En este artículo
La superficie de ataque externa es todo lo que su empresa expone en internet y que cualquiera puede ver e intentar abrir sin entrar en la oficina: puertos abiertos, paneles de gestión, VPN, firewall, dominios, subdominios y direcciones de correo. En la mayoría de las empresas es mayor de lo que imagina la dirección. Reducirla es un trabajo continuo de inventario, cierre, actualización y vigilancia, que forma parte de la ciberseguridad gestionada.
Por qué importa ahora
- Los ataques son automáticos Hay programas que rastrean internet en busca de equipos con fallos conocidos; el tamaño de la empresa no cuenta.
- Los fallos se explotan deprisa La CISA, agencia de ciberseguridad de EE. UU., mantiene el catálogo KEV de vulnerabilidades ya explotadas y exige a las agencias federales que corrijan las nuevas en dos semanas.
- Los incidentes aumentan en Portugal El CERT.PT registró 3.864 incidentes en 2025, un 40% más que en 2024, según datos del CNCS.
Una imagen sencilla: las puertas del edificio
La puerta principal de la empresa tiene cerradura y alarma. Pero también está la puerta trasera y el garaje que un proveedor usó hace tres años. La superficie de ataque es el conjunto de todas las entradas, incluidas las olvidadas.
En el mundo digital, un puerto es un canal numerado por el que un equipo acepta conexiones. El de la web está abierto a propósito; el del panel de gestión del firewall o del servidor no debería estar abierto al mundo. Hay motores de búsqueda que listan a diario todos los puertos abiertos del planeta. El atacante no busca su empresa: filtra la lista.
Las cinco exposiciones más habituales
Paneles de administración visibles
Routers del operador, firewalls, NAS, cámaras de videovigilancia e impresoras tienen páginas de gestión. Si son accesibles desde internet, invitan a probar contraseñas una y otra vez o a explotar fallos conocidos del modelo.
Firewall y VPN sin actualizar
La VPN está, por naturaleza, expuesta a internet. Cuando un fabricante publica una corrección, los atacantes la estudian y buscan a quien aún no la ha instalado. Los equipos de acceso remoto aparecen con regularidad en el catálogo KEV, y el plazo de dos semanas de la CISA es una buena referencia para cualquier empresa. Vea por qué aplazar las actualizaciones sale caro.
Escritorio remoto abierto
Exponer directamente el RDP de Windows, «solo para que el gestor entre el fin de semana», abre una de las puertas más buscadas. El acceso debe pasar por una VPN o por una solución con verificación de identidad; lea por qué la VPN por sí sola ya no basta.
Subdominios y dominios olvidados
tienda.empresa.pt, prueba.empresa.pt, la campaña de 2019: cada subdominio apunta a algún sitio. Si el destino se apagó y el registro se quedó, un tercero puede, en algunos casos, ocupar la dirección con el nombre de la empresa. Y un dominio que caduca se lleva consigo la web y el correo, como explicamos en dominios y certificados que caducan.
Correos del equipo expuestos
Aparecen en la web, en LinkedIn y en filtraciones de datos de otros servicios. No se pueden ocultar, pero sí saber cuáles están más expuestos y garantizar que ninguna cuenta dependa solo de la contraseña. Según el CNCS, cerca de la mitad de los incidentes de 2025 explotó vulnerabilidades humanas, con el phishing a la cabeza.
Qué verifica un diagnóstico externo
La medición se hace desde fuera, como lo haría un atacante, pero con autorización e informe final.
| Elemento | Método | Señal de alarma |
|---|---|---|
| IP públicas | Contratos de internet de cada oficina y servicios en la nube | Nadie sabe cuántas hay |
| Puertos abiertos | Escaneo autorizado de cada IP | Paneles, RDP, bases de datos o recursos compartidos visibles |
| Firewall y VPN | Identificación de la versión y comparación con los avisos del fabricante y el catálogo KEV | Versión con un fallo conocido y explotado |
| Subdominios | DNS y registros públicos de certificados | Direcciones que apuntan a servicios apagados |
| Dominios y certificados | Fechas de caducidad y titular | Registro a nombre de un exempleado o de un antiguo proveedor |
| Correo | SPF, DKIM, DMARC y filtraciones de datos | Dominio que cualquiera puede suplantar |
DataRoad IT Unlimited
Hable con DataRoad. Evaluamos su operación y proponemos el plan adecuado.
Cuatro pasos para reducir la exposición
- Inventariar — IP públicas, dominios, subdominios y equipos expuestos, cada uno con un responsable. Lo que no tiene dueño se olvida.
- Cerrar por defecto — lo que no necesita estar abierto se cierra; paneles solo desde la red interna o por VPN; acceso remoto siempre con MFA.
- Actualizar lo que queda — firewall, VPN y routers al día, con un plazo definido para las correcciones críticas; los equipos sin soporte del fabricante se sustituyen.
- Vigilar de forma continua — la superficie cambia con cada equipo o servicio nuevo; verificación como mínimo mensual, con alertas ante puertos nuevos.
En DataRoad, el firewall gestionado, las actualizaciones y la monitorización con alarmas están incluidos en los servicios gestionados IT Unlimited. En el plan Premium también se incluye la asistencia presencial, útil cuando hay que sustituir un equipo antiguo.
Caso real: FreshDesign, con acceso remoto por un único camino
FreshDesign necesitaba proteger la oficina, dar acceso remoto seguro al equipo y seguir trabajando si fallaba internet. DataRoad instaló un firewall de nueva generación con prevención de intrusiones e informes con alertas, creó una VPN SSL para el acceso cifrado a los servidores internos y configuró dos conexiones a internet con conmutación automática.
El mantenimiento quedó en el contrato IT Unlimited: firmware, ajuste de políticas y estabilidad de la VPN. Un camino controlado, actualizado por contrato y no «cuando haya tiempo». Lea el caso FreshDesign: firewall y VPN.
Preguntas frecuentes
¿Una empresa pequeña es realmente un objetivo?
Sí. La mayoría de los ataques a la superficie externa son automáticos y buscan versiones de software vulnerables, sea cual sea el tamaño de la empresa.
¿Probar la superficie de ataque puede causar problemas?
Una verificación externa bien hecha es discreta y se acuerda previamente. Identifica qué está visible y en qué versión, sin intentar entrar; las pruebas más intrusivas se programan con la empresa.
¿Con qué frecuencia debemos verificar?
Al menos una vez al mes y siempre que cambie algo: nueva oficina, nueva conexión, nuevo servicio en la nube o nuevo firewall. Lo ideal es una vigilancia continua con alertas.
¿No se encarga de esto el operador de internet?
Normalmente no. El operador entrega la conexión y a veces el router; lo que queda abierto y actualizado es responsabilidad de la empresa o de quien gestiona su infraestructura.
Solicite el mapa de su superficie de ataque
En 5 días laborables inventariamos lo que internet ve de su empresa —IP, puertos, firewall, VPN, dominios, subdominios y correo— y entregamos un informe con prioridades por riesgo. Propuesta sin compromiso. Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico.
+351 211 459 950* · sales@dataroad.pt
*Llamada a la red fija nacional portuguesa.
