Los ciberataques que de verdad sufren las pymes españolas
Busca «tipos de ciberataques» y encontrarás listas de veinte. Las escriben multinacionales que venden a bancos y a operadoras. Están bien, pero no hablan de ti.
A una empresa española de quince, treinta o cien personas no la atacan de veinte formas distintas. La atacan de seis. Siempre las mismas. Y casi nunca con nada sofisticado: con un correo bien escrito, una contraseña reutilizada o un servidor que alguien dejó abierto «solo un momento».
En España se gestionaron 122.223 incidentes en 2025, un 26 % más que el año anterior. La mitad de las pymes españolas sufre un ataque cada año. Esto es lo que les pasa, en el orden en que pasa.
1. Phishing: el correo que parece de quien no es
Un correo que imita a tu banco, a Hacienda, a Microsoft o a un cliente. Pide que entres a un enlace y escribas tu usuario y tu contraseña. Al otro lado no hay ningún banco: hay una copia de la pantalla de acceso, montada para quedarse con lo que escribes.
Cómo entra en una pyme: por la persona que menos se lo espera. Administración, atención al cliente, comercial. Gente que abre cincuenta correos al día y no tiene por qué distinguir un dominio falso de uno real.
Qué deja detrás: una cuenta de correo en manos ajenas. Y desde ahí, acceso a todo lo que esa cuenta puede leer y a todos los contactos a los que puede escribir.
Qué lo frena: formación real con ejemplos reales, no un PDF. Y doble factor de autenticación, que convierte una contraseña robada en un papel mojado. Se registraron 25.133 casos de phishing en España en 2025: es el ataque más común y también el más barato de prevenir.
2. Ransomware: el día que la empresa no puede trabajar
Cifran todos los archivos de la empresa y piden dinero para devolverlos. No es un susto: es una parada en seco. No hay facturas, no hay pedidos, no hay históricos de cliente, no hay nóminas.
Cómo entra en una pyme: por un adjunto abierto, por una contraseña robada semanas antes, o por un servidor con el escritorio remoto expuesto a internet. Casi nunca entran el mismo día que atacan: entran, miran y esperan al peor momento.
Qué deja detrás: entre 80.000 y 150.000 euros de impacto medio en una empresa mediana española, contando la parada, la recuperación y el daño comercial. El ransomware está presente en el 88 % de las brechas que afectan a pymes.
Qué lo frena: copias de seguridad inmutables —que el atacante no pueda cifrar ni borrar— y probadas. Una copia que nunca se ha restaurado no es una copia: es una carpeta. Y vigilancia continua, porque las semanas que pasan dentro antes de actuar son la ventana para pillarlos.
3. Fraude del CEO y suplantación de proveedor: la transferencia que no vuelve
El correo llega del proveedor de siempre. Mismo formato, misma firma, mismo tono. Solo cambia una cosa: el número de cuenta. Se paga. Y el proveedor nunca envió ese correo.
La variante con el jefe es aún más incómoda: un correo del director general, un viernes por la tarde, pidiendo una transferencia urgente y confidencial a alguien de administración.
Cómo entra en una pyme: muchas veces sin ningún virus. Basta con haber leído durante semanas el correo de alguien —normalmente tras un phishing— para saber cómo escribe, a quién paga y cuándo.
Qué deja detrás: dinero que no se recupera. En España se registraron 45.445 casos de fraude online en 2025, un 19 % más que el año anterior. Aquí no hay copia de seguridad que valga.
Qué lo frena: protección del correo contra suplantación, y un procedimiento escrito: ningún cambio de cuenta bancaria se aplica sin una llamada de verificación a un número que ya teníamos. Esa frase, aplicada, evita la mayoría de estos fraudes.
4. Robo de credenciales: entrar por la puerta, con llave
No hay intrusión, no hay alarma, no hay nada roto. Alguien entra con un usuario y una contraseña válidos. Los de tu comercial, los de tu gestor, los del administrador del sistema.
Cómo entra en una pyme: contraseñas reutilizadas. La misma que se usa en el correo del trabajo se usó en una tienda online que sufrió una filtración hace tres años. Esas listas circulan y se prueban en bloque, de forma automática.
Qué deja detrás: es el ataque más difícil de detectar, porque técnicamente no es un ataque: es un acceso legítimo. Suele descubrirse semanas después, cuando ya ha servido para preparar otra cosa.
Qué lo frena: doble factor en todo lo que da a internet, gestor de contraseñas para que nadie tenga que reutilizarlas, y vigilancia de accesos raros: la cuenta de tu administrativa entrando a las tres de la mañana desde otro país no es un despiste.
5. Fuerza bruta contra los accesos remotos
Un programa prueba miles de combinaciones de usuario y contraseña por minuto contra tu servidor, tu VPN o tu escritorio remoto. Sin descanso, durante días.
