Hay una idea equivocada muy extendida: "somos pequeños, a nosotros no nos van a atacar". Los ataques a pymes no los decide una persona que elige objetivos. Los hacen programas que escanean internet buscando puertas abiertas, y entran en la que se abre. No importa quién seas. Importa si estás abierto.
Estas diez preguntas salen de lo que encontramos con más frecuencia en nuestras auditorías. Respóndelas con sinceridad.
1. ¿Alguien puede entrar en vuestro servidor desde fuera con solo usuario y contraseña?
Escritorio remoto, VPN sin doble factor, un panel de administración accesible desde internet. Si la respuesta es sí, es la puerta que más ransomware deja pasar.
2. ¿Tenéis doble factor en el correo?
Si una contraseña filtrada basta para leer el correo de administración, alguien acabará leyéndolo. Y desde ahí, cambiando un IBAN en una factura.
3. ¿Habéis restaurado alguna vez una copia de seguridad para comprobar que funciona?
Tener copias no es lo mismo que poder recuperarse. Y si las copias están en la misma red que el servidor, se cifran con él.
4. ¿Sabéis quién tiene acceso a qué?
Proveedores antiguos, empleados que se fueron, cuentas compartidas "de pruebas". Si nadie ha revisado la lista de usuarios en el último año, hay accesos que no deberían existir.
5. ¿Cuándo se actualizó por última vez vuestra web?
Una web desactualizada es la forma más fácil de que alguien envíe correos de phishing con vuestro dominio o instale lo que quiera en vuestro servidor.
6. ¿Qué pasaría si mañana alguien de administración recibe un correo "del director" pidiendo una transferencia urgente?
Si no hay un procedimiento claro de verificación por teléfono, la transferencia se hace. Es el fraude más rentable que existe y no necesita ningún virus.
7. ¿Están las contraseñas de fábrica en algún router, cámara o impresora?
Casi siempre. Y casi siempre están publicadas en internet.
8. ¿La wifi de invitados está separada de la red de la empresa?
Si un visitante puede ver vuestras impresoras, también puede ver vuestros servidores.
9. ¿Vuestro equipo sabría reconocer un correo de phishing bien hecho?
Los de ahora no tienen faltas de ortografía. Vienen con el logo del banco, del proveedor o de la Agencia Tributaria. Sin una formación mínima, alguien hará clic.
10. ¿Quién llamaríais si mañana todo apareciera cifrado?
Si no hay respuesta inmediata, se pierden las horas que más importan.
Cuenta las respuestas
- Cero o una. Estáis mejor que la mayoría. Una revisión anual basta.
- Dos o tres. Hay algo abierto. Se arregla en días si se sabe por dónde empezar.
- Cuatro o más. Estáis en la lista de los fáciles. No es alarmismo: es lo que vemos cada semana.
Qué hacemos nosotros
Una auditoría exprés: revisamos lo que tenéis expuesto desde fuera, cómo están configurados el correo, los accesos y las copias, y hablamos con las personas que manejan pagos. En pocos días tenéis una lista corta, priorizada, con lo urgente ya cerrado.
Y después no os dejamos con un PDF: os acompañamos hasta que la lista está hecha.
Pide la auditoría exprés. Lo primero que hacemos es contaros, sin compromiso, qué se ve de vuestra empresa desde internet.