La ciberseguridad para pymes empieza por lo básico: activar la verificación en dos pasos, tener copias de seguridad que un atacante no pueda borrar, mantener todo actualizado y enseñar al equipo a detectar engaños. Los ataques que más afectan a negocios pequeños son el phishing, el ransomware, el fraude del CEO y el robo de cuentas, y casi todos entran por un correo o una contraseña débil. INCIBE ofrece ayuda y recursos sin coste, y hay programas de ayudas para implantar medidas.
Los ataques que más afectan a una pyme
Un negocio pequeño no necesita ser famoso para ser objetivo. La mayoría de ataques son automáticos o masivos, y buscan al que tiene la puerta abierta.
| Ataque | Cómo llega | Señal de alerta | Medida clave |
|---|---|---|---|
| Phishing | Correo, SMS o WhatsApp que suplanta a un banco, a Hacienda, a un proveedor o a una paquetería | Urgencia, enlace raro, petición de contraseña o código | Formación y verificación en dos pasos |
| Ransomware | Adjunto o enlace malicioso, acceso remoto mal protegido, programas sin actualizar | Archivos que no se abren y nota pidiendo rescate | Copias de seguridad desconectadas y actualizaciones |
| Fraude del CEO o del proveedor | Correo o llamada que parece del jefe o de un proveedor pidiendo una transferencia o un cambio de cuenta bancaria | Prisa, confidencialidad, nuevo IBAN | Confirmar siempre por otro canal |
| Robo de cuentas | Contraseñas repetidas o filtradas | Accesos desde lugares extraños, cambios que no hiciste | Gestor de contraseñas y verificación en dos pasos |
Un ejemplo típico: una gestoría recibe un correo de un "proveedor" habitual que avisa de que ha cambiado de banco y adjunta un nuevo IBAN. Si nadie llama al número de siempre para comprobarlo, la siguiente transferencia acaba en la cuenta del estafador.
Medidas básicas de bajo coste
Estas medidas cubren la mayor parte del riesgo de un negocio pequeño y muchas se aplican en una tarde:
- Verificación en dos pasos en el correo, la banca online, las redes sociales, el dominio y el hosting. Es la medida con más efecto por menos esfuerzo.
- Gestor de contraseñas para que cada servicio tenga una contraseña distinta y larga. Nada de contraseñas en un pósit o en un Excel compartido.
- Actualizaciones automáticas en ordenadores, móviles, router, programas y la web.
- Cuentas individuales: cada persona con su usuario, sin compartir contraseñas, y sin permisos de administrador para el uso diario.
- Bajas al día: cuando alguien deja la empresa, se le quitan los accesos el mismo día.
- Wifi separada para clientes, distinta de la que usan los equipos del negocio.
- Protocolo de pagos: ningún cambio de cuenta bancaria ni transferencia urgente se hace sin confirmar por teléfono con un número conocido.
- Formación breve y periódica con ejemplos reales de correos y mensajes fraudulentos.
Copias de seguridad: la medida que te salva del ransomware
Si un ransomware cifra tus archivos, lo único que te devuelve el negocio sin pagar es una copia que el atacante no haya podido tocar. Una regla sencilla para organizarlas:
- Varias copias de los datos importantes: facturación, clientes, documentos de trabajo.
- En sitios distintos: por ejemplo, una en la nube y otra en un disco externo.
- Al menos una desconectada o protegida contra borrado, para que un ataque no la cifre también.
- Prueba a restaurar de vez en cuando. Una copia que nunca se ha probado puede fallar justo cuando la necesitas.
Tu web y tu correo también son puerta de entrada
Una web desactualizada puede ser hackeada para distribuir malware o enviar spam en tu nombre, y eso daña tu reputación y tu posicionamiento. Mantén actualizados el gestor de contenidos y los plugins, elimina los que no uses y ten copias de la web. Lo incluimos en lo que explicamos sobre cuánto cuesta mantener una página web.
En el correo, pide a tu proveedor o a quien gestione tu dominio que configure correctamente la autenticación del dominio (los registros SPF, DKIM y DMARC). Así es más difícil que alguien envíe correos haciéndose pasar por tu empresa.
IA y ciberseguridad: nuevos engaños y nuevos cuidados
La inteligencia artificial ha hecho más creíbles los engaños: correos de phishing sin faltas de ortografía, mensajes personalizados con datos sacados de tus redes e incluso llamadas con voces que imitan a una persona conocida. La defensa es la misma de siempre, aplicada con más rigor: confirmar por otro canal cualquier petición de dinero o de datos, por muy convincente que suene.
También hay que cuidar el uso interno de la IA. No pegues en un chatbot datos de clientes, contraseñas ni documentos confidenciales si no sabes cómo trata esa información el proveedor. Lo desarrollamos en inteligencia artificial para pymes.
Recursos gratuitos de INCIBE y qué hacer si te atacan
El Instituto Nacional de Ciberseguridad tiene un apartado para empresas, Protege tu empresa, con guías, políticas de seguridad adaptadas a pymes y un kit de concienciación para formar al equipo.
Si sufres un incidente, Tu Ayuda en Ciberseguridad atiende también a empresas y profesionales de forma gratuita y confidencial, todos los días de 8:00 a 23:00, en el teléfono 017, por WhatsApp en el 900 116 117, por Telegram (@INCIBE017) y mediante formulario web. Pasos inmediatos:
- Desconecta de la red los equipos afectados, sin apagarlos, para no perder pruebas.
- No pagues rescates ni respondas al atacante.
- Cambia contraseñas desde un equipo limpio, empezando por el correo y la banca.
- Contacta con el 017 y, si hay fraude o robo de datos, denuncia ante Policía Nacional o Guardia Civil.
- Si se han visto afectados datos personales, el RGPD obliga en general a notificar la brecha a la Agencia Española de Protección de Datos en 72 horas.
Ayudas para ciberseguridad en pymes
Las Cámaras de Comercio convocan programas de ciberseguridad cofinanciados por el FEDER. Como referencia, la convocatoria 2026 de la Cámara de Alicante ofrecía un diagnóstico sin coste para la empresa y una ayuda del 60 % sobre implantaciones de hasta 4.000 euros sin IVA, para pymes con al menos 100.000 euros de facturación, con plazo hasta el 21 de mayo de 2026, según sus bases. Cada Cámara tiene sus plazos y requisitos, así que consulta la tuya.
El Kit Digital incluía una categoría de ciberseguridad, pero hoy no hay convocatoria abierta para nuevas solicitudes. Si te interesa, revisa qué cubría en Kit Digital ciberseguridad y desconfía de quien te ofrezca ayudas que no existen: lo explicamos en estafas del Kit Digital.
Cómo te ayuda Promptea
En Promptea revisamos la parte digital que suele quedar olvidada en un negocio pequeño: la web y sus actualizaciones, el dominio y el correo, los accesos a redes y herramientas, y las copias de seguridad de la web. Te entregamos una lista priorizada de medidas y te ayudamos a aplicarlas. Pide un diagnóstico sin compromiso: trabajamos con presupuesto cerrado por escrito tras un diagnóstico sin compromiso en 48 horas.