Ciberseguridad para pequeñas empresas: cómo mantenerse a salvo de las amenazas digitales

Phishing o suplantación de identidad

Según El Informe de investigaciones sobre filtraciones de datos (DBIR) de Verizon 2024 indica que en el 68 % de las filtraciones de datos de empresas intervinieron elementos humanos no malintencionados, como ingeniería social. El FBI informó de que, en 2023, el phishing representó el 34 % de las denuncias, lo que lo convierte en el tipo de ciberdelito más denunciado.

Un ataque de phishing es una forma de ingeniería social en la que el atacante imita a un contacto legítimo para engañar a un usuario desprevenido y conseguir que haga clic en un enlace malicioso, extraiga sus datos confidenciales o infecte su dispositivo con programas maliciosos. Con el paso de los años, las estafas de phishing se han vuelto muy sofisticadas, haciendo que sea más complicada su identificación.

Hay algunas cosas que puedes hacer para proteger tu empresa de un ataque de phishing. Primero, debes mantener informado a tu personal. Fórmalos con respecto a las distintas formas de phishing y establece un canal para comunicar posibles amenazas. También deberías activar filtros antiphishing en los correos electrónicos de la empresa e instalar un programa de seguridad adicional para detectar correos fraudulentos.

Ransomware

El ransomware golpea a las pymes a una velocidad increíble. El Informe de Datto sobre el estado global del ransomware en los canales de distribución señala que el 85 % de los proveedores de servicios gestionados (MSP) informaron de ataques de ransomware dirigidos a sus clientes. En el primer trimestre de 2024, casi el 75 % de los ataques de ransomware se produjeron en empresas de hasta 1000 empleados. En la mayoría de los casos, los correos electrónicos de phishing están detrás de las amenazas de ransomware.

Durante un ataque de ransomware, los datos del ordenador afectado se cifran casi instantáneamente, lo que los hace inutilizables en cualquier contexto a menos que se descifren. Una vez cifrados los archivos, los atacantes exigen un rescate —de ahí su nombre, ya que «ransom» significa «rescate»— a cambio del procedimiento de descifrado.

Una de las mejores formas de proteger a tu empresa de un ataque de ransomware es mantener los equipos actualizados y hacer copias de seguridad de los datos con regularidad. Las actualizaciones de software, incluidos los sistemas operativos, garantizan que no haya lagunas de seguridad que puedan ser aprovechadas por delincuentes. Por su parte, las copias de seguridad permiten que tus datos no se vean afectados en caso de ataque. Tampoco conviene olvidar el uso de programas de antimalware y antivirus que ayuden a detectar el malware antes de que pueda provocar ningún daño a la red de la empresa.

Virus

Los virus son quizás algunas de las amenazas más comunes a la ciberseguridad que afectan a empresas y particulares por igual. Son fragmentos de software que, cuando se instalan en un dispositivo y se activan, comienzan a ejecutar varios comandos maliciosos.

Los virus se pueden transmitir a un dispositivo a través de hardware y software. Conectar a un dispositivo una memoria USB sospechosa que contenga un virus es una estrategia habitual para propagar programas maliciosos. El phishing también suele combinarse con virus: si un usuario descarga un archivo adjunto sospechoso o abre un sitio web fraudulento, su dispositivo puede infectarse.

El daño que causa un virus depende de su propósito programado. Algunos virus pueden ralentizar un dispositivo y utilizar sus recursos para minar criptomonedas en un proceso conocido como cryptojacking. Otros acechan en el sistema, dando acceso a todos los archivos internos sin que la víctima se dé cuenta. Los keyloggers o registradores de pulsaciones de teclas son un tipo de virus capaz de leer la entrada del teclado del usuario, lo que les permite robar credenciales e información sensible similar.

Las empresas suelen ser blanco de ataques mediante virus que pueden apoderarse de toda la red interna de ordenadores, lo que da lugar a peticiones de rescate. Los troyanos en particular, son peligrosos, ya que pueden destruir todo el sistema desde dentro.

En el caso de las pequeñas empresas, los virus pueden causar daños irreparables, desde datos comprometidos y perdidos hasta daños en el hardware y exigencias de sustitución. Como los virus son cada vez más sofisticados, requieren medidas más caras que el software antivirus habitual. También podrían explotar software obsoleto con vulnerabilidades de seguridad.

Evitar que los dispositivos de una organización se infecten con virus exige medidas similares y protección contra phishing o ransomware. Las empresas deben asegurarse de que todos los dispositivos están actualizados para evitar ataques de día cero o brechas de seguridad parecidas. Todos los dispositivos deben controlarse periódicamente mediante software antivirus, y los equipos de TI deben ser informados si aparecen programas o archivos sospechosos en el dispositivo o si un usuario ha abierto un correo electrónico o un sitio web de phishing. Las empresas también pueden utilizar complementos antiphishing y antimalware en sus servicios de correo electrónico para evitar que los empleados descarguen virus accidentalmente.

