En Pixie Labs nos pasa seguido: llega un cliente pyme convencido de que a él “eso” no le va a pasar, que los ataques informáticos son cosa de bancos y multinacionales. Y la verdad es exactamente al revés. Las pymes son, hoy, uno de los blancos favoritos de los atacantes, precisamente porque suelen tener menos defensas armadas que una empresa grande, aunque manejan datos igual de sensibles: clientes, pagos, información fiscal, accesos a sistemas de gestión enteros.
La buena noticia, y esto se lo decimos a todos los que nos consultan, es que no hace falta un departamento de IT gigante para bajar el riesgo drásticamente. Casi ningún ataque exitoso explota algo sofisticado: la mayoría aprovecha hábitos descuidados, cosas chiquitas que se van postergando. Así que te queremos contar los siete cambios que, en nuestra experiencia, marcan más diferencia.
Arrancamos por lo más obvio y lo más ignorado a la vez: las contraseñas. Reutilizar la misma en varios servicios sigue siendo, después de tantos años, uno de los errores más comunes que vemos. El problema es que si un solo sitio sufre una filtración, esa contraseña queda expuesta para probarla en todos los demás lugares donde la usás. Lo que recomendamos siempre es un gestor de contraseñas —Bitwarden o 1Password, por ejemplo— que genere una clave única y larga para cada servicio, así nadie tiene que memorizar veinte combinaciones distintas.
Junto con eso, activar la autenticación en dos pasos en todo lo que se pueda. Es una segunda verificación (un código en el celular, una app específica) que se suma a la contraseña, y hace que aunque alguien consiga tu clave, no pueda entrar sin ese segundo factor. Lo activamos siempre en el correo corporativo, en WordPress, en el hosting y en cualquier sistema de gestión o CRM.
Después viene algo que muchas veces se posterga sin pensar en las consecuencias: mantener todo actualizado. Los plugins, los temas, el núcleo de WordPress reciben actualizaciones de seguridad todo el tiempo, y dejarlas para después es como dejar una puerta entreabierta. Muchos ataques automatizados buscan justamente versiones desactualizadas con vulnerabilidades ya conocidas públicamente. Revisar esto semana a semana evita ese punto ciego.
Algo parecido pasa con los backups. Tenerlos no sirve de nada si nunca comprobaste que se puedan restaurar de verdad. Nosotros insistimos siempre en configurar copias automáticas, guardadas fuera del propio servidor, y en probar de vez en cuando que el proceso de restauración funciona. Es la diferencia entre una mala tarde y perder el negocio entero frente a un ataque de ransomware.
Y no todo es técnico: la mayoría de los incidentes que vemos no arrancan con un hackeo sofisticado, sino con un correo o un mensaje que engaña a alguien del equipo para que haga clic o comparta una credencial. Una charla breve, de treinta o cuarenta minutos, para que todos reconozcan señales típicas —urgencia artificial, remitentes casi idénticos a los reales, enlaces raros— reduce muchísimo el riesgo, casi sin costo.
Dos cosas más que solemos revisar con nuestros clientes: que cada persona tenga solo los accesos que realmente necesita (no todos tienen que ser administradores de todo), y que exista, aunque sea en un documento breve, un plan simple para el peor momento: a quién avisar primero, qué accesos cortar, de dónde restaurar el backup. Pensarlo con calma antes de que pase algo ahorra horas valiosísimas después.
Para verlo en acción
Si preferís un resumen en video de varios de estos puntos, este es un buen complemento:
Ninguno de estos siete puntos requiere una inversión enorme ni conocimientos técnicos avanzados. Lo que sí requieren es constancia, volver sobre ellos de tanto en tanto y no dejarlos como una tarea pendiente eterna. Si querés, en Pixie Labs podemos ayudarte a auditar cómo está parado hoy tu sitio y tus sistemas, y dejar todo esto funcionando de forma automática para que no dependa de que alguien se acuerde de hacerlo.