¿Por qué los ciberdelincuentes prefieren a la PyME?

Un despacho contable de 12 personas en Naucalpan. Lunes, 8:40 de la mañana. La asistente abre un correo que parece del SAT, da clic, escribe su contraseña. A las 11 el dueño ya no puede entrar a su propio correo y alguien está escribiendo a sus clientes pidiendo “actualizar datos bancarios”. Nadie en ese despacho pensó que era un blanco. Para el atacante, era el blanco perfecto.

Esto no es una excepción. En 2025, el 57% de los profesionales de TI encuestados por Kaspersky en América Latina dijo que los ataques dirigidos a PyMEs habían aumentado en el último año. Y uno de cada cinco negocios admitió estar sin protección o con protección apenas básica.

Te explico por qué el crimen organizado digital te prefiere a ti antes que a un corporativo, con cifras y sin dramatismo.

No eres pequeño para ellos: eres rentable

La idea de “a mí no me van a atacar, soy chico” tiene un error de origen. El atacante no elige a mano. Usa herramientas que barren miles de negocios al día buscando una puerta abierta: una contraseña repetida, un correo sin filtro, un sistema sin actualizar.

Fortinet registró más de 324 mil millones de intentos de ciberataque en México durante 2024, y 35,200 millones tan solo en el primer trimestre de 2025. Eso no son personas eligiendo víctimas: son sistemas automatizados tocando todas las puertas de la cuadra. La tuya incluida.

Cuando una de esas puertas abre, el atacante recién decide qué hacer contigo. Y ahí viene la segunda razón.

El negocio chico paga más rápido y pelea menos

El reporte de Verizon sobre brechas de datos (DBIR 2025) tiene un dato que debería incomodarte: el ransomware apareció en el 88% de las brechas en pequeñas y medianas empresas, contra el 39% en organizaciones grandes.

Ransomware es un software que secuestra tu información (la cifra) y te pide dinero para devolvértela. Es como si alguien cambiara la chapa de tu bodega y te vendiera la llave nueva.

¿Por qué el corporativo sale menos en esa estadística? Porque tiene respaldos probados, equipo de respuesta y abogados. Cuando lo atacan, no paga: restaura. El negocio chico muchas veces no tiene a dónde restaurar, y el atacante lo sabe. Según el mismo reporte, el 64% de las víctimas no pagó el rescate en 2025. La pregunta es en qué lado del 64% estarías tú.

La puerta de entrada casi siempre es una persona

Verizon encontró en 2025 que el elemento humano participó en el 60% de las brechas y que las credenciales robadas fueron el vector de acceso inicial más común, con el 22% de los casos. No hablamos de hackers rompiendo sistemas: hablamos de alguien que dio su contraseña.

En América Latina, la encuesta de Kaspersky de 2025 lo confirma: el phishing afectó al 43% de las PyMEs, seguido por malware encubierto (37%), compromiso de correo empresarial o BEC (28%) y ransomware (20%).

Phishing es el correo, mensaje o llamada que se disfraza de alguien confiable (tu banco, el SAT, tu proveedor) para que entregues un dato o des un clic. BEC es la versión dirigida: alguien se mete a un correo real de tu empresa o de tu proveedor y, desde ahí, pide una transferencia.

En un negocio de 15 personas, nadie tiene como trabajo revisar si el correo del proveedor es el de siempre. Todos tienen prisa. Esa prisa es la vulnerabilidad.

Lo que cuesta de verdad

IBM calculó que en 2025 una filtración de datos costó en promedio 2.51 millones de dólares a las empresas de América Latina (Argentina, Brasil, Chile, Colombia y México), con el phishing como vector más frecuente. Ese número es de empresas grandes, así que no lo tomes como tu riesgo directo.

Lo que sí aplica a tu tamaño es otro dato del mismo estudio: en la región tardaron 316 días en identificar y contener un incidente. Casi un año con alguien adentro. En un negocio chico, con menos monitoreo, no hay razón para pensar que sería menos.

Y del lado de los clientes: Condusef registró 35,762 reclamaciones por fraude entre enero y mayo de 2026, 18.95% más que el mismo periodo de 2025. Muchos de esos fraudes empiezan con datos que alguien robó de un negocio que los guardaba sin cuidado.

Lo que veo en los negocios que diagnostico

Por el lado de ESET, el 27% de las empresas latinoamericanas encuestadas en 2025 reconoció haber sufrido un ciberataque el último año. Pero el dato que más me llama es otro del mismo reporte: el 32% no tiene herramientas para confirmar que no fue atacado. No es que estén limpias. Es que no saben.

En mi experiencia, cuando reviso un negocio de 10 a 50 personas, encuentro casi siempre la misma combinación: una sola contraseña para todo, el WhatsApp del negocio en el celular personal del dueño, respaldos que nadie ha intentado restaurar y acceso de exempleados que siguen vivos. Ninguna de esas cosas requiere comprar algo para arreglarse. Requiere que alguien las vea.

Los ciberdelincuentes prefieren a la PyME porque es donde la probabilidad de entrar es alta, el costo de intentarlo es casi cero y la capacidad de respuesta es baja. Nada personal. Es estadística aplicada.

Qué puedes hacer esta semana

1. Activa la verificación en dos pasos (MFA) en el correo del negocio, en WhatsApp Business y en tu banca en línea. MFA es un segundo candado: además de la contraseña, un código en tu teléfono.
2. Haz una lista de quién tiene acceso a qué. Correo, banco, redes, sistema de ventas. Quita a quien ya no trabaja contigo.
3. Intenta restaurar un archivo de tu respaldo. No lo veas: restáuralo. Si no puedes, no tienes respaldo.
4. Acuerda con tu equipo una regla: ningún cambio de cuenta bancaria de un proveedor se acepta por correo o WhatsApp sin una llamada de confirmación al número de siempre.
5. Revisa que la computadora de quien cobra y paga tenga actualizaciones al día.

Cómo ayuda AgileNext

Blindaje Empresarial es protección que puedes demostrar a clientes y socios, en un sprint de 45 días: MFA, contraseñas y accesos controlados; respaldos probados de verdad; y validación independiente con aliados especializados. Está alineado a ISO 27001 sin obligarte a certificarte, y cubre seguridad de la información, gestión de riesgos y continuidad del negocio. Empieza por saber dónde estás parado.

Haz el autodiagnóstico de seguridad sin costo y en minutos sabes qué puertas tienes abiertas.

Te puede interesar: ISO 27001 para una PyME: ¿sirve si no te vas a certificar? · El riesgo que entra por terceros: contador, diseñador y hosting