plan de copias.
• MFA obligatorio.
• Políticas de contraseñas.
• Monitorización.
• Formación periódica.
• Antivirus empresarial.
• EDR.
• Revisión de proveedores.
• Plan de respuesta.
• Auditorías de seguridad.

Esto las convierte en objetivos fáciles.

Mejores herramientas de monitoreo web para evitar caídas en tu sitio

Los ataques son cada vez más automáticos

Los atacantes no siempre investigan manualmente a cada empresa. Muchas veces usan herramientas automatizadas para buscar:

• Webs WordPress vulnerables.
• Puertos RDP abiertos.
• Contraseñas filtradas.
• VPN sin actualizar.
• Paneles expuestos.
• Correos filtrados.
• Servidores mal configurados.
• Plugins antiguos.
• Bases de datos abiertas.

Las pymes tienen datos útiles

Una pyme puede almacenar:

• Facturas.
• Datos bancarios.
• Datos de clientes.
• Contratos.
• Nóminas.
• Presupuestos.
• Documentación fiscal.
• Datos de proveedores.
• Accesos a plataformas.
• Información comercial.
• Bases de datos.

Estos datos pueden usarse para fraude, extorsión, suplantación o venta en mercados clandestinos.

La parada del negocio puede ser crítica

Una gran empresa puede tener equipos de recuperación, redundancia y seguros. Una pyme puede quedar paralizada durante días si pierde el acceso a facturación, correo, tienda online o archivos.

Mejores VPN para proteger tu privacidad en 2026: comparativa completa

CISA recomienda a pequeñas empresas elegir una frecuencia de copias adecuada y escribir un plan de restauración, porque no basta con hacer backups: hay que saber recuperarlos cuando ocurre un incidente.

---

Errores comunes de ciberseguridad en pymes y cómo evitarlos

---

1. Pensar que “mi empresa no interesa a nadie”

Este es uno de los errores más frecuentes y peligrosos. Muchas pymes creen que no tienen nada que merezca ser atacado.

La realidad es distinta. Para un atacante, una pyme puede ser interesante por:

• Sus datos de clientes.
• Sus cuentas bancarias.
• Su correo corporativo.
• Su web.
• Su dominio.
• Sus redes sociales.
• Sus credenciales.
• Sus proveedores.
• Su acceso a empresas más grandes.
• Su capacidad para pagar un rescate.
• Su bajo nivel de protección.

Ejemplo

Una asesoría pequeña puede no parecer un gran objetivo, pero puede tener acceso a datos fiscales, nóminas, certificados digitales, cuentas de clientes y documentación confidencial.

Una tienda online pequeña puede no facturar millones, pero puede tener pedidos, direcciones, datos personales y pasarelas de pago.

Una agencia puede ser usada como puerta de entrada para atacar webs de clientes.

Cómo evitarlo

Cambia el enfoque: no se trata de si eres importante, sino de si eres vulnerable.

Medidas básicas:

• Haz inventario de activos.
• Identifica datos críticos.
• Activa MFA.
• Haz backups.
• Actualiza sistemas.
• Forma al equipo.
• Protege el correo.
• Revisa accesos.
• Ten un plan de respuesta.

La ciberseguridad no debe verse como un lujo, sino como una parte normal de la gestión del negocio.

---

2. Usar contraseñas débiles o repetidas

Las contraseñas siguen siendo una de las puertas de entrada más habituales. Muchas pymes usan claves fáciles, compartidas o repetidas en varios servicios.

Ejemplos de malas prácticas:

• Usar Empresa2026.
• Usar admin123.
• Usar el nombre de la empresa.
• Usar la misma contraseña en correo, CRM y banco.
• Compartir contraseñas por WhatsApp.
• Guardarlas en Excel.
• Tener una contraseña común para todo el equipo.
• No cambiar claves de antiguos empleados.
• Reutilizar contraseñas filtradas.

Por qué es peligroso

Si una contraseña se filtra en un servicio externo y se reutiliza en el correo corporativo, un atacante puede entrar en la cuenta de email. Desde ahí puede:

• Leer facturas.
• Suplantar al gerente.
• Pedir transferencias.
• Cambiar datos bancarios.
• Acceder a otros servicios.
• Restablecer contraseñas.
• Robar documentos.
• Enviar phishing a clientes.

Cómo evitarlo

Usa un gestor de contraseñas empresarial.

Opciones habituales:

• 1Password Business.
• Bitwarden Teams.
• Keeper Business.
• Dashlane Business.
• NordPass Business.

Buenas prácticas:

• Contraseña única para cada servicio.
• Longitud mínima alta.
• Contraseñas aleatorias.
• Nada de claves compartidas.
• MFA obligatorio.
• Revisión de contraseñas filtradas.
• Revocación de accesos al salir un empleado.
• Carpetas compartidas seguras por departamento.
• Accesos temporales para proveedores.

Recomendación práctica

Empieza por proteger estas cuentas:

• Correo.
• Banco.
• Hosting.
• Dominio.
• CRM.
• ERP.
• Facturación.
• Redes sociales.
• Google Workspace o Microsoft 365.
• Pasarelas de pago.
• Copias de seguridad.

---

3. No activar la autenticación multifactor

La autenticación multifactor, también llamada MFA o doble factor, añade una segunda capa de seguridad. Aunque alguien robe una contraseña, necesitará otro factor para entrar.

Aun así, muchas pymes no la activan porque les parece incómoda o creen que no es necesaria.

Dónde debes activar MFA

Como mínimo:

• Correo corporativo.
• Microsoft 365.
• Google Workspace.
• VPN.
• Escritorio remoto.
• Banco.
• Hosting.
• Dominio.
• CRM.
• ERP.
• Software de facturación.
• Copias de seguridad.
• Redes sociales.
• Pasarelas de pago.
• Herramientas de administración.
• Gestores de contraseñas.

