La transformación digital ha dejado de ser una opción para las pequeñas y medianas empresas. La necesidad de adaptarse a nuevos modelos de negocio, automatizar procesos y mantener la competitividad ha acelerado la digitalización de las pymes en los últimos años. Sin embargo, este avance tecnológico ha venido acompañado de un incremento exponencial de los riesgos asociados a la ciberseguridad.
Esta fue una de las principales conclusiones de la mesa redonda ‘Ciberseguridad: hackeando la mente’ organizada por Madrid 365, en la que participaron Víctor Villagrá, representante del Clúster CyberMadrid; Antonio Fernández, perito informático forense de DLT Code; Diego García, director de tecnología de Hadoqmedia; y Antonio Palacios, experto en ciberseguridad de BBVA.
Durante el encuentro, los expertos analizaron las amenazas que afectan actualmente a las pymes, las medidas que pueden adoptar para protegerse y los pasos que deben seguir cuando ya han sido víctimas de un ciberataque.
Las pymes, más vulnerables que nunca
Aunque las amenazas que sufren las pymes son similares a las de las grandes empresas, los especialistas coinciden en que existe una diferencia fundamental: su nivel de vulnerabilidad.
Según explicó Víctor Villagrá, las pequeñas empresas cuentan con una superficie de exposición menor, ya que disponen de menos sistemas, menos redes y menos empleados. Sin embargo, suelen carecer de estructuras sólidas de ciberseguridad, lo que las convierte en objetivos especialmente atractivos para los ciberdelincuentes.
«Las amenazas son prácticamente las mismas para cualquier organización, pero las pymes tienen una mayor vulnerabilidad porque todavía no tienen la ciberseguridad tan integrada en su cultura empresarial», señaló.
Además, advirtió de que la falta de concienciación sigue siendo uno de los principales problemas. Muchas empresas continúan pensando que un ataque solo les ocurre a las grandes corporaciones, cuando la realidad demuestra justamente lo contrario.
La inteligencia artificial multiplica el riesgo
Uno de los temas que más interés generó entre los participantes fue el impacto de la inteligencia artificial en el ámbito del cibercrimen.
Antonio Fernández explicó que las herramientas basadas en IA están permitiendo perfeccionar técnicas de fraude que ya existían, como la suplantación de identidad, pero llevándolas a un nivel de sofisticación sin precedentes.
Hoy es posible clonar voces, generar correos electrónicos prácticamente indistinguibles de los legítimos o incluso realizar videollamadas falsas capaces de engañar a usuarios experimentados.
El perito informático relató el caso reciente de una empresa que recibió una videollamada aparentemente legítima. «Una de las formas de ciberfraude ahora mismo, ya no solamente a Pymes, sino a muchas empresas, es que te entra una supuesta reunión de Teams que tú no has convocado, con una serie de documentos que tienes que revisar, y si tú no estás muy al día de qué es lo que tienes que hacer, automáticamente pinchas y muchas veces entran en tu equipo directamente, que es lo que ocurrió en este caso», apuntó.
Para Diego García, la amenaza ya no son aquellos correos electrónicos llenos de errores ortográficos que tradicionalmente servían para identificar un fraude. Ahora los atacantes analizan redes sociales, patrones de comunicación y hábitos digitales para construir mensajes completamente personalizados.
«Ya no hablamos de correos mal escritos. Hablamos de mensajes que conocen cómo te comunicas, cómo escribes y con quién interactúas», explicó.
El factor humano sigue siendo el eslabón más débil
A pesar de la evolución tecnológica de los ataques, todos los participantes coincidieron en que el principal punto de entrada continúa siendo el mismo: las personas.
Antonio Palacios recordó que los ciberdelincuentes centran gran parte de sus esfuerzos en manipular a quienes tienen capacidad para autorizar pagos, modificar cuentas de proveedores o gestionar información sensible.
Según explicó, los ciberdelincuentes continúan explotando las emociones de las personas mediante técnicas de ingeniería social basadas en la urgencia, el miedo o la promesa de beneficios inmediatos. «Las pymes están formadas por personas. Al final, quien ejecuta una transferencia o autoriza una operación es una persona, y ahí es donde ponen el foco los delincuentes», explicó.
Además, alertó de la falta de protocolos y planes de actuación que todavía existe en muchas pequeñas empresas.
