Hay una idea muy extendida entre los dueños de negocios pequeños en el Perú: que los ciberataques son un problema de bancos, mineras y entidades del Estado. Que nadie se va a tomar el trabajo de atacar una empresa de doce personas.
Los números dicen otra cosa. Según Gestión, menos del 25% de las pequeñas y medianas empresas peruanas destina algo de presupuesto a protegerse, y el mismo medio reporta que un ataque puede costar hasta el 20% de los ingresos anuales. Lo más duro: alrededor de 6 de cada 10 empresas afectadas terminan cerrando dentro de los seis meses siguientes.
La razón por la que las empresas pequeñas son atacadas no es que alguien las haya elegido. Es que la mayoría de los ataques no elige a nadie: son automáticos, se lanzan contra miles de correos y sistemas a la vez, y entran donde encuentran la puerta abierta. Ser pequeño no te esconde. Te vuelve más fácil.
La buena noticia es que la mayoría de estos ataques no son sofisticados. Un informe citado por Gestión proyecta que durante 2026 la mayor parte de los ataques contra empresas aprovechará fallas básicas, no técnicas avanzadas. Y las fallas básicas se corrigen sin contratar un equipo de especialistas.
Estos son los cuatro descuidos más frecuentes.
1. Entrar al correo solo con contraseña
El correo electrónico es la llave maestra de cualquier negocio. Desde ahí se recuperan las contraseñas de todo lo demás: el banco, las redes sociales, la facturación, el sistema de ventas. Quien controla el correo, controla la empresa.
Y sin embargo, en la mayoría de empresas pequeñas basta con conocer una contraseña para entrar. Si esa contraseña se filtró en alguna página que nadie recuerda haber usado, o si es la misma que se usa en tres sitios más, ya está en manos de alguien.
Qué hacer: activar la verificación en dos pasos. Funciona como el token del banco: además de la contraseña, pide un código que llega al celular o aparece en una aplicación. Aunque alguien tenga la clave, no puede entrar sin el celular.
Es gratuito, se activa desde la configuración del correo y toma diez minutos. Empieza por las cuentas de gerencia, administración y contabilidad, que son las que manejan dinero.
2. Tener respaldos que nunca se probaron
Casi todos los negocios dicen tener copias de seguridad. Muy pocos han comprobado que esas copias sirven.
La diferencia importa el día que ocurre un ataque de secuestro de información, donde los archivos de la empresa quedan cifrados y aparece un mensaje pidiendo un pago para recuperarlos. En ese momento el respaldo es la única salida que no implica pagar. Si el respaldo estaba mal configurado, llevaba meses sin ejecutarse o vivía en el mismo servidor que también fue cifrado, la empresa se queda sin nada.
Qué hacer: verificar tres cosas. Que la copia se esté haciendo de verdad y con qué frecuencia. Que exista una copia fuera del local, en la nube o en un disco que no esté conectado permanentemente. Y que alguien haya intentado restaurar un archivo desde esa copia en los últimos meses para confirmar que funciona.
Un respaldo que nadie probó es una suposición, no una protección.
3. Trabajar con sistemas desactualizados
Cuando Windows, el sistema de ventas o el celular piden actualizarse, casi siempre se posterga. La actualización interrumpe el trabajo, a veces cambia cosas de sitio, y el equipo funciona igual sin ella.
El problema es que muchas de esas actualizaciones existen precisamente porque se descubrió una falla de seguridad. Cuando esa falla se hace pública, los atacantes empiezan a buscar automáticamente equipos que todavía no la hayan corregido. Postergar la actualización tres meses significa tener la puerta abierta durante tres meses, con el cartel puesto.
Qué hacer: activar las actualizaciones automáticas donde sea posible y definir un día fijo al mes para revisar los equipos que no las tienen. Prestar atención especial a los sistemas que ya no reciben soporte del fabricante: esos no se van a corregir nunca y conviene reemplazarlos.
4. Dejar accesos abiertos de gente que ya no está
Este es el descuido más silencioso. Un practicante que terminó hace un año sigue teniendo su correo activo. El contador anterior aún puede entrar al sistema de facturación. Un proveedor que hizo un trabajo puntual conserva acceso remoto al servidor. Tres personas comparten el mismo usuario del sistema de ventas y nadie sabe quién hizo qué.