Qué métodos son mejores

Más recomendables:

• App autenticadora.
• Llave física FIDO2.
• Passkeys.
• Push con número de verificación.
• Certificado o dispositivo seguro.

Menos recomendable:

• SMS, aunque es mejor que no tener nada.

Cómo evitar problemas

• Obliga MFA a todos los usuarios.
• Prioriza administradores.
• Guarda códigos de recuperación.
• Evita que una sola persona controle todo.
• Revisa dispositivos autorizados.
• Revoca sesiones antiguas.
• Forma al equipo.

INCIBE incluye el doble factor de autenticación entre las medidas básicas para fortalecer la ciberseguridad de una pyme.

---

4. No hacer copias de seguridad o no probarlas

Muchas empresas creen que tienen backup porque “algo se copia en algún sitio”. Pero cuando ocurre un incidente descubren que:

• La copia no se hacía.
• La copia estaba incompleta.
• La copia estaba cifrada por ransomware.
• La copia estaba en el mismo servidor.
• La copia no incluía la base de datos.
• La restauración no funcionaba.
• Nadie sabía cómo recuperar.
• La copia era demasiado antigua.

Por qué es crítico

Las copias de seguridad son la última línea de defensa frente a:

• Ransomware.
• Borrado accidental.
• Fallo de disco.
• Error humano.
• Incendio o robo.
• Actualización fallida.
• Ataque web.
• Corrupción de base de datos.
• Proveedor caído.

ENISA recomienda que las pymes prueben la restauración de sus copias de seguridad y, cuando sea posible, hagan pruebas completas de recuperación de principio a fin.

Cómo evitarlo

Aplica la regla 3-2-1:

• 3 copias de los datos.
• 2 soportes diferentes.
• 1 copia fuera de la ubicación principal.

Para una pyme, una estrategia razonable sería:

• Copia local rápida.
• Copia en la nube.
• Copia offline o inmutable.
• Prueba mensual o trimestral de restauración.
• Alertas si falla el backup.
• Responsable asignado.

Qué debes copiar

• Servidor de archivos.
• Ordenadores críticos.
• Base de datos.
• Web.
• Tienda online.
• CRM, si es autogestionado.
• ERP.
• Facturación.
• Correos importantes.
• Documentos legales.
• Contratos.
• Información de clientes.
• Configuración de sistemas.

Error habitual

Guardar la copia en un disco conectado permanentemente al equipo. Si entra ransomware, puede cifrar también el disco de backup.

---

5. No actualizar sistemas, programas y plugins

Las actualizaciones no son solo mejoras visuales. Muchas corrigen vulnerabilidades de seguridad.

Una pyme puede quedar expuesta por no actualizar:

• Windows.
• macOS.
• Linux.
• Microsoft Office.
• Navegadores.
• Antivirus.
• WordPress.
• WooCommerce.
• PrestaShop.
• Plugins.
• Temas.
• CRM.
• ERP.
• VPN.
• Firewall.
• NAS.
• Routers.
• Servidores.
• Software de escritorio remoto.

Por qué ocurre

Muchas empresas retrasan actualizaciones por miedo a que algo falle. Ese miedo puede ser razonable, pero no actualizar nunca es peor.

Cómo evitarlo

Crea una política de actualizaciones:

• Revisión semanal de parches críticos.
• Revisión mensual general.
• Actualizaciones urgentes en vulnerabilidades graves.
• Copia antes de actualizar.
• Prueba en entorno de staging si es web o ecommerce.
• Registro de cambios.
• Responsable asignado.

Prioridad máxima

Actualiza primero todo lo expuesto a internet:

• VPN.
• Firewalls.
• Servidores.
• WordPress.
• Plugins.
• Paneles de hosting.
• Escritorio remoto.
• NAS.
• Aplicaciones web.
• Correo.
• Routers.

INCIBE recomienda actualizar sistemas y programas como una de las primeras acciones para fortalecer la seguridad de una pyme.

---

6. No formar a los empleados

La tecnología ayuda, pero muchas intrusiones empiezan con un error humano.

Ejemplos:

• Abrir un adjunto malicioso.
• Pulsar un enlace de phishing.
• Enviar una factura a un destinatario equivocado.
• Compartir contraseña.
• Descargar software pirata.
• Aceptar una solicitud falsa.
• Cambiar una cuenta bancaria sin verificar.
• Usar WiFi pública sin protección.
• Ignorar un aviso del antivirus.
• No reportar un incidente por miedo.

Por qué la formación es clave

El empleado puede ser la primera línea de defensa. Si sabe detectar señales de alerta, puede evitar un incidente grave.

Qué debe aprender el equipo

• Reconocer phishing.
• Verificar remitentes.
• Detectar dominios falsos.
• No abrir adjuntos sospechosos.
• No activar macros.
• Reportar incidentes rápido.
• Usar contraseñas seguras.
• Activar MFA.
• No instalar software no autorizado.
• Verificar cambios de cuenta bancaria.
• Desconfiar de urgencias sospechosas.
• Usar canales seguros para datos sensibles.

Cómo hacerlo bien

No hace falta una formación complicada. Puedes hacer:

• Sesión inicial de 1 hora.
• Recordatorios mensuales.
• Simulaciones de phishing.
• Guías internas.
• Carteles o checklists.
• Canal para reportar dudas.
• Formación específica para administración, ventas y dirección.

Mensaje clave

El objetivo no es culpar al empleado. Es crear una cultura donde avisar rápido sea positivo.

---

7. No proteger correctamente el correo electrónico

El correo es una de las puertas principales de entrada. Muchas pymes dependen totalmente del email para facturas, presupuestos, contratos, pedidos, soporte y comunicación interna.

Riesgos comunes

• Phishing.
• Suplantación del gerente.
• Facturas falsas.
• Cambio fraudulento de IBAN.
• Adjuntos con malware.
• Robo de credenciales.
• Reenvíos automáticos ocultos.
• Reglas maliciosas.
• Buzones compartidos sin control.
• Cuentas sin MFA.

