Un mensaje del «banco» pidiendo confirmar una transferencia. Un correo de un suplidor con la factura de siempre, pero con un número de cuenta nuevo. Una nota de voz que suena exactamente como tu socio pidiendo que hagas un pago urgente. Ninguno de los tres se ve sospechoso. Ese es justamente el punto.
El ESET Security Report Latinoamérica 2026, que recogió respuestas de 1,563 profesionales de 962 empresas en diez países de la región, encontró que el 73% de las empresas fue víctima de phishing en el último año. No hablamos de grandes corporaciones con departamentos de tecnología: hablamos del tejido empresarial completo, donde la mayoría son negocios pequeños que manejan su operación desde un celular y una laptop.
La buena noticia es que casi todo el daño se previene con medidas que no cuestan dinero ni requieren conocimientos técnicos. Solo requieren hacerlas.
Por qué los negocios pequeños son el blanco preferido
Existe la idea de que «a mí no me van a atacar porque soy chiquito». Es al revés. Los negocios pequeños son atractivos precisamente porque tienen dinero suficiente para valer la pena y defensas suficientemente débiles para no representar un reto.
El mismo informe muestra la brecha con claridad: el 85% de las empresas usa firewall y el 82% hace copias de seguridad, pero solo el 57% aplica autenticación multifactor —la medida que, en la práctica, detiene la mayoría de los robos de cuenta. Y hay un dato incómodo: el 15.4% de las empresas encuestadas no puede confirmar si fue atacada o no.
A eso se suma un cambio de época. El 56.3% de los encuestados considera que la inteligencia artificial hará los ataques más sofisticados, y casi el 20% ya identifica los deepfakes —voces y videos falsos generados con IA— como una amenaza real. El correo con faltas de ortografía que todos aprendimos a detectar ya es cosa del pasado. Hoy el mensaje está bien escrito, usa tu nombre y conoce el contexto de tu negocio.
Las cinco medidas que más protegen (y ninguna es cara)
1. Activa la verificación en dos pasos en todo. WhatsApp, Instagram, Facebook, el correo, el banco. Es el candado que hace que tu contraseña robada no sirva de nada. En WhatsApp está en Configuración → Cuenta → Verificación en dos pasos, y toma menos de un minuto. Si hoy haces una sola cosa de esta lista, que sea esta.
2. Deja de memorizar contraseñas y usa un gestor. Reutilizar la misma clave en cinco servicios significa que una filtración las compromete todas. Un gestor de contraseñas gratuito genera claves distintas y las recuerda por ti. Tu memoria solo guarda una.
3. Instaura la regla del segundo canal para cualquier pago. Esta regla sola evita el fraude más caro que sufren los negocios pequeños. Si llega una solicitud de transferencia, un cambio de número de cuenta o un pago urgente —por correo, WhatsApp o llamada—, se confirma por un canal distinto y con un número que ya tenías guardado. Nunca con el número que viene en el mensaje. La urgencia es la herramienta principal del estafador: cualquier mensaje que te apure a pagar merece más desconfianza, no menos.
4. Respalda de verdad, y comprueba que el respaldo funciona. Tener copias de seguridad no sirve si nunca verificaste que se puedan restaurar. Una vez al mes, abre un archivo desde el respaldo y confirma que está completo y actualizado.
5. Separa los accesos por persona. Que todo el equipo entre con la misma cuenta y la misma clave es cómodo hasta el día que alguien se va o pierde el teléfono. Cada persona con su acceso, y permisos solo para lo que necesita. Cuando alguien sale del negocio, se revoca su acceso ese mismo día.
La conversación de diez minutos que falta en casi todos los equipos
La tecnología frena una parte del problema. La otra parte es humana, y se resuelve hablando.
Reúne a tu equipo diez minutos y acuerden tres cosas: cómo se verifica un pago, a quién se le avisa si alguien hace clic en algo raro, y qué información nunca se comparte por chat. Lo más importante del acuerdo es el segundo punto: quien cae en un engaño tiene que poder decirlo sin miedo a que lo regañen. La mayoría de los incidentes se vuelven graves porque la persona se quedó callada por vergüenza durante tres días. Detectado en la primera hora, casi todo tiene solución; a los tres días, muchas veces ya no.
Empezar es más fácil de lo que parece
No hace falta contratar a nadie ni comprar software. Las cinco medidas de arriba se implementan en una tarde y cubren la mayor parte del riesgo real que enfrenta un negocio pequeño. La ciberseguridad no es un tema de expertos en cuartos oscuros: es higiene digital, como cerrar la puerta del local al salir.
En Talentop Academy creemos que lo digital tiene que explicarse claro para que cualquiera pueda usarlo con confianza, sin importar si empieza desde cero. Damos capacitaciones prácticas en tecnología, inteligencia artificial y herramientas de negocio, presenciales en Galería 360 y virtuales por Zoom, incluyendo formaciones a la medida para equipos de empresas.