Las pequeñas y medianas empresas (pymes) son uno de los principales blancos para los cibercriminales. ¿La razón? Las limitaciones que muchas enfrentan en recursos tecnológicos, financieros y de personal especializado las hacen un objetivo vulnerable, según advirtieron expertos de la Universidad Estatal a Distancia (UNED).
De acuerdo con datos del ESET Security Report 2025, el 27% de las organizaciones consultadas sufrió al menos un ciberataque durante el último año y un 22% fue víctima de ransomware en los últimos dos años.
El informe fue elaborado a partir de información recopilada entre más de 3 mil profesionales de ciberseguridad de América Latina.
Ante este panorama, el encargado de Infraestructura Tecnológica de la Dirección de Tecnologías de Información y Comunicaciones (DTIC) de la UNED, Rolando Rojas, explicó que existe una percepción equivocada de que los ataques informáticos se concentran únicamente en grandes compañías.
“Cuando pensamos en ciberatacantes normalmente imaginamos grandes empresas, pero la realidad es que muchas veces las pequeñas y medianas empresas son objetivos más fáciles y, no porque tengan sistemas débiles, sino porque suelen operar con recursos limitados, poco personal especializado y medidas de seguridad básicas”, señaló.
A esto se suma una mayor dependencia de herramientas como el correo electrónico, los servicios en la nube y el trabajo remoto, que puede ampliar la exposición de las empresas ante posibles amenazas digitales.
Las amenazas más frecuentes para este sector son los correos fraudulentos o phishing, utilizados para obtener credenciales; el ransomware, capaz de bloquear información y afectar las operaciones; las fugas de datos por configuraciones incorrectas y el uso de contraseñas débiles o repetidas.
De acuerdo con los especialistas, el comportamiento de las personas también puede convertirse en una puerta de entrada para los atacantes.
“Muchas veces el mayor riesgo no es tecnológico, sino humano, los ciberdelincuentes aprovechan errores cotidianos de las personas para acceder a la información de las empresas”, afirmó Rojas.
Por su parte, el director de UNED Impulsa, Luis Emilio Rodríguez Badilla, explicó que las condiciones financieras y operativas de algunas pymes pueden incrementar su vulnerabilidad.
Entre las prácticas de riesgo mencionó mezclar las finanzas personales con las del negocio, compartir credenciales de acceso o administrar cuentas empresariales desde dispositivos personales.
Rodríguez advirtió además que, debido al reducido capital con el que suelen iniciar operaciones estos negocios, las pérdidas provocadas por un ataque pueden ser difíciles de recuperar e incluso poner en riesgo su continuidad.
Ante este escenario, los expertos recomiendan implementar medidas como la autenticación multifactor, utilizar contraseñas diferentes y robustas, mantener actualizados los sistemas y aplicaciones, realizar respaldos periódicos de la información y capacitar al personal para reconocer posibles intentos de fraude.
También aconsejan establecer políticas claras para el acceso a la información y contar con protocolos que permitan actuar ante eventuales incidentes de seguridad.
“La ciberseguridad no es un producto que se compra una vez, es una práctica continua que debe formar parte de la gestión diaria de cualquier organización”, concluyó Rojas.