"¿Para qué vamos a gastar en firewalls, auditorías o segmentación de red? Al final del día, nosotros vendemos repuestos mecánicos / suministros / servicios locales… Yo no soy un banco, no tengo nada que le interese a un hacker".
Si tuviera un dólar por cada vez que he escuchado esa frase de boca de directores generales, gerentes de operaciones o dueños de empresas en los últimos veinte años, tendría un fondo de inversión bastante respetable.
Esta mentalidad nace de un malentendido fundamental sobre cómo opera el cibercrimen en el mundo real. Quienes piensan que “no son un banco y por eso están a salvo” asumen que los atacantes seleccionan sus objetivos por prestigio o por dinero líquido en cuentas corrientes. La realidad técnica es radicalmente distinta: en internet no te atacan por quién eres, sino por lo que tienes conectado y descuidado.
1. La Falacia del “No tengo nada de valor”
Cuando un atacante compromete la red de una pequeña o mediana empresa, no está buscando transferir fondos de una cuenta bancaria internacional. Los cibercriminales monetizan los sistemas comprometidos de formas mucho más prácticas y devastadoras:
A. Secuestro Operativo Total (Ransomware)
No importa si vendes tornillos, panadería industrial o asesoría fiscal. Tu negocio depende de:
- Tu software de facturación y contabilidad.
- El histórico de pedidos y base de datos de clientes.
- Tus servidores de archivos y correos electrónicos.
Si un atacante cifra esos datos un lunes a las 8:00 AM, tu empresa está completamente paralizada. No puedes despachar pedidos, no puedes cobrar facturas, no puedes pagar nóminas y no puedes atender clientes. En ese momento, no eres un banco, pero estás dispuesto a pagar lo que sea para no quebrar esa misma semana.
B. Tu Infraestructura como Plataforma de Ataque (Botnets y Proxy Clandestino)
Un servidor Linux o Windows mal configurado con una IP pública con buena reputación es oro puro para los cibercriminales. Lo utilizan para:
- Enviar millones de correos de spam o campañas de phishing bancario a terceros en tu nombre.
- Lanzar ataques de denegación de servicio distribuido (DDoS) contra objetivos gubernamentales o corporativos.
- Alojar páginas falsas para robar credenciales.
Cuando la policía o los proveedores de internet bloquean la IP por actividades ilícitas, la empresa que “no era un banco” termina en listas negras globales con sus operaciones de correo electrónico suspendidas.
C. Ataques a la Cadena de Suministro (Supply Chain Attack)
Quizá tu empresa no sea un banco, pero le prestas servicios a uno, o eres proveedor de una multinacional, de un hospital o de una institución pública.
Para los atacantes, tu empresa es el caballo de Troya perfecto: comprometen tu servidor de correo o tus accesos VPN compartidos para entrar lateralmente a su objetivo final sin levantar sospechas.
2. Los Bots no leen el logo de tu empresa
El mayor error de juicio es creer que hay un ser humano decidiendo manualmente a quién atacar.
Los grupos criminales lanzan scripts que escanean millones de direcciones IP por minuto en todo el planeta. Esos escáneres no preguntan el nombre de tu empresa ni a qué te dedicas. Solo buscan:
- Puertos SMB (445) o RDP (3389) abiertos a internet sin protección.
- Routers domésticos o firewalls obsoletos con contraseñas por defecto (
admin/admin). - Paneles de administración web expuestos sin autenticación de dos factores.
Si tu dirección IP responde con una vulnerabilidad sin parchear, el exploit se ejecuta automáticamente. El ataque es oportunista, no selectivo.
3. Ciberseguridad no significa paranoia, significa Resiliencia
Decir que necesitas ciberseguridad no implica gastar millones en software privativo de última generación ni contratar un centro de operaciones de seguridad (SOC) de 24 horas si tienes 15 empleados.
Significa aplicar higiene técnica y sentido común arquitectónico:
- Aislamiento y Mínimo Privilegio: No permitir que una máquina infectada en la recepción tenga acceso a la base de datos de administración ni al servidor principal.
- Filtrado de Borde Estricto: Usar firewalls deterministas como OpenBSD Packet Filter para bloquear todo tráfico entrante no autorizado por defecto.
- Cero Confianza en Contraseñas Simples: Implementar autenticación multifactor (MFA) obligatoria para cualquier acceso remoto o correo corporativo.
- Respaldos Reales e Inmutables: Copias de seguridad automáticas desconectadas de la red principal que no puedan ser borradas ni por un atacante con privilegios administrativos.
Conclusión
No necesitas ser un banco para necesitar ciberseguridad. Basta con que dependas de una computadora para facturar y de una conexión a internet para trabajar.
En el entorno digital actual, la seguridad informática no es un lujo para instituciones financieras; es la condición mínima indispensable para que cualquier empresa continúe existiendo mañana.