Un ataque durante las vacaciones puede paralizar una pyme en 48 horas

Las vacaciones no son solo un momento de desconexión para los trabajadores, también lo son, cada vez más, para los equipos de ciberseguridad, y los ciberdelincuentes lo saben. Como señala Víctor Ronco, CEO de Zerod, “en verano se reduce la vigilancia, se delegan funciones críticas y aumentan los accesos en remoto desde dispositivos no securizados. Eso genera el escenario perfecto para un ataque”.

Ejemplo de lo que puede ocurrir durante el periodo vacacional fue el ciberataque que le sufrió en agosto de 2024 a una empresa de 38 empleados con sede en Sevilla. En el escenario, el responsable de TI se encontraba de vacaciones y las tareas críticas habían sido delegadas a un sustituto con permisos elevados, pero sin formación específica en ciberseguridad.

Aprovechando esta brecha humana, los atacantes lanzaron una campaña de phishing cuidadosamente diseñada que logró comprometer las credenciales del empleado a través de una conexión VPN sin doble factor de autenticación. En menos de 48 horas, los ciberdelincuentes obtuvieron acceso al servidor de archivos compartidos de la empresa, desplegaron un ransomware que cifró tanto la información operativa como la administrativa y exigieron un rescate de 4,2 bitcoins (aproximadamente 223.000 euros).

Las consecuencias de este ciberataque fueron claras y contundentes. La empresa quedó completamente inactiva durante cinco días laborables, lo que se tradujo en pérdidas operativas estimadas en 95.000 euros. Además, sufrió daños reputacionales que derivaron en la cancelación de tres contratos valorados en conjunto en 180.000 euros. A estos costes se sumaron otros 42.000 euros en gastos asociados a peritaje, recuperación de sistemas, notificación a clientes y refuerzo de medidas de seguridad.

 

Los ataques se ceban con las pymes

Las cifras que afectan al tejido empresarial español son preocupantes. Zerod recuerda que el 99,8% de las empresas en España son pymes, y, según el Informe Anual del CCN-CERT de 2024, el 56% de los ciberataques dirigidos a compañías en el país tienen como objetivo a este tipo de organizaciones. Esta realidad las convierte en uno de los principales blancos de los ciberdelincuentes, especialmente durante los periodos vacacionales.

A estos datos se suman los resultados de un estudio realizado por INCIBE, que revela que solo el 38% de las pymes cuenta con un protocolo de respuesta ante ciberincidentes. Por otro, entre las compañías que fueron atacadas durante el verano, el 62% tardó más de tres días en detectar la intrusión, lo que amplifica significativamente el impacto del ataque.

“El impacto de un ataque no solo es económico: también puede ser legal si hay pérdida de datos personales, lo que implica sanciones por parte de la AEPD”, advierte Víctor Ronco. Ante esta situación, Zerod recomienda una serie de medidas preventivas esenciales para garantizar un verano ciberseguro. Entre ellas se incluyen realizar una prueba de penetración o “pentesting” preventivo antes del periodo vacacional para identificar vulnerabilidades críticas, además de activar el doble factor de autenticación en todos los accesos remotos, y limitar los permisos de los usuarios temporales o sustitutos.

También aconsejan ejecutar auditorías de seguridad específicas sobre los sistemas que quedarán bajo supervisión reducida, realizar copias de seguridad desconectadas de la red o en entornos altamente protegidos, así como simular ataques reales mediante ejercicios de “red team” para evaluar la capacidad de respuesta del personal que permanece y reforzar los protocolos de detección temprana.