Cómo evitarlo

Medidas básicas:

• MFA obligatorio.
• Filtro antispam.
• Protección antiphishing.
• Bloqueo de adjuntos peligrosos.
• Configurar SPF, DKIM y DMARC.
• Revisar reglas de reenvío.
• Alertas de inicio de sesión sospechoso.
• Bloquear macros por defecto.
• Revisar cuentas antiguas.
• Formación del equipo.

SPF, DKIM y DMARC

Estas tres configuraciones ayudan a reducir la suplantación del dominio:

• SPF: indica qué servidores pueden enviar correo por tu dominio.
• DKIM: firma digitalmente los emails.
• DMARC: define qué hacer si un correo no supera las comprobaciones.

Error muy frecuente

No proteger la cuenta de dirección o administración. Estas cuentas suelen recibir facturas, presupuestos, bancos y comunicaciones sensibles.

---

8. Usar cuentas compartidas

Muchas pymes usan cuentas como:

• administracion@empresa.com
• info@empresa.com
• ventas@empresa.com
• admin
• soporte

El problema no es usar buzones compartidos, sino que varias personas usen la misma contraseña y el mismo usuario en aplicaciones críticas.

Por qué es peligroso

Con cuentas compartidas:

• No sabes quién hizo qué.
• No puedes revocar acceso individual.
• Se comparte la contraseña.
• Es más difícil aplicar MFA.
• Hay más riesgo si alguien deja la empresa.
• No hay trazabilidad.
• Se incumplen buenas prácticas.

Cómo evitarlo

• Crea usuarios individuales.
• Usa grupos o buzones compartidos bien configurados.
• Da permisos por rol.
• Activa MFA individual.
• Usa gestor de contraseñas para accesos compartidos inevitables.
• Revisa logs.
• Elimina cuentas genéricas de administración.

Ejemplo correcto

En vez de que tres personas entren con la misma clave a admin@empresa.com, crea usuarios individuales y concede acceso delegado al buzón compartido.

---

9. Dar permisos de administrador a todo el mundo

Un error muy común es que todos los usuarios sean administradores de sus ordenadores o aplicaciones.

Qué puede pasar

Si un usuario con permisos excesivos abre un archivo malicioso, el malware puede hacer más daño.

Puede:

• Instalar programas.
• Desactivar seguridad.
• Cifrar más carpetas.
• Acceder a datos compartidos.
• Cambiar configuraciones.
• Crear usuarios.
• Robar credenciales.
• Moverse por la red.

Cómo evitarlo

Aplica el principio de mínimo privilegio:

Cada persona debe tener solo los permisos necesarios para su trabajo.

Medidas:

• Usuarios normales sin permisos admin.
• Cuenta admin separada.
• Permisos por departamento.
• Acceso limitado a carpetas.
• Revisiones periódicas.
• Bloqueo de instalación de software.
• Control de dispositivos USB.
• Registro de actividad.

Cuentas críticas

Especial cuidado con:

• Administradores de Microsoft 365.
• Administradores de Google Workspace.
• Panel de hosting.
• ERP.
• CRM.
• Facturación.
• Pasarelas de pago.
• Web.
• Copias de seguridad.
• Dominio.

---

10. No tener antivirus empresarial o EDR

Algunas pymes dependen de antivirus gratuitos o de la protección básica del sistema. Puede ser insuficiente para entornos empresariales.

Antivirus vs EDR

Un antivirus tradicional detecta amenazas conocidas y bloquea archivos maliciosos.

Un EDR permite detectar comportamientos sospechosos, investigar incidentes, aislar equipos y responder mejor ante ataques.

Qué debería tener una pyme

Como mínimo:

• Protección endpoint empresarial.
• Consola centralizada.
• Protección en tiempo real.
• Antiransomware.
• Firewall.
• Protección web.
• Alertas.
• Actualizaciones automáticas.
• Control de dispositivos.
• Informes.

Para empresas con mayor riesgo:

• EDR.
• MDR gestionado.
• Monitorización.
• Respuesta ante incidentes.

Herramientas habituales

• Microsoft Defender for Business.
• Bitdefender GravityZone.
• ESET PROTECT.
• Sophos Endpoint.
• Trend Micro.
• SentinelOne.
• CrowdStrike.
• Malwarebytes for Business.

---

11. No controlar el acceso remoto

El teletrabajo y el soporte remoto son habituales, pero pueden ser peligrosos si no se protegen.

Riesgos

• RDP expuesto a internet.
• VPN sin MFA.
• Contraseñas débiles.
• Herramientas como AnyDesk o TeamViewer sin control.
• Usuarios antiguos activos.
• Proveedores con acceso permanente.
• Acceso desde equipos personales inseguros.

Cómo evitarlo

• No expongas RDP directamente a internet.
• Usa VPN segura.
• Activa MFA.
• Limita por IP si es posible.
• Revisa usuarios autorizados.
• Usa equipos gestionados.
• Registra accesos.
• Revoca accesos de proveedores al terminar.
• Actualiza VPN y firewall.
• Evita herramientas remotas no autorizadas.

Acceso de proveedores

Los proveedores deben tener:

• Usuario propio.
• MFA.
• Permisos mínimos.
• Acceso temporal.
• Registro de actividad.
• Contrato o condiciones claras.
• Revocación automática o manual al finalizar.

---

12. No proteger la red WiFi

La red WiFi de una pyme puede ser un punto débil si está mal configurada.

Errores comunes

• Contraseña débil.
• WiFi de invitados en la misma red que empleados.
• Router con clave por defecto.
• Firmware antiguo.
• WPS activado.
• Sin segmentación.
• Contraseña compartida con clientes.
• Mismo acceso para empleados, visitas y dispositivos IoT.

