Wifi abierto, contraseñas débiles y copias sin hacer: los fallos de ciberseguridad que ponen en riesgo a los pequeños negocios

La mayoría de los comercios, despachos y pequeñas empresas de nuestro municipio funcionan hoy con una infraestructura parecida: un router de fibra, una red wifi que comparten trabajadores y clientes, varios ordenadores y un servidor o programa de gestión donde está todo lo importante: facturación, clientes, pedidos y datos personales. Esa combinación, tan habitual como cómoda, es también la puerta de entrada más fácil para un ataque informático.

La wifi no es una pared

Las ondas de una red wifi atraviesan muros, cristales y escaparates sin dificultad. Eso significa que la cobertura del negocio llega a la calle, al aparcamiento o a la vivienda de al lado, y que un atacante puede intentar conectarse desde fuera sin que nadie lo vea. Si la red de los clientes es la misma que la de los equipos de trabajo, una vez dentro tiene acceso directo al servidor y a las bases de datos. Y si las contraseñas son débiles o las que venían de fábrica, el resto es cuestión de minutos.

Las consecuencias son dobles. Por un lado, operativas: parar la actividad, perder información o quedar sin servicio durante días. Por otro, legales: una fuga de datos personales obliga a notificarla a la Agencia Española de Protección de Datos en un plazo de 72 horas y puede acarrear sanciones de hasta el 4 % de la facturación anual, además del daño reputacional ante los clientes.

Lo que puede hacer cualquier empresa

La buena noticia es que la mayoría de las medidas son sencillas y no requieren grandes inversiones:

1. Separar redes. Los clientes deben navegar por una wifi distinta de la que usan los equipos de trabajo. Cualquier router moderno permite crear una «red de invitados» aislada. 2. Cable antes que wifi. Siempre que sea posible, los ordenadores de trabajo deben conectarse por cable. 3. Configurar bien la wifi. Nombre de red genérico que no identifique al negocio, contraseña larga y que se cambie de vez en cuando, desactivar el botón WPS y los cifrados antiguos, y no tocar la configuración del router desde la propia wifi de clientes. 4. Actualizar todo. Sistemas operativos, programas de gestión y el propio router. Las actualizaciones tapan los agujeros que los atacantes conocen. 5. Un usuario para cada persona. Nada de contraseñas compartidas o apuntadas en un pósit. Cada empleado con su acceso, con los permisos justos, y dar de baja al que se va. 6. Doble verificación. Activar la autenticación en dos pasos en el correo, la banca, el programa de gestión y cualquier acceso remoto. 7. Carpetas compartidas con control. Nunca abiertas sin contraseña si contienen datos sensibles. 8. Copias de seguridad fuera del alcance. Copias automáticas, guardadas donde un atacante no pueda borrarlas, y comprobar de vez en cuando que se pueden restaurar. 9. Acceso desde fuera solo por VPN. Ni el gestor, ni el proveedor informático, ni el propio dueño deberían entrar a los equipos del negocio por una puerta abierta a internet. 10. Formar al equipo. La mayoría de los incidentes empiezan con un correo engañoso o un enlace que alguien pulsa sin pensar. Diez minutos de explicación evitan muchos disgustos.

Y si pasa algo

Conviene tener decidido de antemano qué hacer: a quién llamar, cómo desconectar los equipos, dónde están las copias y cómo avisar a los clientes si es necesario. Un incidente gestionado en la primera hora cuesta mucho menos que uno descubierto semanas después.

La ciberseguridad ya no es cosa de grandes compañías. Los ataques automáticos buscan precisamente al pequeño negocio que da por hecho que nadie se fijará en él.