Cómo entra en una pyme: por los accesos que se abrieron durante el teletrabajo y nadie volvió a cerrar. Un puerto de escritorio remoto publicado en internet recibe intentos a las pocas horas de estar disponible. No hace falta que nadie te tenga manía: los buscan robots, todo el rato.
Qué deja detrás: normalmente es el paso previo. Quien entra por fuerza bruta no viene a mirar: viene a instalar el ransomware del punto 2.
Qué lo frena: no publicar accesos directos a internet, VPN con doble factor, bloqueo tras varios intentos fallidos y alguien mirando los registros. Es el ataque más ruidoso de todos, y por eso el más fácil de cortar si hay quien escuche.
6. Malware: lo que el antivirus de siempre ya no ve
Programas que se instalan sin permiso para espiar, robar información o abrir la puerta a otros. En 2025 se contabilizaron 55.411 casos de malware en España, el bloque más numeroso de todos.
Cómo entra en una pyme: por descargas, por memorias USB, por programas «gratis» y por actualizaciones falsas.
Qué deja detrás: depende. Desde un equipo lento hasta la información de tu empresa copiada durante meses sin que nadie se entere.
Qué lo frena: antivirus avanzado, del tipo que no solo busca amenazas conocidas sino comportamientos raros. Un antivirus tradicional detecta lo que ya está catalogado; el problema son las semanas que un programa nuevo tarda en catalogarse.
Lo que tienen en común los seis ciberataques
Ninguno es una película. Ninguno requiere un genio delante de tres pantallas. Cinco de los seis empiezan por una persona: alguien que abre, alguien que escribe una contraseña, alguien que paga.
Y todos comparten algo más: los primeros treinta minutos deciden. Media hora entre detectar algo raro y actuar es la diferencia entre un incidente contenido y una empresa parada tres días. Esa media hora no se improvisa: o hay alguien vigilando y un protocolo escrito, o no la hay.
Por dónde se empieza si esto te suena demasiado
No hace falta comprarlo todo de golpe. Con tres cosas, una pyme deja de ser el objetivo fácil:
- Copias de seguridad que el atacante no pueda tocar, y probadas al menos una vez.
- Doble factor de autenticación en el correo y en cualquier acceso desde fuera.
- Formación práctica al equipo, con ejemplos reales del sector. Se puede hacer con el crédito de formación que tu empresa ya tiene asignado, así que el coste directo suele ser cero.
Lo demás —vigilancia continua, respuesta gestionada, cumplimiento normativo— viene después, y viene ordenado por lo que de verdad te expone a ti.
Preguntas frecuentes
¿Cuál es el ciberataque más frecuente en una pyme española?
El phishing, con 25.133 casos registrados en España en 2025. Es también la puerta de entrada de la mayoría de los demás: el robo de credenciales, el fraude del CEO y buena parte del ransomware empiezan con un correo.
¿Por qué iban a atacar a una empresa pequeña?
Porque no eligen. La mayoría de los ataques son automáticos: robots que rastrean internet buscando servidores expuestos y contraseñas filtradas, sin mirar el tamaño de la empresa. Ser pequeño no te esconde; te hace más fácil.
¿Cuánto cuesta un ransomware a una empresa mediana?
Entre 80.000 y 150.000 euros de impacto medio en España, contando la parada de actividad, la recuperación y el daño comercial. La cifra del rescate suele ser la parte menor.
¿No basta con tener un antivirus y copias de seguridad?
Es el mínimo, y ya evita bastante. Pero un antivirus tradicional solo detecta amenazas ya catalogadas, y una copia de seguridad que nunca se ha restaurado no está probada. Además, ni el antivirus ni la copia frenan un fraude del CEO: ahí no hay nada infectado, solo un correo bien escrito.
¿Cómo sé si mi empresa ya está expuesta?
Con un diagnóstico inicial: qué accesos tienes publicados en internet, si hay credenciales de tu dominio en filtraciones conocidas, cómo están tus copias y cuánto tardarías realmente en volver a trabajar. Es lo primero que hacemos y no tiene coste.
Sabe por dónde entrarían en tu empresa
Los seis ataques de este artículo tienen algo bueno: son conocidos, son predecibles y se frenan con medidas concretas. Lo caro no es protegerse, es descubrir el agujero el día que ya lo han usado.
Pide un diagnóstico inicial de seguridad, sin compromiso. Te decimos qué tienes, qué te falta y qué haríamos primero si fuese nuestra empresa. Y si después decides no trabajar con nosotros, al menos sabrás por dónde entrarían.
Pide tu diagnóstico inicial · Escríbenos por WhatsApp
Datos de incidentes en España correspondientes a 2025. Si quieres profundizar, te interesan estos dos artículos: ciberseguridad para pymes: por dónde empezar y copias de seguridad que resisten un ransomware.
