Los 5 ataques que más golpean a un negocio chico

Una cafetería con tres sucursales en Satélite. El encargado recibe un WhatsApp “del dueño” desde un número nuevo: “Cambié de celular, urge que deposites a este proveedor hoy, luego te explico”. Deposita 38 mil pesos. El dueño estaba en una junta y nunca escribió nada. No hubo virus, no hubo hacker con capucha. Hubo un mensaje bien escrito y una persona con prisa.

En 2025, el FBI recibió 859,532 denuncias de ciberdelito con pérdidas por 16.6 mil millones de dólares durante 2024. En América Latina, Kaspersky registró que el 43% de las PyMEs sufrió phishing ese mismo año. Los números cambian por país; los métodos no.

Estos son los cinco ataques que más veo en negocios de 5 a 100 personas, qué buscan y cómo se ven desde adentro.

1. Phishing: el correo o mensaje que se disfraza

Phishing es un mensaje (correo, SMS, WhatsApp) que imita a alguien confiable para que des clic, descargues algo o escribas tu contraseña. Es el equivalente a un vendedor con uniforme falso que entra a tu bodega porque “viene de parte del proveedor”.

Es el ataque más frecuente en la región. Kaspersky lo ubicó en primer lugar entre las PyMEs latinoamericanas en 2025 (43%). IBM lo identificó como el vector de entrada más común en las filtraciones de datos de América Latina en 2025, con el 17% de los casos.

Cómo se ve: un correo del “SAT” con una multa, un “paquete retenido”, una “factura” en PDF que en realidad es un programa. Lo delata la urgencia y un link que no corresponde al dominio real.

2. Fraude por WhatsApp: tu canal de ventas es su canal de entrada

En México el negocio corre por WhatsApp, y los delincuentes lo saben. Condusef reportó que desde el segundo semestre de 2025 los defraudadores cambiaron de estrategia: menos llamadas, millones de mensajes. Entre enero y julio de 2026, Condusef recibió cerca de 110 mil quejas, unas 60 mil relacionadas con posible fraude.

Hay dos variantes que golpean al negocio. La primera es la suplantación: alguien se hace pasar por el dueño, un cliente o un proveedor desde un número nuevo. La segunda es el secuestro de la cuenta: te piden “el código de 6 dígitos que te llegó por error” y con eso se quedan con tu WhatsApp Business, tus chats y tus clientes.

Cómo se ve: un mensaje de “cambié de número”, un código de verificación que no pediste, un “cliente” que manda un comprobante en imagen y pide que le envíes el pedido ya.

3. Ransomware: te cambian la chapa y te venden la llave

Ransomware es un programa que cifra tus archivos (los vuelve ilegibles) y te pide dinero para devolvértelos. Entra casi siempre por phishing o por una contraseña robada, y se activa cuando ya nadie lo está viendo.

Verizon encontró en 2025 que el ransomware apareció en el 88% de las brechas en pequeñas y medianas empresas, contra el 39% en organizaciones grandes. La mediana del rescate pagado fue de 115 mil dólares, y el 64% de las víctimas decidió no pagar. ESET reporta que el 22% de las empresas latinoamericanas sufrió un incidente de este tipo en los últimos dos años.

Cómo se ve: una mañana el sistema de punto de venta no abre, los archivos tienen una extensión rara y hay un archivo de texto con instrucciones de pago. Si no tienes un respaldo que ya probaste restaurar, en ese momento tu negocio se detiene.

4. Suplantación de proveedor (BEC): la transferencia que parecía normal

BEC (Business Email Compromise) es cuando el atacante entra a un correo real, el tuyo o el de tu proveedor, lee cómo se escriben y, en el momento justo, manda un “cambio de cuenta bancaria” o una factura con otra CLABE. No hay archivo malicioso ni alerta. Solo un correo normal con un dato cambiado.

Es el fraude que más dinero mueve por caso. El FBI contó 21,442 denuncias de BEC en 2024 con pérdidas de 2,770 millones de dólares. En América Latina, Kaspersky registró que el 28% de las PyMEs reportó ataques BEC en 2025.

Cómo se ve: un proveedor de años “cambia de banco” por correo justo antes de un pago grande. El tono es el de siempre, la firma es la de siempre. Lo único distinto es la cuenta.

5. Robo de credenciales: la llave que alguien ya tiene

Credenciales son tu usuario y contraseña. Se roban por phishing, por una filtración de otro servicio donde usaste la misma contraseña, o por un programa que registra lo que tecleas. Una vez que las tienen, no necesitan atacar: entran.

Verizon las identificó en 2025 como el vector de acceso inicial más común en las brechas, con el 22% de los casos, y encontró que el elemento humano participó en el 60% de todas las brechas. Ese 60% no son expertos cayendo en trampas sofisticadas: es gente usando la misma contraseña del Facebook en el correo del negocio.

Cómo se ve: no se ve. Alguien lee tu correo durante semanas, descarga tu lista de clientes y espera el momento para el ataque número 4. IBM calculó que en América Latina se tardaron 316 días en 2025 en detectar y contener un incidente.

Lo que tienen en común

Ninguno de los cinco requiere que alguien “rompa” tu sistema. Cuatro empiezan con una persona de tu equipo haciendo algo que parecía normal. Y los cinco se frenan con lo mismo: un segundo factor de autenticación, una regla de verificación para pagos, un respaldo probado y gente que sabe qué buscar.

En los negocios que diagnostico, lo que falta no es tecnología. Es que nadie ha definido qué es normal y qué no.

Qué puedes hacer esta semana

1. Activa MFA (verificación en dos pasos) en correo, WhatsApp Business y banca. Es un segundo candado: contraseña más un código en tu teléfono.
2. Pon una regla escrita: cualquier cambio de cuenta bancaria de un proveedor se confirma por llamada al número de siempre antes de pagar. Sin excepciones, ni para el dueño.
3. Dile a tu equipo que nadie comparte códigos de verificación de WhatsApp. Nunca. Ni “por error”.
4. Restaura un archivo desde tu respaldo. Si no lo logras, no tienes respaldo.
5. Revisa si tu contraseña del negocio es la misma que usas en alguna otra cuenta. Si sí, cámbiala hoy.

Cómo ayuda AgileNext

Blindaje Empresarial ataca justo estos cinco frentes en un sprint de 45 días: MFA, contraseñas y accesos controlados; respaldos probados de verdad; reglas de verificación para pagos; y validación independiente con aliados especializados. Alineado a ISO 27001 sin obligarte a certificarte, y con protección que puedes demostrar a tus clientes y socios.

Haz el autodiagnóstico de seguridad sin costo y descubre cuál de los cinco te toca primero.

Te puede interesar: Auditar al agente: el 100% de las conversaciones, no una muestra · Contraseñas, MFA y gestores: lo mínimo defendible en 2026