Imagina un estudio de cuatro personas en la víspera de una entrega. El vídeo se está renderizando, el cliente ha pedido un cambio más y llega un correo del proveedor: los datos para el pago han cambiado. El mensaje tiene firma, logotipo y la urgencia de siempre. Alguien lo resuelve entre dos exportaciones.
El mecanismo es conocido: una solicitud de pago que parece legítima puede enviar el dinero a otra cuenta. El FBI describe este tipo de fraude como compromiso del correo electrónico empresarial. Puede funcionar mientras la jornada conserva su aspecto habitual.
Es una forma más útil de pensar en la ciberseguridad de un pequeño negocio. ¿Qué debe seguir funcionando mañana? ¿Quién puede abrir los proyectos, gestionar las cuentas y hablar con los clientes en nombre de la empresa? Son preguntas que encajan en la rutina de una agencia, una tienda o una persona que trabaja por su cuenta.
Empieza por el correo que permite recuperar todo lo demás
La bandeja de entrada reúne aprobaciones, contratos y conversaciones. También recibe enlaces para restablecer contraseñas. Por eso, quien toma su control puede intentar entrar en otros servicios y hacerse pasar por ti. La guía del NCSC británico para pequeñas organizaciones, revisada en julio de 2026, sitúa la protección del correo entre los primeros pasos.
Haz un inventario breve: correo, almacenamiento, banco, web, dominio y redes sociales. Anota quién administra cada cuenta y cómo recuperarla. En un estudio, incluye las plataformas de clientes a las que tiene acceso el equipo. Esta lista revela dependencias que pasan inadvertidas mientras todo funciona.
Si un servicio ofrece passkeys, vale la pena adoptarlas. Son claves de acceso gestionadas por el dispositivo o un gestor, que normalmente se utilizan al desbloquear el aparato. Resisten los engaños que intentan capturar credenciales en páginas falsas. El NCSC recomienda darles prioridad en las cuentas importantes del negocio. Si la contraseña sigue habilitada como alternativa, también necesita protección.
Una contraseña distinta, sin ejercicios de memoria
En las cuentas que utilizan contraseña, combina una larga y exclusiva con autenticación multifactor, o MFA. Consiste en exigir otra prueba de identidad además de la contraseña. La CISA recomienda métodos resistentes al phishing, como las llaves físicas de seguridad, siempre que sea posible. Las aplicaciones de autenticación también son una opción; los códigos por SMS ofrecen una protección más limitada, pero son mejores que dejar la contraseña como única barrera.
Un gestor ayuda a crear y guardar contraseñas diferentes. Así, la contraseña de una herramienta olvidada deja de ser la misma que protege el correo. Protege también el propio gestor con una contraseña fuerte y exclusiva y, cuando esté disponible, MFA.
Resuelve la recuperación mientras todo vaya bien. El móvil puede averiarse justo cuando necesitas entrar en la cuenta. Configura las alternativas que ofrece el servicio y guarda los códigos de recuperación en un lugar seguro, accesible incluso sin ese dispositivo. Esta preparación forma parte de las recomendaciones del NCSC sobre verificación en dos pasos. Descubrir que la única salida está dentro de la cuenta bloqueada es una sorpresa muy poco agradable.
El freelance terminó. ¿Su acceso también?
Los proyectos terminan; los permisos pueden quedarse. ¿La persona que hizo una campaña hace seis meses sigue administrando las redes sociales? ¿El proveedor de mantenimiento puede abrir todas las carpetas? Una revisión de accesos convierte estas preguntas en tareas concretas.
Da a cada persona el acceso necesario para su trabajo y retira lo que haya dejado de necesitar. Cuando la plataforma lo permita, elige invitaciones individuales, con funciones definidas, en lugar de compartir las mismas credenciales en el grupo. Antes de desactivar una cuenta, transfiere los archivos y las responsabilidades que la empresa necesita conservar.
El NCSC aconseja eliminar o deshabilitar las cuentas sin uso y revisar periódicamente quién entra en los servicios importantes. Por su parte, la guía del NIST para pequeños negocios recomienda limitar el acceso a información sensible a quienes la necesitan. Al cerrar el próximo proyecto, la revisión puede acompañar a la entrega de archivos y al envío de la factura.
La prueba de la copia de seguridad es abrir el proyecto
«Está en la nube» todavía deja preguntas pendientes. ¿Qué se ha copiado? ¿Hay versiones anteriores? ¿Quién puede recuperar los archivos? ¿Cuánto tiempo conserva esos datos el plan contratado? Las respuestas dependen del servicio y de su configuración.
Elige un proyecto e intenta restaurar una copia en una carpeta aparte, sin sobrescribir el original. Abre el archivo y comprueba si incluye las imágenes, los vídeos y los demás elementos necesarios. Un proyecto de edición sin sus archivos multimedia vinculados puede ser un recuerdo bastante incompleto del trabajo.
El NCSC recomienda comprobar el contenido de las copias y saber restaurarlas. También aconseja desconectar el dispositivo de almacenamiento externo cuando no se esté usando, porque algunos programas maliciosos afectan a las unidades conectadas. Combina copias y protecciones según las necesidades de tu negocio, incluida la MFA en el almacenamiento en línea.
Decide también cuánto trabajo aceptarías repetir. Quien produce durante todo el día puede necesitar copias más frecuentes que quien actualiza unos pocos documentos a la semana. Esa decisión da un sentido práctico a la frecuencia de las copias de seguridad.
El pago urgente puede esperar una llamada
Volvamos al proveedor de la escena inicial. Una regla sencilla cambia el desenlace: cualquier cambio de cuenta bancaria debe confirmarse a través de un contacto ya conocido, fuera de ese mensaje. El FBI recomienda verificar las solicitudes de pago y los cambios de datos con la persona responsable. Un teléfono incluido en el propio correo sospechoso podría llevar al mismo estafador.
Acuerda esta regla antes de que aparezca la urgencia, también para las peticiones de la dirección. Así, nadie tiene que improvisar una conversación sobre confianza mientras se acerca la fecha de entrega. La pausa ya forma parte del trabajo.
También conviene acordar a quién avisar de un enlace sospechoso, un inicio de sesión desconocido o una aprobación hecha por error. El NCSC recuerda que los mensajes fraudulentos pueden resultar convincentes. Buscar únicamente errores de ortografía o gramática evidentes es un filtro demasiado estrecho.
Prepara el camino de vuelta
Reserva tiempo para mantener actualizados el sistema, el navegador y las aplicaciones. Activa las actualizaciones automáticas cuando corresponda y comprueba que se hayan aplicado. Según el NCSC, corrigen fallos que los delincuentes pueden aprovechar; algunos navegadores necesitan cerrarse y volver a abrirse para completar el proceso. Si un programa ha dejado de recibir correcciones de seguridad, planifica su sustitución.
Por último, escribe una página con los contactos de soporte, la persona responsable de las cuentas, la ubicación de las copias y el orden en que deben recuperarse los servicios. Mantenla disponible aunque el correo quede inaccesible. El NIST incluye responsables y prioridades de recuperación en su guía: saber quién hace qué evita tener que decidirlo todo en pleno sobresalto.
Ninguna de estas medidas garantiza una seguridad absoluta. Ayudan a reducir riesgos y a preparar la vuelta al trabajo. Para empezar hoy, elige el correo principal, revisa su protección y comprueba las opciones de recuperación. Después, abre una copia de seguridad. La próxima entrega ya trae suficientes complicaciones en el briefing.