Cómo evitarlo

• Usa WPA2 o WPA3.
• Contraseña fuerte.
• Desactiva WPS.
• Cambia claves por defecto.
• Actualiza router.
• Crea red de invitados separada.
• Separa dispositivos IoT.
• No compartas la WiFi interna con clientes.
• Revisa dispositivos conectados.
• Usa VLAN si es posible.

Recomendación práctica

Como mínimo, separa:

• Red interna.
• Red de invitados.
• Red de dispositivos IoT o cámaras.

---

13. No segmentar la red

Muchas pymes tienen todos los dispositivos en la misma red: ordenadores, servidores, impresoras, cámaras, TPV, NAS, WiFi de invitados y dispositivos personales.

Por qué es peligroso

Si un equipo se infecta, puede alcanzar otros sistemas fácilmente.

Ejemplo:

Un portátil infectado puede acceder a carpetas compartidas, NAS, servidor de facturación o impresoras.

Cómo evitarlo

Segmenta por zonas:

• Usuarios.
• Servidores.
• Invitados.
• Cámaras.
• TPV.
• Administración.
• Copias de seguridad.
• Dispositivos IoT.
• Sistemas críticos.

No todas las pymes necesitan una arquitectura compleja, pero separar lo básico reduce mucho el riesgo.

---

14. No proteger la web corporativa o tienda online

Muchas pymes tienen WordPress, WooCommerce, PrestaShop o una web corporativa, pero no la mantienen.

Errores comunes

• WordPress desactualizado.
• Plugins antiguos.
• Temas pirata.
• Usuario admin.
• Sin WAF.
• Sin backup.
• Sin HTTPS.
• Formularios con spam.
• Permisos incorrectos.
• Hosting barato sin seguridad.
• Panel de administración sin MFA.
• Plugins abandonados.
• Contraseñas débiles.

Consecuencias

Una web vulnerable puede usarse para:

• Redirigir visitantes.
• Enviar spam.
• Robar datos.
• Infectar usuarios.
• Posicionar páginas fraudulentas.
• Robar pedidos.
• Introducir skimmers.
• Dañar la reputación.
• Recibir avisos de Google.

Cómo evitarlo

• Mantén CMS actualizado.
• Usa plugins fiables.
• Elimina lo que no uses.
• Activa HTTPS.
• Usa WAF.
• Haz backup externo.
• Protege login.
• Activa MFA.
• Revisa usuarios admin.
• Escanea malware.
• Usa hosting de calidad.
• No uses software pirata.

---

15. No tener inventario de activos

No puedes proteger lo que no conoces.

Muchas pymes no tienen claro:

• Cuántos ordenadores hay.
• Qué móviles acceden al correo.
• Qué software usan.
• Qué cuentas existen.
• Quién tiene acceso a qué.
• Qué proveedores tienen credenciales.
• Dónde están los datos.
• Qué webs o dominios poseen.
• Qué copias se hacen.
• Qué dispositivos están obsoletos.

Cómo evitarlo

Crea un inventario básico con:

• Equipos.
• Usuarios.
• Móviles.
• Servidores.
• Routers.
• NAS.
• Impresoras.
• Aplicaciones.
• Cuentas cloud.
• Dominios.
• Hosting.
• Proveedores.
• Copias de seguridad.
• Licencias.
• Datos críticos.

Clasifica por criticidad

• Crítico.
• Importante.
• Secundario.
• Obsoleto.
• Desconocido.

Los activos desconocidos son una fuente habitual de riesgo.

ENISA ofrece guías y herramientas orientadas a pymes para mejorar su postura de seguridad mediante pasos prácticos y gestión básica de riesgos.

---

16. No revisar proveedores externos

Una pyme depende de muchos proveedores:

• Gestoría.
• Informático.
• Hosting.
• Agencia web.
• CRM.
• ERP.
• Software de facturación.
• Email marketing.
• Pasarela de pago.
• Logística.
• Cloud.
• Mantenimiento.
• Soporte remoto.

Riesgo

Un proveedor con acceso a tus sistemas puede ser una puerta de entrada.

Ejemplos:

• Agencia con acceso admin a WordPress.
• Informático con acceso remoto permanente.
• Gestoría con certificados digitales.
• Proveedor SaaS sin MFA.
• Antiguo freelance con acceso al hosting.
• Partner con credenciales compartidas.

Cómo evitarlo

• Lista todos los proveedores con acceso.
• Da permisos mínimos.
• Usa cuentas individuales.
• Activa MFA.
• Revoca accesos antiguos.
• Revisa contratos.
• Pregunta por medidas de seguridad.
• Limita accesos temporales.
• Registra actividad.
• Exige canales seguros.

Preguntas útiles al proveedor

• ¿Tenéis MFA?
• ¿Cómo protegéis nuestros datos?
• ¿Quién puede acceder?
• ¿Dónde se almacenan los datos?
• ¿Hacéis backups?
• ¿Cómo notificáis incidentes?
• ¿Tenéis contrato de tratamiento?
• ¿Cómo se revocan accesos?

---

17. No tener plan de respuesta ante incidentes

Muchas pymes improvisan cuando ocurre un incidente. Eso genera caos.

Escenarios posibles

• Ransomware.
• Cuenta de correo robada.
• Web hackeada.
• Pérdida de portátil.
• Fuga de datos.
• Factura falsa pagada.
• Dominio secuestrado.
• Caída de sistemas.
• Malware en servidor.
• Robo de redes sociales.
• Error de actualización.
• Backup fallido.

Qué debe incluir un plan básico

• Responsable principal.
• Teléfono del proveedor IT.
• Contacto del hosting.
• Contacto legal/RGPD.
• Contacto de aseguradora.
• Procedimiento para aislar equipos.
• Procedimiento para cambiar contraseñas.
• Ubicación de backups.
• Criterios para restaurar.
• Plantillas de comunicación.
• Registro de evidencias.
• Procedimiento para denunciar.
• Criterios de notificación a AEPD si hay datos personales.