La ciberseguridad debe empezar en la dirección
En cuanto a las medidas de protección, los participantes insistieron en que la ciberseguridad no puede ser responsabilidad exclusiva de un departamento técnico.
Para Víctor Villagrá, uno de los errores más habituales consiste en delegar toda la seguridad de la empresa en un único empleado o incluso en un becario. «La ciberseguridad tiene que formar parte del gobierno de la organización. Debe asumirse desde la dirección, con objetivos claros y presupuesto específico», afirmó.
Entre las medidas mínimas que debería adoptar cualquier pyme destacó:
- Disponer de una política de ciberseguridad.
- Formar periódicamente a los empleados.
- Contar con un plan de continuidad de negocio.
- Mantener sistemas actualizados.
- Realizar copias de seguridad periódicas.
- Establecer protocolos claros de actuación ante incidentes.
Por su parte, Antonio Palacios, desde BBVA, destacó la estrecha relación de la entidad con las pymes. “Tenemos mucha proximidad con las pymes a través de programas de formación en tecnología, en concienciación de este tipo de procesos y en la preparación de planes para reaccionar ante un posible fraude”, señaló. Además, añadió que también ofrecen soluciones como el ciberseguro y asesoramiento tecnológico en medidas básicas de protección de dispositivos y buenas prácticas digitales.
La formación, la inversión más rentable
Si hubo una palabra que se repitió constantemente durante toda la mesa redonda fue «formación».
Diego García explicó que en Hadoqmedia trabajan sobre cuatro pilares fundamentales: visibilidad de los activos digitales, copias de seguridad, protección del correo electrónico y formación continua de los empleados.
Para él, la formación sigue siendo la medida más eficaz para reducir riesgos. «Puedes tener las mejores herramientas del mercado, pero si una persona hace clic donde no debe, el problema sigue existiendo», afirmó.
Los expertos coincidieron en que la concienciación debe adaptarse a cada perfil profesional. No necesita la misma formación una persona del departamento financiero que un técnico o un empleado administrativo.
Qué hacer cuando el ataque ya se ha producido
Cuando una empresa descubre que ha sido víctima de un ciberataque, la rapidez de reacción resulta determinante.
Víctor Villagrá destacó que el primer paso debe ser siempre reportar el incidente y evitar ocultarlo. «El mayor error es intentar solucionarlo en silencio o pensar que se puede gestionar internamente sin ayuda especializada», advirtió.
Los expertos recomendaron acudir inmediatamente a organismos como INCIBE, Policía Nacional o Guardia Civil, además de contactar con los proveedores tecnológicos y entidades financieras afectadas.
Desde BBVA, Antonio Palacios insistió en la importancia de denunciar formalmente los hechos. «La denuncia es fundamental porque permite a las fuerzas de seguridad acumular información, detectar patrones y actuar contra los ciberdelincuentes», explicó.
La importancia de las evidencias digitales
Otro aspecto clave es la preservación de evidencias. Antonio Fernández recordó que muchas empresas empeoran la situación al apagar equipos, borrar información o restaurar sistemas sin haber realizado previamente un análisis forense. «Recuperar una copia de seguridad no significa necesariamente haber solucionado el problema», advirtió.
En numerosos casos, los atacantes han permanecido dentro de los sistemas durante meses antes de ser detectados, creando usuarios ocultos, modificando permisos o instalando mecanismos que les permiten volver a acceder incluso después de una restauración.
Por ello, insistió en la necesidad de conservar registros, analizar los sistemas afectados y documentar todo lo ocurrido antes de tomar decisiones irreversibles.
Un desafío que va mucho más allá de la tecnología
Al cierre de la mesa, los participantes fueron preguntados sobre cuál consideran el principal desafío para los próximos cinco años: la inteligencia artificial, la escasez de talento especializado o la falta de concienciación empresarial.
Aunque reconocieron la importancia de los tres factores, la mayoría coincidió en señalar la concienciación como el elemento decisivo.
La inteligencia artificial seguirá evolucionando y el mercado continuará demandando profesionales especializados, pero una organización que comprenda realmente los riesgos estará mejor preparada para afrontar ambos retos.
Como resumió Víctor Villagrá, «la tecnología puede adquirirse y el talento puede contratarse, pero la cultura de la ciberseguridad debe construirse día a día dentro de cada empresa».
Y esa, precisamente, sigue siendo la gran asignatura pendiente de muchas pymes madrileñas.