Cada uno de esos accesos es una entrada que la empresa no controla y de la que ni siquiera se acuerda. Muchas veces el problema no es que la persona actúe de mala fe, sino que su cuenta fue vulnerada meses después y nadie lo notó porque ya nadie la revisaba.
Qué hacer: hacer una lista de todos los accesos que existen —correo, sistemas, accesos remotos, redes sociales, banca— y quién tiene cada uno. Desactivar lo que ya no corresponde. Establecer que cuando alguien deja la empresa, cerrar sus accesos es parte del proceso de salida, igual que devolver las llaves.
Un punto adicional: los datos de sus clientes no son solo suyos
Hay una consecuencia que muchos dueños desconocen. En el Perú, la Ley 29733 de Protección de Datos Personales establece que la empresa que guarda información de sus clientes —nombres, documentos de identidad, teléfonos, correos, historiales— es responsable de protegerla.
Esto significa que si esa información se filtra por un descuido de seguridad, la empresa no solo pierde datos: puede enfrentar una sanción de la autoridad de protección de datos. Y el tamaño del negocio no exime de esa responsabilidad.
Es un motivo adicional para tomar en serio los cuatro puntos anteriores, sobre todo en rubros que manejan bastante información de personas: clínicas y consultorios, estudios contables, colegios, inmobiliarias, comercios con base de clientes. El artículo sobre ciberseguridad y mypes en Perú detalla con más profundidad las implicancias regulatorias y las multas que ya aplica la ANPD.
Por dónde empezar
Si los cuatro puntos parecen mucho, el orden razonable es este:
- Esta semana: activar verificación en dos pasos en los correos de gerencia y administración.
- Este mes: comprobar que existe una copia de seguridad fuera del local y probar restaurar un archivo.
- Este trimestre: revisar la lista de accesos y cerrar los que sobran.
- Permanente: dejar las actualizaciones en automático.
Ninguno de estos cuatro pasos requiere comprar software ni contratar personal. Requieren decisión y un par de tardes. Y cubren la mayor parte de los ataques que efectivamente afectan a las empresas pequeñas en el Perú.
Hasta dónde llega el esfuerzo propio
Los cuatro controles anteriores resuelven el problema de los ataques automáticos, que son la mayoría. Vale la pena ser claros sobre lo que no resuelven.
Hay un segundo tipo de ataque que sí elige a su víctima. El caso más común en el Perú es el correo que aparenta venir del gerente o de un proveedor conocido, escrito en buen español, con el tono habitual y en un momento verosímil, pidiendo una transferencia urgente o el cambio de una cuenta bancaria para el siguiente pago. No hay archivo adjunto ni enlace sospechoso que un filtro pueda detectar: es solo un correo bien redactado que llega desde una dirección casi idéntica a la real. Nuestro artículo sobre phishing y BEC en Perú explica en detalle cómo funciona este vector y qué controles lo detienen.
Contra eso la verificación en dos pasos no ayuda, porque nadie robó ninguna contraseña. Lo que se necesita es que el dominio de correo de la empresa esté configurado para que nadie más pueda enviar mensajes en su nombre —eso lo resuelve la autenticación del dominio de correo— y que exista un procedimiento interno de confirmación por otro canal antes de mover dinero.
Algo parecido ocurre con cualquier sistema que la empresa tenga expuesto a internet: una página web, un sistema de facturación accesible desde fuera, un acceso remoto al servidor. Esos puntos reciben intentos de ingreso todos los días, a toda hora. Detectar a tiempo que uno de esos intentos tuvo éxito exige monitoreo continuo, y eso no es algo que una persona pueda sostener revisando registros de vez en cuando.
Dicho de otro modo: los cuatro controles básicos son responsabilidad de la empresa y se pueden hacer internamente. La capa de arriba —autenticación del dominio de correo, protección del correo entrante y vigilancia permanente— es donde tiene sentido apoyarse en alguien que ya lo opera.
Conclusión
Los cuatro descuidos más frecuentes —correo sin segundo factor, respaldos no verificados, sistemas desactualizados y accesos que nadie cerró— no requieren presupuesto de TI para corregirse. Requieren decisión. El 60% de empresas que cierran tras un ciberataque no fallaron por falta de tecnología sofisticada: fallaron porque la puerta estaba abierta y nadie la cerró a tiempo. El punto de partida está en la propia empresa, y se puede empezar esta semana.