INCIBE dispone de guías de gestión de crisis de ciberseguridad y señala el papel de INCIBE-CERT como equipo de referencia ante incidentes coordinado con otros equipos nacionales e internacionales.

---

18. No controlar dispositivos móviles

Los móviles son herramientas de trabajo: correo, WhatsApp, banco, CRM, autenticación, documentos y llamadas.

Riesgos

• Móvil perdido.
• Sin PIN.
• Apps no autorizadas.
• Phishing por SMS.
• WhatsApp comprometido.
• Redes WiFi públicas.
• Capturas con datos sensibles.
• Sin cifrado.
• Sin borrado remoto.
• Cuentas personales mezcladas.
• Dispositivo de ex empleado activo.

Cómo evitarlo

• PIN o biometría obligatorio.
• Cifrado.
• MFA.
• Borrado remoto.
• Actualizaciones.
• Separar cuentas personales y profesionales.
• No guardar contraseñas en notas.
• Controlar dispositivos autorizados.
• Revisar sesiones activas.
• Usar MDM si hay muchos dispositivos.

Para pymes pequeñas

Como mínimo:

• Bloqueo de pantalla.
• Actualizaciones automáticas.
• MFA.
• No compartir códigos.
• Borrado remoto en Google/Microsoft/Apple.
• Prohibir enviar datos sensibles por canales inseguros.

---

19. Usar software pirata o no autorizado

El software pirata es una fuente habitual de malware.

Ejemplos peligrosos:

• Cracks.
• Activadores.
• Plugins nulled.
• Temas WordPress pirata.
• Plantillas descargadas de sitios dudosos.
• Programas de diseño no oficiales.
• Herramientas de productividad pirateadas.

Riesgos

• Malware.
• Robo de credenciales.
• Backdoors.
• Pérdida de datos.
• Problemas legales.
• Falta de actualizaciones.
• Incompatibilidades.
• Puertas traseras en la web.

Cómo evitarlo

• Usa software oficial.
• Compra licencias.
• Descarga solo desde fuentes confiables.
• Bloquea instalación no autorizada.
• Mantén inventario de software.
• Elimina programas innecesarios.
• Forma al equipo.

En una web o tienda online, nunca uses plugins o temas pirata.

---

20. No cifrar dispositivos ni datos sensibles

Si un portátil se pierde o lo roban, los datos pueden quedar expuestos.

Qué debes cifrar

• Portátiles.
• Discos externos.
• Backups.
• Móviles.
• Documentos especialmente sensibles.
• Bases de datos críticas.
• USBs.
• Equipos de dirección.
• Equipos de administración.

Herramientas

• BitLocker en Windows.
• FileVault en macOS.
• Cifrado nativo en móviles.
• VeraCrypt para contenedores.
• Cifrado de backup.
• Cifrado en almacenamiento cloud.

Buenas prácticas

• Cifrado activado por defecto.
• Claves guardadas de forma segura.
• MFA en cuentas cloud.
• Evitar USBs sin cifrar.
• No enviar datos sensibles sin protección.
• Control de acceso por permisos.

---

21. No revisar permisos en la nube

Google Drive, OneDrive, Dropbox, SharePoint y otras plataformas son muy útiles, pero pueden convertirse en un riesgo si se comparten mal.

Errores frecuentes

• Enlaces públicos sin caducidad.
• Carpetas compartidas con antiguos empleados.
• Documentos sensibles accesibles por toda la empresa.
• Permisos de edición innecesarios.
• Archivos de clientes mezclados.
• Copias locales sin control.
• Sin MFA.
• Sin backup independiente.

Cómo evitarlo

• Revisa enlaces compartidos.
• Usa carpetas por departamento.
• Aplica permisos mínimos.
• Desactiva usuarios antiguos.
• Activa MFA.
• Usa etiquetas de sensibilidad si aplica.
• Evita enlaces “cualquiera con el enlace”.
• Configura caducidad.
• Haz backup de Microsoft 365 o Google Workspace si los datos son críticos.

ENISA advierte que las soluciones cloud ofrecen ventajas, pero también riesgos específicos que las pymes deben considerar al elegir proveedor y al migrar servicios a la nube.

---

22. No proteger redes sociales y cuentas publicitarias

Muchas pymes dependen de Instagram, Facebook, LinkedIn, TikTok, Google Ads o Meta Ads. Perder una cuenta puede suponer pérdida de ventas y reputación.

Riesgos

• Robo de cuenta.
• Campañas fraudulentas.
• Cambio de administrador.
• Phishing a empleados.
• Pérdida de página.
• Suplantación.
• Acceso de agencias antiguas.
• Métodos de pago comprometidos.

Cómo evitarlo

• MFA en todas las cuentas.
• Administradores mínimos.
• No usar perfiles personales inseguros.
• Revisar Business Manager.
• Eliminar agencias antiguas.
• Revisar métodos de pago.
• Usar correos corporativos.
• No compartir contraseñas.
• Activar alertas.
• Guardar documentación de propiedad.

---

23. No tener políticas internas

Muchas pymes funcionan con normas informales. Eso genera inconsistencias.

Políticas mínimas recomendadas

• Política de contraseñas.
• Política de uso de dispositivos.
• Política de teletrabajo.
• Política de copias de seguridad.
• Política de correo.
• Política de acceso de proveedores.
• Política de uso de IA.
• Política de clasificación de datos.
• Política de bajas de empleados.
• Política de respuesta ante incidentes.

No hace falta complicarlo

Una política puede ser una página clara con:

• Qué se permite.
• Qué no se permite.
• Quién es responsable.
• Qué hacer ante dudas.
• Cómo reportar incidentes.

INCIBE proporciona modelos de políticas de seguridad para pymes con listas de chequeo que ayudan a implantar procesos internos de ciberseguridad.

