¿Crees que los ciberdelincuentes solo atacan a bancos y grandes empresas? Los datos dicen otra cosa. Según el índice de preparación cibernética de pymes de ESET, publicado en julio de 2026, el 45 % de las pequeñas y medianas empresas sufrió al menos un incidente de ciberseguridad en el último año, y el 61 % cree probable sufrir uno en los próximos doce meses. La buena noticia: la mayoría de los ataques se pueden frenar con hábitos sencillos y casi gratis. Esta guía de ciberseguridad para pymes te muestra por dónde empezar.
Por qué a una pyme sí le debe importar
El mismo informe de ESET encontró que, entre las empresas afectadas, las consecuencias más comunes fueron la pérdida de datos (50 %), la interrupción de la operación (40 %) y el impacto financiero (37 %). Además, el 34 % tardó entre dos y seis semanas en recuperarse por completo. Para un negocio pequeño, dos semanas sin poder facturar, vender por WhatsApp o atender pedidos pueden ser muy costosas.
¿Por dónde entran? El informe DBIR de Verizon, citado por El País, ubica el phishing (engaños por correo, SMS o chat) y las vulnerabilidades sin parchear (programas sin actualizar) entre los principales puntos de entrada a las pymes. ESET añade las contraseñas débiles y la falta de monitoreo.
Los 4 hábitos básicos que recomiendan los expertos
La agencia de ciberseguridad de Estados Unidos (CISA) resume la protección básica en cuatro pasos de su campaña Secure Our World. Son universales y aplican perfecto a una tienda, un consultorio o una agencia en Colombia:
1. Contraseñas largas, únicas y en un gestor
Usa una contraseña distinta para cada servicio: correo, banco, redes, hosting, facturación electrónica. Lo ideal son frases largas que no tengan que ver con el nombre de tu negocio o la fecha de fundación. Para no olvidarlas, usa un gestor de contraseñas en lugar de una libreta o un archivo de Excel en el escritorio.
2. Activa la verificación en dos pasos
La autenticación de múltiples factores (MFA) pide un segundo código además de la contraseña. Aunque alguien robe tu clave, no podrá entrar sin ese código. Actívala primero en el correo, la banca en línea, las redes sociales del negocio y el panel de tu sitio web.
En WhatsApp, que para muchas pymes es la caja registradora, activa la verificación en dos pasos. Según el centro de ayuda de WhatsApp, la aplicación está cambiando el PIN de seis dígitos por una contraseña, y desde esa misma opción puedes agregar un correo de recuperación y revisar tus dispositivos de confianza.
3. Aprende a reconocer el phishing
Desconfía de mensajes con urgencia («tu cuenta será bloqueada hoy»), premios inesperados, supuestos proveedores que cambiaron de cuenta bancaria o enlaces acortados. Antes de pagar o de dar una clave, confirma por otro canal: llama al número que ya tenías guardado, no al que viene en el mensaje. Ningún banco serio te pedirá claves o códigos por chat.
4. Actualiza todo, siempre
Celulares, computadores, navegador, antivirus, plugins de WordPress y el propio sitio web. Las actualizaciones tapan los huecos que los delincuentes ya conocen. Activa las actualizaciones automáticas donde puedas.
Otras medidas que valen oro
Copias de seguridad que sí sirvan
Ten copias de tus archivos importantes (facturas, inventario, base de clientes) en al menos dos lugares, uno de ellos fuera de la oficina o en la nube. Y de vez en cuando prueba restaurarlas: una copia que nunca se ha probado puede fallarte justo el día que la necesitas. Si tienes página web, verifica que tu hosting haga copias automáticas diarias.
Cuentas separadas y permisos mínimos
Cada empleado debe tener su propio usuario, con acceso solo a lo que necesita. Cuando alguien se va del equipo, cambia las claves compartidas y retira sus accesos ese mismo día.
Wi-Fi del negocio y wifi para clientes
Si ofreces wifi a tus clientes, sepáralo de la red donde trabajan tus computadores y la caja. Cambia la contraseña que trae el router de fábrica.
Cuida los datos de tus clientes
En Colombia, la Ley 1581 de 2012 regula el tratamiento de datos personales y aplica a empresas públicas y privadas. Eso incluye los números de WhatsApp, correos y direcciones de tus clientes. Pide autorización para usarlos, protégelos y no los compartas sin permiso. Según la Superintendencia de Industria y Comercio (SIC), la inscripción en el Registro Nacional de Bases de Datos es obligatoria para sociedades y entidades sin ánimo de lucro con activos superiores a 100.000 UVT, pero las obligaciones de protección aplican a todos.
¿Y si ya te atacaron?
- No pagues rescates ni sigas instrucciones del atacante.
- Cambia de inmediato las contraseñas desde un equipo limpio y cierra las sesiones abiertas.
- Avisa a tu banco si hubo movimientos de dinero.
- Reporta el incidente en el CAI Virtual de la Policía Nacional. Para poner una denuncia formal por delitos informáticos (Ley 1273 de 2009), usa el sistema ¡ADenunciar! de la Policía y la Fiscalía.
- Avisa a tus clientes si sus datos pudieron quedar expuestos, para que estén atentos a posibles estafas.
Tu lista rápida para esta semana
- Activa la verificación en dos pasos en el correo, WhatsApp y el banco.
- Cambia las contraseñas repetidas y empieza a usar un gestor.
- Actualiza celulares y computadores.
- Revisa que tus copias de seguridad existan y funcionen.
- Haz una charla de 15 minutos con tu equipo sobre mensajes sospechosos.
No necesitas un departamento de sistemas para estar mucho más protegido. Con estos pasos ya le cierras la puerta a la mayoría de los ataques comunes.
En ToliRed llevamos más de cinco años ayudando a negocios colombianos con su presencia digital, y nuestro hosting incluye certificado SSL y copias de seguridad diarias. Si quieres revisar qué tan protegido está tu sitio web o tu atención por WhatsApp, escríbenos por WhatsApp y lo miramos contigo, sin compromiso.
Fuentes
- Portafolio – El 45 % de las pymes sufrió ciberataques y crece la preocupación por el uso de IA en las amenazas (8 jul 2026)
- Grafix Digital – El 61 % de las pymes teme sufrir un ciberataque pese a estar preparadas (ESET SMB Cyber Readiness Index 2026)
- El País (Cali) – Casi la mitad de las pymes sufrió un ciberataque durante el último año
- CISA – Secure Our World
- Centro de ayuda de WhatsApp – Cómo gestionar la verificación en dos pasos
- Superintendencia de Industria y Comercio – ¿Cuáles personas están obligadas a realizar el registro de bases de datos personales en el RNBD?
- Policía Nacional de Colombia – Ciberseguridad y reporte de delitos informáticos
- Policía Nacional de Colombia – Sistema Nacional de Denuncia Virtual ¡ADenunciar!
Créditos de las imágenes
- Llave antigua sobre un portátil: Wikimedia Commons, autor: Nikowsk, licencia CC BY-SA 4.0. Imagen redimensionada.
- Token de verificación en dos pasos: Wikimedia Commons, autor: Tony Webster, licencia CC BY 2.0. Imagen redimensionada.