En este artículo
Un ciberataque a una empresa no ocurre la noche en que aparecen los archivos cifrados. El atacante entró días o semanas antes, recorrió la red, encontró y borró las copias de seguridad y solo después pulsó el botón. Hay cuatro fases (reconocimiento, entrada, expansión e impacto) y en cada una existe una medida que funciona. Cuanto antes se para el ataque, más barato sale. Así es como vemos los incidentes en pymes portuguesas y así es como diseñamos la ciberseguridad gestionada.
Resumen de las cuatro fases
| Fase | Qué hace el atacante | Duración típica | Qué lo frena |
|---|---|---|---|
| 1. Reconocimiento | Estudia la empresa con información pública | De horas a semanas | Contraseñas únicas, menor exposición |
| 2. Entrada | Phishing, servicio expuesto o fallo sin parchear | Minutos | MFA, filtrado, actualizaciones, firewall gestionado |
| 3. Expansión | Busca credenciales, servidores y backups | De días a semanas | VLAN, sin administradores locales, backups inmutables, monitorización |
| 4. Impacto | Cifra, roba o desvía pagos | Horas | Contención: plan de respuesta y recuperación |
1. Reconocimiento: la empresa vista desde fuera
Antes del primer contacto, el atacante reúne lo que es público: nombres y cargos en LinkedIn, emails en la web, proveedores citados en noticias, software mencionado en ofertas de empleo y contraseñas de empleados expuestas en filtraciones de otros sitios. Con eso monta un ataque a medida: el email del proveedor habitual, la llamada del banco, el inicio de sesión con la contraseña reutilizada. La empresa no ve nada de esta fase.
Cómo frenarlo: quitar valor a las llaves y reducir lo que está expuesto. Las contraseñas únicas guardadas en un gestor de contraseñas empresarial anulan las filtraciones de terceros. Menos emails genéricos en la web y un procedimiento para las peticiones hechas en nombre de otra persona reducen el margen para la ingeniería social.
2. Entrada: la primera puerta
En las pymes predominan tres puertas:
- Phishing Alguien escribe la contraseña en una web falsa o abre un adjunto malicioso.
- Servicio expuesto sin MFA Escritorio remoto, VPN o portal antiguo con contraseña débil.
- Fallo sin parchear Firewall con firmware antiguo, servidor desactualizado, Windows 10 sin soporte.
Cómo frenarlo: autenticación multifactor en todo lo accesible desde fuera, lo que vuelve inútil una contraseña robada. Filtrado del email y un equipo formado para reconocer y notificar. Actualizaciones al día y un firewall gestionado con el mínimo de servicios expuestos. Aquí es donde debe morir la mayoría de los ataques a pymes.
3. Expansión: de un puesto a toda la red
Una vez dentro, el atacante busca tres cosas: credenciales de administrador, un camino hacia los servidores y las copias de seguridad. En una red plana, con usuarios administradores de sus propios puestos y la misma contraseña de administración en todas las máquinas, llega en horas. Desactiva el antivirus, crea cuentas para volver y borra o cifra los backups a su alcance.
Cómo frenarlo:
- Segmentación VLAN que impiden que un puesto comprometido llegue a servidores y backups (cómo segmentar la red).
- Privilegios mínimos Usuarios sin derechos de administrador.
- Backups inmutables Fuera del alcance de la red.
- Detección NOC y monitorización (24/7 en el plan Premium 365) que detecta inicios de sesión fuera de horario, cuentas nuevas y tráfico hacia destinos extraños mientras todavía son alertas.
Es la lógica de los cuatro pasos de Zero Trust para pymes.
Por qué esta es la fase decisiva
La entrada nunca queda cerrada al 100%: las personas se equivocan y surgen vulnerabilidades nuevas cada día. En el impacto ya es tarde para prevenir. En la expansión, una empresa con segmentación, monitorización y backups protegidos convierte un incidente grave en un puesto que reinstalar. Aun así, es la fase más olvidada: se invierte en la puerta (firewall, antivirus) y en la recuperación (backups) y se deja abierto el medio.
4. Impacto: lo que por fin se ve
Archivos cifrados con petición de rescate, datos publicados o vendidos, transferencias fraudulentas o sistemas parados. El momento se elige para retrasar la reacción, a menudo un viernes por la noche o la víspera de un festivo. El coste pasa a medirse en días de parada, honorarios de recuperación, notificaciones a la CNPD (autoridad portuguesa de protección de datos) y a clientes, y reputación.
Cómo contenerlo: plan de respuesta escrito y conocido (quién aísla, quién comunica, quién llama a quién); backups probados y fuera del alcance del atacante; un plan de disaster recovery y continuidad de negocio con tiempos de recuperación definidos; y unas primeras horas bien gestionadas, como explica la guía de recuperación de datos en las primeras horas.
Un ataque típico, día a día
Escenario compuesto a partir de lo que vemos en pymes.
- Martes — alguien de contabilidad recibe una factura del “proveedor” y escribe la contraseña en el portal falso.
- Martes por la noche — el atacante entra en el email y lo lee durante una semana. Encuentra el acceso al escritorio remoto, sin MFA.
- Días siguientes — entra en la red, el usuario es administrador local, extrae credenciales y llega al servidor de archivos y al NAS de los backups, en el mismo segmento.
- Jueves por la noche — borra los backups.
- Sábado de madrugada — lo cifra todo. El lunes por la mañana, la empresa lo descubre.
Con MFA en el acceso remoto, se habría parado en la fase 2. Con VLAN y backups fuera de la red, se habría parado en la fase 3 con un servidor que restaurar. Sin ninguna de las medidas, fueron tres semanas de parada parcial.
Preguntas frecuentes
¿Cuánto tiempo pasa entre la entrada y el impacto?
En pymes, normalmente entre unos días y unas semanas. Los ataques automatizados pueden cifrar en horas; los dirigidos tardan más porque el atacante busca primero los backups.
¿No basta un buen antivirus?
Frena parte de la entrada (adjuntos maliciosos) y parte de la expansión (herramientas conocidas). No frena credenciales robadas usadas de forma aparentemente legítima, que es como avanza la mayoría de los ataques. Por eso pesan más el MFA y la segmentación.
¿Pagar el rescate lo resuelve?
No garantiza la recuperación ni que los datos no se publiquen, y financia el siguiente ataque. Quien tiene backups probados y fuera de alcance ni siquiera tiene que decidir.
¿Por dónde empezar si no hay nada de esto?
Por coste-beneficio: MFA en todos los accesos externos, backups fuera de la red y probados, retirar los derechos de administrador, segmentar la red. Las dos primeras se hacen en días.
Siguiente paso: ¿en qué fase se pararía hoy un ataque a su empresa?
Recorremos las cuatro fases con su infraestructura y le decimos por escrito dónde se frenaría hoy el ataque y qué falta para frenarlo antes. Conozca la ciberseguridad gestionada de DataRoad; en 11 años, DataRoad nunca ha sufrido un incidente de seguridad.
Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico. Llame al +351 211 459 950* o escriba a sales@dataroad.pt.
*Llamada a la red fija nacional portuguesa.