---

24. No monitorizar señales de alerta

Una pyme no necesita un SOC avanzado desde el primer día, pero sí debe tener alertas básicas.

Qué monitorizar

• Copias fallidas.
• Inicios de sesión sospechosos.
• Nuevos administradores.
• Cambios en DNS.
• Cambios en web.
• Malware.
• Certificado SSL.
• Caídas de web.
• Errores de servidor.
• Reglas de correo nuevas.
• Reenvíos externos.
• Intentos de login.
• Uso anómalo de cuentas.
• Facturas o pagos sospechosos.

Herramientas útiles

• Alertas de Microsoft 365.
• Alertas de Google Workspace.
• UptimeRobot.
• Better Stack.
• Cloudflare.
• Wordfence.
• Patchstack.
• Sucuri.
• Antivirus empresarial.
• EDR.
• Logs del hosting.
• Alertas bancarias.
• Alertas de dominio.

Recomendación

Empieza por alertas de:

• Backup fallido.
• Inicio de sesión sospechoso.
• Web caída.
• Certificado SSL próximo a caducar.
• Nuevo administrador.
• Malware detectado.

---

25. No cumplir protección de datos

La ciberseguridad y la protección de datos están conectadas. Si tratas datos personales, debes aplicar medidas de seguridad adecuadas.

Datos habituales en una pyme

• Clientes.
• Empleados.
• Proveedores.
• Facturas.
• Contratos.
• Emails.
• Teléfonos.
• Direcciones.
• Cuentas bancarias.
• Nóminas.
• Historial de compras.
• Datos de salud, en algunos sectores.

Errores comunes

• Guardar datos sin control.
• Enviar documentos sensibles por email sin protección.
• No limitar accesos.
• No tener contrato con proveedores.
• No eliminar datos antiguos.
• No cifrar backups.
• No saber qué hacer ante brecha.
• Usar herramientas personales para datos de empresa.

Cómo evitarlo

• Minimiza datos.
• Controla permisos.
• Firma contratos con proveedores.
• Cifra información sensible.
• Establece plazos de conservación.
• Registra incidentes.
• Forma al equipo.
• Ten procedimiento de brechas.
• Usa herramientas empresariales, no cuentas personales.

---

Cómo proteger una pyme paso a paso

Paso 1: Haz un diagnóstico rápido

Responde:

• ¿Qué datos son críticos?
• ¿Dónde están?
• ¿Quién accede?
• ¿Qué sistemas usas?
• ¿Qué cuentas son críticas?
• ¿Tienes backups?
• ¿Has probado restauración?
• ¿Tienes MFA?
• ¿Hay usuarios antiguos?
• ¿Qué proveedores tienen acceso?
• ¿Qué pasaría si no pudieras facturar mañana?

Paso 2: Protege cuentas críticas

Prioridad:

• Correo.
• Banco.
• Hosting.
• Dominio.
• Microsoft 365 o Google Workspace.
• CRM.
• Facturación.
• Redes sociales.
• Pasarelas de pago.
• Copias de seguridad.

Acciones:

• Contraseñas únicas.
• MFA.
• Usuarios individuales.
• Eliminar accesos antiguos.
• Gestor de contraseñas.

Paso 3: Asegura los equipos

• Antivirus empresarial.
• Actualizaciones.
• Sin permisos admin.
• Cifrado.
• Bloqueo de pantalla.
• Protección web.
• Control de USB.
• Inventario de dispositivos.

Paso 4: Haz backups serios

• Backup automático.
• Copia externa.
• Copia offline o inmutable.
• Prueba de restauración.
• Alertas de fallo.
• Responsable definido.

Paso 5: Forma al equipo

• Phishing.
• Contraseñas.
• MFA.
• Uso del correo.
• Pagos y facturas.
• Reporte de incidentes.
• Software autorizado.
• Protección de datos.

Paso 6: Protege la web

• HTTPS.
• Actualizaciones.
• Backups.
• WAF.
• MFA.
• Plugins fiables.
• Eliminar usuarios antiguos.
• Escaneo malware.
• Hosting seguro.

Paso 7: Crea un plan de respuesta

Debe indicar:

• A quién llamar.
• Qué sistemas apagar o aislar.
• Cómo cambiar contraseñas.
• Dónde están los backups.
• Cómo restaurar.
• Qué evidencias guardar.
• Cómo comunicar.
• Cuándo pedir ayuda externa.

---

Plan de ciberseguridad para pymes por niveles

Nivel básico: imprescindible

Para cualquier pyme:

• MFA en correo.
• Gestor de contraseñas.
• Backups automáticos.
• Copia externa.
• Antivirus empresarial.
• Actualizaciones.
• Formación básica.
• Usuarios individuales.
• WiFi de invitados separada.
• Eliminación de usuarios antiguos.
• HTTPS en web.
• Plan básico de respuesta.

Nivel intermedio: recomendable

Para pymes con varios empleados:

• EDR.
• Backup inmutable.
• Políticas internas.
• Revisión mensual de accesos.
• Segmentación básica.
• Protección avanzada de correo.
• Simulaciones de phishing.
• MDM básico para móviles.
• Control de proveedores.
• Monitorización de web.
• Auditoría anual.

Nivel avanzado: para empresas con datos sensibles

Para clínicas, asesorías, ecommerce, legal, finanzas o empresas B2B críticas:

• MDR o SOC externo.
• SIEM.
• DLP.
• Auditorías periódicas.
• Pentest.
• Gestión de vulnerabilidades.
• Zero Trust.
• Cifrado avanzado.
• Plan de continuidad.
• Pruebas de recuperación.
• Formación recurrente.
• Revisión legal/RGPD.

---

Herramientas útiles de ciberseguridad para pymes

Contraseñas

• Bitwarden.
• 1Password.
• Keeper.
• Dashlane.
• NordPass.

MFA

• Microsoft Authenticator.
• Google Authenticator.
• Authy.
• Duo.
• Llaves YubiKey.
• Passkeys.

