Durante años, la ciberseguridad fue un tema que muchas micro, pequeñas y medianas empresas veían como algo lejano: «eso les pasa a los bancos», «a nadie le interesa hackear mi negocio», «mi sitio web es pequeño». Este mes, desde la trinchera de quienes administramos la infraestructura digital de cientos de empresas, puedo decir con datos en la mano que esa idea ya no se sostiene.
Este artículo no pretende asustar ni vender miedo. Quiero compartir lo que hemos visto de primera mano, separar con honestidad lo que sabemos de lo que todavía no sabemos, y explicar por qué hoy la ciberseguridad tiene que estar en la agenda de cualquier MiPyme, sin importar su tamaño.
Lo que vivimos en septiembre de 2026
En GoWeb360 administramos un servidor con varios sitios web de clientes: tiendas en línea, sitios corporativos, instituciones educativas, profesionales independientes. Todos los días ese servidor recibe visitas legítimas y, al mismo tiempo, intentos automatizados de encontrar una puerta abierta.
Siempre ha habido ataques. Lo que cambió fue la escala y la velocidad. Al revisar los registros de todo el mes, encontramos esto:
- A inicios de septiembre, cerca de 1 de cada 4 peticiones que llegaban al servidor era maliciosa: bots probando contraseñas, buscando archivos olvidados o intentando explotar vulnerabilidades conocidas.
- Al cierre del mes, la proporción llegó a casi 1 de cada 2. Casi la mitad del tráfico ya no eran personas, sino máquinas buscando cómo entrar.
- La cantidad de direcciones IP atacantes distintas por día pasó de unas 4,000 a más de 6,000.
- En un solo día registramos más de 118,000 intentos fallidos de acceso al servidor con contraseñas adivinadas.
- Una campaña de explotación completamente nueva pasó de 1 o 2 intentos diarios a más de 11,000 en menos de una semana.
Ese último punto es el que más nos enseñó. Durante semanas, esa técnica de ataque apareció de forma esporádica, casi como ruido. De un día para otro se convirtió en una ola dirigida contra decenas de sitios al mismo tiempo, desde servidores en la nube que cambiaban constantemente. Combinada con la carga normal del servidor, provocó que durante varias horas algunos sitios estuvieran lentos o fuera de línea.
No encontramos evidencia de que el ataque lograra su objetivo: no se ejecutó código malicioso ni se comprometieron datos. Pero el impacto en disponibilidad fue real, y para una tienda en línea, varias horas sin vender también son un costo.
Reaccionamos bloqueando la campaña a nivel del servidor y de la red, reforzando la configuración y aislando a los sitios con más tráfico en otros entornos. En este artículo técnico explicamos con más detalle qué estamos haciendo y qué debería esperar cada empresa según dónde esté alojado su sitio.
Lo que sabemos
1. Nadie es demasiado pequeño para ser atacado
La mayoría de los ataques que vemos no están dirigidos a una empresa en particular. Son automatizados: un programa recorre miles de sitios buscando una versión vulnerable, una contraseña débil o un archivo expuesto. Al bot no le importa si eres una multinacional o una panadería local; le importa si tu puerta está abierta.
Por eso, «no tengo nada que les interese» es una idea peligrosa. Tu servidor, tu sitio o tu correo pueden usarse para enviar spam, alojar páginas falsas o atacar a otros, sin que tu información sea el objetivo principal.
2. Los ataques crecen más rápido que la capacidad de reacción manual
Pasar de 2 intentos a 11,000 en días significa que una empresa que revisa su seguridad «cuando se acuerda» llega tarde. Hoy la defensa necesita automatización: bloqueos automáticos, monitoreo externo y reglas que se aplican en minutos, no en semanas.
3. La disponibilidad también es seguridad
Solemos pensar en la ciberseguridad como «que no me roben datos». Pero un ataque que no roba nada y aun así deja tu tienda sin funcionar por horas afecta ventas, reputación y confianza. Proteger la continuidad del negocio es parte del mismo tema.
4. Desarrollar es más barato; protegerse no es opcional
La inteligencia artificial y las herramientas modernas han reducido de forma importante el costo y el tiempo de crear un sitio web, una tienda en línea o una aplicación interna. Eso es una gran noticia para las MiPymes: lo que antes costaba meses hoy se logra en semanas.
Pero hay un efecto que se habla poco: si construir es más barato, también lo es construir sin cuidado. Un sitio que se levanta rápido y nunca se actualiza, un formulario que guarda datos sin protección o un plugin instalado «porque sí» son puertas abiertas. El ahorro en desarrollo tiene que reinvertirse, al menos en parte, en mantenimiento y seguridad.
Lo que no sabemos
Aquí quiero ser especialmente honesta, porque en temas de seguridad abundan las afirmaciones rotundas que nadie puede demostrar.
¿Los atacantes están usando inteligencia artificial?
