En el artículo Ciberseguridad para MiPymes en la era de la IA: lo que sabemos y lo que no sabemos compartimos lo que vimos en septiembre de 2026: en pocas semanas, casi la mitad del tráfico que llegaba a nuestro servidor pasó a ser automatizado y malicioso, y una campaña de ataque nueva pasó de un par de intentos diarios a más de 11,000.
En este artículo bajamos esa experiencia a lo práctico. Qué está pasando con los sitios web, qué puedes esperar según dónde esté alojado el tuyo, qué hacemos en GoWeb360 para proteger a nuestros clientes y qué herramientas gratuitas de alto valor puede aprovechar cualquier MiPyme.
¿Qué está pasando con los sitios web?
Un sitio web es la cara pública de una empresa, y también su superficie más expuesta: está disponible las 24 horas, para cualquiera, desde cualquier parte del mundo. Eso incluye a los bots.
Estos son los patrones de ataque que más vemos:
- Adivinación de contraseñas en el acceso administrativo del sitio y en el servidor.
- Abuso de funciones antiguas de WordPress, como XML-RPC, para probar miles de contraseñas en poco tiempo.
- Búsqueda de puertas traseras: bots que piden archivos que no existen con la esperanza de encontrar uno que un atacante anterior haya dejado.
- Búsqueda de archivos olvidados: respaldos, archivos de configuración o bases de datos exportadas que quedaron accesibles por error.
- Explotación de vulnerabilidades recientes, tanto del núcleo de WordPress (como el caso de wp2shell) como de plugins y del software del servidor.
- Spam en formularios, que además de molestar puede servir para enviar enlaces maliciosos desde tu propio sitio.
Hay algo importante que casi nadie considera: aunque un ataque no logre entrar, igual consume recursos. Cada intento obliga al servidor a trabajar. Cuando los intentos son miles por minuto, el sitio se vuelve lento o deja de responder, aunque nunca haya sido «hackeado».
Si tu sitio está en un servidor compartido
La mayoría de los sitios de MiPymes vive en hosting compartido: un mismo servidor aloja cientos de cuentas de distintos clientes. Es una opción económica y razonable, siempre que se entienda qué cubre y qué no.
Qué puedes esperar
- El proveedor se encarga de la seguridad del servidor: sistema operativo, firewall, actualizaciones del software base y, en los buenos proveedores, un firewall de aplicaciones que filtra ataques conocidos.
- Aislamiento entre cuentas: los buenos proveedores usan tecnologías que limitan cuánta memoria y procesador puede usar cada cuenta. Si otra cuenta es atacada o se satura, tu sitio no debería caer con ella.
- Límites de recursos: ese mismo aislamiento significa que tu sitio tiene un tope. Si recibes un pico fuerte de tráfico, legítimo o no, el sitio puede volverse lento hasta que la carga baje.
Qué sigue siendo tu responsabilidad
- Mantener actualizado tu sitio: WordPress, tema y plugins. El proveedor del hosting no suele hacerlo por ti.
- Tus contraseñas y usuarios: quién tiene acceso administrativo y con qué nivel de seguridad.
- Lo que instalas: cada plugin es código de un tercero que corre dentro de tu sitio.
- Tus respaldos: muchos hostings compartidos respaldan, pero no garantizan que puedas restaurar un punto específico cuando lo necesites.
Qué hacer
- Pide a tu proveedor que confirme si tu cuenta está aislada y cuáles son tus límites de recursos.
- Pon tu sitio detrás de un servicio de protección en la nube, como Cloudflare (más abajo explicamos cómo).
- Elimina plugins y temas que no uses.
- Configura un monitor externo que te avise si el sitio deja de responder.
Si tu sitio está en un servidor dedicado
Un servidor dedicado ofrece más capacidad, más control y más flexibilidad. Pero con el control viene la responsabilidad: en un servidor dedicado, la seguridad del servidor completo depende de quien lo administra. No hay un equipo del proveedor cuidando la configuración por ti.
Además, si el servidor aloja muchos sitios y no tiene aislamiento entre cuentas, un problema en un sitio puede afectar a todos. Eso fue parte de lo que vivimos este mes.
Lo que estamos haciendo en GoWeb360
Nuestros clientes alojados en nuestro servidor dedicado merecen saber qué hacemos para protegerlos. Sin entrar en detalles que facilitarían el trabajo de un atacante, estas son las medidas que tenemos activas o que implementamos en las últimas semanas:
- Firewall con bloqueo automático de direcciones que muestran comportamiento de ataque.
- Reglas que detienen las campañas de ataque antes de que lleguen a WordPress, para que no consuman recursos del servidor.
- Bloqueo de funciones antiguas que se usan para ataques de fuerza bruta, con excepciones solo para los servicios legítimos que las necesitan.
- Protección en el borde de la red mediante Cloudflare, para filtrar tráfico malicioso antes de que llegue al servidor.
- Escaneo diario de malware e inspección semanal de integridad de plugins y archivos del núcleo.
- Actualizaciones automatizadas con verificación: si una actualización rompe un sitio, se revierte.
- Accesos administrativos restringidos y credenciales estandarizadas, con protección adicional para las cuentas con más privilegios.
- Protección antispam en formularios de contacto y comentarios.