Protección endpoint

• Microsoft Defender for Business.
• ESET PROTECT.
• Bitdefender GravityZone.
• Sophos Endpoint.
• Malwarebytes for Business.
• SentinelOne.
• CrowdStrike.

Backup

• Acronis.
• Veeam.
• Datto.
• IDrive.
• Backblaze.
• Wasabi.
• Synology C2.
• Microsoft 365 Backup.
• Google Workspace Backup.

Seguridad web

• Cloudflare.
• Sucuri.
• Wordfence.
• Patchstack.
• ManageWP.
• MainWP.
• WPMU DEV.
• Imunify360.

Monitorización

• UptimeRobot.
• Better Stack.
• StatusCake.
• Google Search Console.
• Microsoft 365 Defender.
• Google Workspace Admin alerts.
• Logs del hosting.

Formación

• INCIBE.
• ENISA.
• CISA.
• Simuladores de phishing.
• Cursos internos.
• Guías de políticas.

ENISA mantiene recursos específicos para pymes, incluyendo guías, informes, checklist y herramientas como SecureSME para reforzar la seguridad digital.

---

Checklist de ciberseguridad para pymes

Cuentas y accesos

• ¿Todas las cuentas críticas tienen MFA?
• ¿Cada empleado tiene usuario propio?
• ¿Se usa gestor de contraseñas?
• ¿Se han eliminado usuarios antiguos?
• ¿Los proveedores tienen acceso limitado?
• ¿Las cuentas admin están separadas?
• ¿Hay revisión mensual de accesos?

Equipos

• ¿Todos los equipos están actualizados?
• ¿Tienen antivirus empresarial?
• ¿Los usuarios no son administradores?
• ¿Los portátiles están cifrados?
• ¿Hay bloqueo automático de pantalla?
• ¿Se controla software instalado?
• ¿Hay inventario de dispositivos?

Correo

• ¿Está activado MFA?
• ¿Hay filtro antiphishing?
• ¿SPF, DKIM y DMARC están configurados?
• ¿Se bloquean adjuntos peligrosos?
• ¿Se revisan reenvíos sospechosos?
• ¿El equipo sabe detectar phishing?

Backups

• ¿Hay copias automáticas?
• ¿Hay copia externa?
• ¿Hay copia offline o inmutable?
• ¿Se prueban restauraciones?
• ¿Hay alertas si falla el backup?
• ¿Alguien es responsable del backup?

Red

• ¿La WiFi de invitados está separada?
• ¿La contraseña WiFi es fuerte?
• ¿El router está actualizado?
• ¿WPS está desactivado?
• ¿Hay segmentación básica?
• ¿Los dispositivos IoT están separados?

Web

• ¿La web usa HTTPS?
• ¿CMS y plugins están actualizados?
• ¿Hay backup externo?
• ¿Hay WAF?
• ¿Hay MFA para administradores?
• ¿Se usan plugins oficiales?
• ¿Se escanea malware?

Proveedores

• ¿Sabes quién tiene acceso?
• ¿Hay contratos adecuados?
• ¿Tienen MFA?
• ¿Se revocan accesos antiguos?
• ¿Se revisan permisos?
• ¿Se usan cuentas individuales?

Respuesta ante incidentes

• ¿Existe plan de respuesta?
• ¿Sabes a quién llamar?
• ¿Sabes dónde están las copias?
• ¿Sabes cómo aislar equipos?
• ¿Hay procedimiento de brecha de datos?
• ¿Se guardan evidencias?

---

Ejemplo práctico: pyme de 10 empleados

Una empresa de servicios con 10 empleados usa Microsoft 365, una web WordPress, software de facturación, Google Drive compartido y varios portátiles.

Riesgos principales

• Phishing.
• Robo de correo.
• Ransomware.
• Web vulnerable.
• Copias insuficientes.
• Accesos de antiguos proveedores.
• Contraseñas repetidas.

Plan recomendado

Primera fase:

• Activar MFA en Microsoft 365.
• Instalar gestor de contraseñas.
• Revisar usuarios antiguos.
• Activar backup externo.
• Instalar antivirus empresarial.
• Actualizar WordPress y plugins.
• Revisar permisos en Drive.
• Separar WiFi de invitados.
• Formar al equipo en phishing.

Segunda fase:

• Configurar SPF, DKIM y DMARC.
• Implantar EDR.
• Crear política de accesos.
• Crear plan de respuesta.
• Probar restauración.
• Instalar WAF en la web.
• Revisar proveedores.
• Cifrar portátiles.

Tercera fase:

• Simulaciones de phishing.
• Auditoría anual.
• Backup inmutable.
• Segmentación de red.
• Monitorización avanzada.
• Revisión de cumplimiento RGPD.

---

Errores que cuestan más dinero a una pyme

Pagar una factura falsa

Un atacante suplanta a un proveedor y pide cambiar el IBAN.

Cómo evitarlo:

• Verificar por teléfono.
• Usar doble aprobación.
• No aceptar cambios solo por email.
• Registrar cuentas bancarias validadas.

Perder acceso al correo

El atacante entra y controla comunicaciones.

Cómo evitarlo:

• MFA.
• Contraseñas únicas.
• Alertas.
• Revisión de reglas.
• Formación.

Sufrir ransomware sin backup

La empresa queda paralizada.

Cómo evitarlo:

• Backups externos.
• Copia inmutable.
• Pruebas de restauración.
• EDR.
• Formación.

Web hackeada

La web redirige, envía spam o roba datos.

Cómo evitarlo:

• Actualizaciones.
• WAF.
• Backups.
• MFA.
• Plugins oficiales.
• Monitorización.

Dominio secuestrado

Perder el dominio puede afectar web, correo y marca.

Cómo evitarlo:

• MFA en registrador.
• Bloqueo de transferencia.
• Datos actualizados.
• Acceso controlado.
• Renovación automática.