Es muy probable que sí, en alguna medida. La IA facilita escribir código de ataque, adaptar técnicas conocidas y automatizar campañas. Pero desde nuestros registros no podemos afirmar con certeza qué parte del aumento se debe a la IA y qué parte a otros factores: nuevas vulnerabilidades publicadas, herramientas de ataque que se comparten entre grupos o simplemente más servidores baratos en la nube desde donde lanzar ataques.
Lo que sí observamos son sus efectos: más volumen, más velocidad y campañas que cambian de origen constantemente.
¿Cuánto va a crecer esto?
No lo sabemos. Un mes de datos muestra una tendencia clara, pero no permite predecir el próximo año. Lo prudente es prepararse para que la tendencia continúe.
¿Cuál será el próximo tipo de ataque?
Tampoco lo sabemos. La campaña que más nos afectó este mes era prácticamente inexistente tres semanas antes. Por eso la estrategia no puede basarse solo en bloquear lo que ya conocemos; tiene que incluir buenas prácticas generales que reduzcan el daño de lo que todavía no conocemos: actualizaciones constantes, respaldos, monitoreo y separación entre sistemas.
Los datos en riesgo: todo lo que está conectado a internet
Muchas empresas piensan en la ciberseguridad solo en términos de su sitio web. Pero cualquier equipo conectado a internet puede ser una puerta de entrada, y muchas veces nadie en la empresa lo tiene en el radar.
Piensa en todo lo que en tu negocio está conectado:
- Computadoras y laptops del equipo, incluidas las personales que se usan para trabajar.
- Teléfonos celulares con acceso al correo, a WhatsApp Business, a la banca en línea o a los sistemas de la empresa.
- El router de la oficina, que muchas veces conserva la contraseña de fábrica.
- Cámaras de seguridad IP y grabadores de video, famosos por usar credenciales débiles.
- Impresoras y multifuncionales conectadas a la red.
- Terminales de punto de venta y lectores de tarjetas.
- Televisores inteligentes y asistentes de voz en salas de reuniones.
- Tu sitio web y tu tienda en línea, con los datos de clientes que dejan en formularios y pedidos.
- Cuentas en la nube: correo, almacenamiento de archivos, redes sociales, sistemas contables.
¿Y qué datos pueden estar en riesgo a través de esos equipos?
- Datos de clientes: nombres, teléfonos, direcciones, historial de compras.
- Información financiera: cuentas bancarias, facturas, datos de pago.
- Información interna: contratos, precios, planillas, estrategias.
- Accesos: contraseñas guardadas en el navegador, sesiones abiertas, códigos de verificación.
- La reputación de la empresa: una cuenta de correo o de redes sociales comprometida puede usarse para estafar a tus propios clientes en tu nombre.
No hace falta que un atacante entre «por la puerta grande». Basta una cámara con la contraseña de fábrica, un celular sin bloqueo o una contraseña reutilizada en varios servicios.
¿Qué puede hacer una MiPyme desde ya?
No se trata de convertir a cada empresa en un centro de operaciones de seguridad. Se trata de tomar decisiones responsables y proporcionales:
- Haz un inventario sencillo de todo lo que tu empresa tiene conectado a internet y de quién lo administra.
- Activa la verificación en dos pasos en correo, redes sociales, banca y paneles administrativos.
- Cambia las contraseñas de fábrica de routers, cámaras e impresoras.
- Usa un gestor de contraseñas y deja de reutilizar la misma clave en varios servicios.
- Mantén todo actualizado: sistemas operativos, aplicaciones, sitio web y plugins.
- Ten respaldos que no dependan del mismo equipo o servidor, y comprueba de vez en cuando que se pueden restaurar.
- Pregunta a tu proveedor de sitio web y de hosting qué medidas de seguridad tiene activas, cómo te avisará si algo pasa y por qué canal debes reportar un problema.
- Asigna un presupuesto, aunque sea modesto. La ciberseguridad no es un gasto único: es un costo operativo, como la luz o el internet.
Invertir en ciberseguridad es invertir en continuidad
La conversación sobre ciberseguridad en las MiPymes suele girar en torno al costo. Propongo cambiar la pregunta: ¿cuánto le cuesta a tu empresa un día sin sitio web, sin correo o sin acceso a sus sistemas? ¿Cuánto le cuesta que un cliente reciba una estafa enviada desde tu propia cuenta?
La inteligencia artificial está haciendo que la tecnología sea más accesible que nunca, y eso es una oportunidad enorme para las empresas pequeñas. Pero la misma facilidad está al alcance de quienes atacan. Lo que sabemos alcanza para actuar; lo que no sabemos es la mejor razón para no esperar.
En los próximos artículos profundizaremos en qué está pasando específicamente con los sitios web y qué hacemos para proteger a nuestros clientes, y en cómo usar la inteligencia artificial como una aliada sin delegarle la responsabilidad.