Contraseñas débiles

Según los estudios de mercado, las contraseñas débiles son la mayor amenaza para la ciberseguridad de las pequeñas empresas. Estos son algunos de los estudios e informes que revelan la vulnerabilidad de las contraseñas en la práctica:

• El Informe de investigaciones sobre filtraciones de datos (DBIR) de Verizon 2024 señala que el 77 % de las filtraciones relacionadas con el hackeo están vinculadas al robo de credenciales.

• El Estudio de NordPass sobre las 200 contraseñas más comunes en 2024 reveló que la friolera del 79 % de las contraseñas más populares del mundo podían descifrarse en menos de un segundo.

• Un estudio sobre hábitos de contraseña de las empresas Fortune 500 destacó que incluso los más grandes tienen problemas con la seguridad de las contraseñas, ya que el 20 % de las contraseñas son el nombre exacto de la empresa o alguna variación.

Garantizar la seguridad de las contraseñas en un entorno empresarial no es tan complicado como parece. Un gestor de contraseñas debería ser una de tus prioridades, sin importar el sector o el tamaño de tu empresa. Un gestor de contraseñas como NordPass permite a las empresas no solo almacenar de forma segura los valiosos datos de inicio de sesión, sino también compartirlos dentro de los límites de la organización. Además, incrementa la productividad de los empleados.

Computación en la nube

Los productos de computación en la nube juegan un papel muy importante en las empresas actuales. Casi todas las pymes utilizan aplicaciones basadas en la nube de una forma u otra, ya sea por productividad o por ventajas de seguridad. En muchos casos, las soluciones de computación en nube son altamente escalables. Sin embargo, por muy útiles que sean las soluciones de computación en nube para la seguridad de las TI empresariales, las organizaciones deben comprender que estos productos tienen sus riesgos.

Es obligatorio evaluar la seguridad de las aplicaciones de computación en la nube. Por ejemplo, todas las aplicaciones deberían tener arquitectura de conocimiento cero, ya que garantiza la privacidad y seguridad de los datos que maneja la aplicación. Para aprovechar todas las ventajas de la nube, como la escalabilidad, la flexibilidad y la reducción de los costes de TI, las pymes deben desarrollar un plan de seguridad en la nube que defina claramente las políticas y procedimientos de seguridad para el uso de aplicaciones basadas en la nube.

Consejos de ciberseguridad para pymes

Establecer las prácticas de ciberseguridad adecuadas en una pyme no tiene por qué ser un asunto costoso. Una gran parte de lo que hace que la seguridad de TI de las pequeñas empresas funcione como una máquina bien engrasada se debe a la concienciación de los empleados y a las prácticas correctas de gestión de credenciales. Estas son algunas formas rentables de emplear prácticas seguras en tu organización:

• Garantiza la formación de los empleados. Como puedes deducir, la mala gestión de las contraseñas es un problema enorme para la seguridad de los datos de las empresas. Este uso indebido suele deberse a la falta de concienciación de los empleados. Ofrece a tu equipo formación periódica sobre prácticas de ciberseguridad, amenazas digitales y cómo protegerse de los delincuentes.

• Realiza controles de seguridad rutinarios. Los hackers adoran los exploits de día cero como una forma fácil de entrar en los sistemas. La mejor manera de proteger los dispositivos de tu empresa de visitantes no deseados es bloquear las puertas traseras manteniendo todos los sistemas y programas actualizados y realizando comprobaciones periódicas para detectar vulnerabilidades.

• Instala un antivirus potente. Si tú u otro empleado encontráis un archivo .exe sospechoso en vuestro escritorio, lo primero que hay que hacer es ponerlo en cuarentena. Esto puede hacerse fácilmente instalando software antivirus en todos los ordenadores de la empresa. Las soluciones antivirus para pymes y grandes empresas simplifican este proceso manteniendo protegidos todos los ordenadores de una misma red.

• Añade filtros de spam al correo electrónico de la empresa. Los estafadores que utilizan la ingeniería social son eficientes a la hora de producir correos electrónicos realistas que pueden engañar incluso a los profesionales. Para evitar incidentes como la apertura de archivos adjuntos sospechosos o el inicio de sesión en un portal falso, añade un filtro de spam a las bandejas de entrada de correo electrónico de tu organización que permita a los empleados marcar y notificar fácilmente los mensajes sospechosos.

• Usa un gestor de contraseñas. Contrariamente a la creencia popular, los gestores de contraseñas no solo sirven para generar contraseñas complejas y únicas. Los gestores de contraseñas empresariales como NordPass también ofrecen controles centralizados, como establecer políticas de contraseñas,observar toda la actividad de la organización o gestionar el acceso compartido entre todos los empleados.

• Implementa la autenticación multifactor (MFA). En la década de 2020, una contraseña ya no es suficiente para proteger la información confidencial de tu organización. Para mejorar las medidas de seguridad, muchas empresas imponen el uso de la autenticación multifactor en todas las cuentas relacionadas con el trabajo. NordPass Authenticator incluso te permite almacenar tus códigos MFA con tus credenciales de inicio de sesión y autorrellenar todo a la vez.