---

Buenas prácticas de ciberseguridad para pymes

Prioriza lo que más impacto tiene

No intentes hacerlo todo en una semana. Empieza por:

1. MFA.
2. Backups.
3. Actualizaciones.
4. Contraseñas.
5. Formación.
6. Antivirus/EDR.
7. Control de accesos.
8. Plan de respuesta.

Documenta lo básico

Ten por escrito:

• Lista de sistemas.
• Proveedores.
• Usuarios críticos.
• Ubicación de backups.
• Procedimiento de baja de empleados.
• Qué hacer ante phishing.
• Qué hacer ante ransomware.
• Contactos de emergencia.

Revisa cada trimestre

Cada tres meses:

• Usuarios.
• Backups.
• Permisos.
• Proveedores.
• Contraseñas críticas.
• Actualizaciones.
• Web.
• Redes sociales.
• Cuentas bancarias.
• Políticas.

Hazlo sencillo para el equipo

Si la seguridad es demasiado complicada, la gente buscará atajos.

Mejor:

• Gestor de contraseñas.
• MFA fácil.
• Procedimientos claros.
• Canal para dudas.
• Formación práctica.
• Herramientas que se integren en el trabajo diario.

---

Preguntas frecuentes sobre ciberseguridad para pymes

¿Qué es la ciberseguridad para pymes?

Es el conjunto de medidas que protegen los sistemas, datos, cuentas, dispositivos y procesos digitales de una pequeña o mediana empresa frente a amenazas como phishing, ransomware, malware, robo de credenciales o fraude.

¿Cuál es el error más común en ciberseguridad para pymes?

Pensar que la empresa no es objetivo. Muchas pymes son atacadas precisamente porque tienen menos medidas de seguridad y procesos menos controlados.

¿Qué medidas básicas debe aplicar una pyme?

MFA, contraseñas únicas, gestor de contraseñas, backups probados, actualizaciones, antivirus empresarial, formación, control de accesos y plan básico de respuesta.

¿Qué es MFA?

Es autenticación multifactor. Añade una segunda capa de seguridad además de la contraseña, como una app autenticadora, llave física o passkey.

¿Una pyme necesita antivirus?

Sí, pero lo recomendable es usar protección empresarial con consola centralizada. En empresas con mayor riesgo, conviene valorar EDR.

¿Qué es EDR?

EDR significa Endpoint Detection and Response. Permite detectar comportamientos sospechosos, investigar incidentes y responder mejor que un antivirus tradicional.

¿Cada cuánto debe hacer backups una pyme?

Depende del negocio. Como mínimo, copias diarias para datos importantes. Si hay pedidos, facturación diaria o datos críticos, pueden ser necesarias copias más frecuentes.

¿Basta con guardar archivos en Google Drive o OneDrive?

No siempre. La sincronización en la nube no sustituye necesariamente a un backup independiente, especialmente frente a ransomware, borrados masivos o errores de cuenta.

¿Qué es phishing?

Es una técnica de engaño para que el usuario revele contraseñas, pague una factura falsa, descargue malware o entre en una web falsa.

¿Cómo puede una pyme evitar phishing?

Con formación, filtros de correo, MFA, verificación de pagos, bloqueo de adjuntos peligrosos, SPF/DKIM/DMARC y cultura de reporte rápido.

¿Qué debe hacer una pyme ante un ransomware?

Aislar equipos afectados, no borrar evidencias, contactar con soporte especializado, revisar alcance, proteger backups, cambiar credenciales comprometidas y restaurar desde copias limpias si es posible.

¿Conviene pagar un rescate?

No es recomendable decidirlo sin asesoramiento. Pagar no garantiza recuperar datos ni evita que los atacantes vuelvan a extorsionar.

¿Qué cuentas debe proteger primero una pyme?

Correo, banco, hosting, dominio, Microsoft 365 o Google Workspace, CRM, ERP, facturación, copias de seguridad, redes sociales y pasarelas de pago.

¿Cómo proteger una web WordPress de empresa?

Actualizar WordPress, plugins y temas; usar hosting seguro; activar HTTPS; instalar WAF; usar MFA; eliminar plugins innecesarios; hacer backups externos y no usar plugins pirata.

¿Qué hacer cuando un empleado deja la empresa?

Desactivar su cuenta, revocar sesiones, transferir archivos, cambiar accesos compartidos, retirar permisos de proveedores, revisar dispositivos y eliminar acceso a correo, CRM, cloud y redes sociales.

¿Qué es el principio de mínimo privilegio?

Es dar a cada usuario solo los permisos que necesita para trabajar, evitando accesos excesivos o usuarios administradores innecesarios.

¿Una pyme necesita una auditoría de ciberseguridad?

Es recomendable, especialmente si maneja datos sensibles, ecommerce, información de clientes, sistemas críticos o trabaja con empresas grandes.

¿Cuánto cuesta proteger una pyme?

Depende del tamaño y riesgo. Muchas medidas básicas tienen bajo coste: MFA, gestor de contraseñas, backups, formación y actualizaciones. Las soluciones avanzadas como EDR, MDR o auditorías tienen mayor coste, pero pueden evitar pérdidas mucho más graves.

¿Qué organismos ofrecen ayuda a pymes?

INCIBE ofrece recursos, políticas, guías y ayuda para empresas en España. ENISA también publica guías y herramientas para pymes en la Unión Europea.

¿Cuál es la mejor estrategia de ciberseguridad para una pyme?

Empezar por lo esencial: MFA, backups probados, actualizaciones, contraseñas seguras, formación, protección endpoint, control de accesos y plan de respuesta. Después, avanzar hacia monitorización, EDR, segmentación, auditorías y políticas internas.

Si quieres conocer otros artículos parecidos a Ciberseguridad para pymes: errores comunes y cómo evitarlos puedes visitar la categoría Blog.