- Eliminación de archivos que exponían información técnica del servidor.
- Límites de memoria y procesos por sitio, y protección de la base de datos para que un pico en un sitio no tumbe a los demás.
- Monitoreo externo de disponibilidad, independiente del servidor, para enterarnos de una caída aunque el servidor no pueda avisar.
- Bitácora de cambios, para saber qué se modificó, cuándo y por qué.
Además, estamos trasladando los sitios con más tráfico a entornos aislados y evaluando una nueva infraestructura con aislamiento por cuenta, de modo que el problema de un sitio no afecte a los demás.
Servicios gratuitos de alto valor para MiPymes
Una buena noticia: muchas de las herramientas de seguridad más útiles tienen planes gratuitos muy generosos. Estas son las que recomendamos:
- Cloudflare (plan gratuito): DNS, certificado de seguridad, caché que acelera tu sitio y reglas básicas de firewall para bloquear ataques antes de que lleguen a tu servidor.
- Let’s Encrypt: certificados de seguridad (el candado de HTTPS) sin costo, que la mayoría de los hostings instala automáticamente.
- UptimeRobot (plan gratuito): monitorea hasta 50 sitios cada 5 minutos y te avisa por correo o en el celular si alguno deja de responder.
- Google Search Console: además de ayudarte con el posicionamiento, te alerta si Google detecta malware o contenido sospechoso en tu sitio.
- Have I Been Pwned: te dice si un correo de tu empresa aparece en filtraciones de datos conocidas.
- Aplicaciones de verificación en dos pasos, como Google Authenticator o Microsoft Authenticator.
- Gestores de contraseñas con plan gratuito, como Bitwarden, para dejar de reutilizar contraseñas.
- Las funciones de seguridad que ya pagas: Google Workspace y Microsoft 365 incluyen revisiones de seguridad, alertas de inicio de sesión sospechoso y verificación en dos pasos que muchas empresas nunca activan.
¿Por qué los planes de pago también importan?
Lo gratuito es un excelente punto de partida, pero tiene límites que conviene conocer:
- Menos frecuencia y menos cobertura: un monitor que revisa cada 5 minutos es bueno; uno que revisa cada minuto, con más ubicaciones, detecta antes.
- Reglas avanzadas: la protección contra bots sofisticados y las reglas administradas por expertos suelen estar en los planes de pago.
- Condiciones de uso: algunos planes gratuitos restringen el uso comercial o limitan cuántos sitios puedes proteger.
- Soporte: cuando algo falla a las 2 de la mañana, la diferencia entre un foro y un equipo de soporte es enorme.
- Respaldos fuera del servidor, con retención de varias semanas, que casi nunca son gratuitos.
La recomendación es empezar con lo gratuito, medir y escalar a planes de pago en los sitios que más impacto tienen en tu negocio, como tu tienda en línea o tu sitio principal de ventas.
¿Por qué nuestros clientes pueden estar tranquilos?
La ciberseguridad no es un producto que se instala una vez, sino un proceso continuo. Estamos monitoreando, midiendo y mejorando activamente la protección de los sitios que administramos. Las amenazas crecieron, pero también nuestra capacidad de detectarlas y responder en horas, no en días.
Algunos cambios podrían causar inconvenientes
Hay un punto que queremos ser muy transparentes: las medidas de seguridad pueden, en ocasiones, bloquear algo legítimo. Por ejemplo:
- Un formulario que deja de enviar porque la protección antispam lo confundió con un bot.
- Un acceso administrativo bloqueado porque cambiaste de red o de país.
- Una integración con otro servicio (una aplicación móvil, un sistema de pagos, un plugin de terceros) que usaba una función que ahora está restringida.
- Una página que se ve distinta después de una actualización.
Probamos cada cambio antes de aplicarlo de forma general, pero con cientos de configuraciones distintas, siempre puede haber un caso que no anticipamos.
Avísanos por las vías adecuadas
Si notas algo extraño en tu sitio, repórtalo por nuestros canales oficiales de soporte: [correo de soporte] o [WhatsApp de soporte]. Un reporte por el canal correcto nos permite dar seguimiento y resolverlo más rápido que un mensaje suelto en una conversación personal.
Para ayudarnos a resolverlo, incluye:
- La dirección exacta de la página donde ocurre.
- La fecha y hora aproximadas.
- Qué estabas haciendo cuando ocurrió.
- Una captura de pantalla del mensaje de error, si lo hay.
Y si alguna vez recibes un correo o mensaje supuestamente nuestro que te pide contraseñas, pagos urgentes o descargar un archivo inesperado, no respondas y confírmalo primero con nosotros por los canales oficiales. Nunca te pediremos tu contraseña.
En resumen
- Los ataques a sitios web aumentaron en volumen y velocidad, y afectan la disponibilidad aunque no logren entrar.
- En un servidor compartido, el proveedor protege el servidor; tú eres responsable de tu sitio.
- En un servidor dedicado, la seguridad depende por completo de quien lo administra.
- Hay herramientas gratuitas de alto valor que toda MiPyme debería usar, y planes de pago que vale la pena considerar para los sitios críticos.
- En GoWeb360 estamos reforzando activamente la seguridad de nuestros clientes, y tu reporte oportuno por los canales adecuados es parte de esa protección.
