Guía
Phishing en pymes argentinas: por dónde entra y cómo se corta
El phishing sigue siendo la puerta de entrada más común a una pyme porque no ataca a los sistemas sino a las personas. Las cinco medidas con mejor relación entre impacto y costo son, en orden: segundo factor de autenticación en todas las cuentas, SPF, DKIM y DMARC bien configurados en el dominio propio, un procedimiento de verificación por fuera del mail para cualquier cambio de datos bancarios, copias de seguridad aisladas, y capacitación breve y repetida en lugar de una charla anual.
El incidente que frena una pyme argentina casi nunca empieza con un ataque sofisticado. Empieza con un mail bien escrito, de una dirección que parece la del proveedor de siempre, pidiendo actualizar un CBU.
El problema: no hay producto que lo frene
Un correo que pide una transferencia no trae malware. No hay firma que detectar ni comportamiento anómalo que bloquear: es un texto en castellano, correcto, que le llega a alguien apurado.
Por eso la defensa no es un producto. Es un conjunto de controles que hacen que un engaño exitoso no alcance para producir daño.
Cómo se resuelve
Tres medidas explican la mayor parte del resultado, y las dos primeras no requieren comprar nada.
Segundo factor en todas las cuentas. Lo que más rinde por peso invertido: una contraseña robada deja de servir. En todas, no sólo en las de administración — el atacante entra por donde puede y se mueve hacia donde quiere. Y para las cuentas con acceso a dinero, aplicación o llave física antes que SMS.
SPF, DKIM y DMARC en el dominio propio. Sin esos tres registros cualquiera puede mandar un mail que dice venir de tu empresa a tus propios clientes. Es configuración de DNS: no se compra. El trabajo real es el inventario previo de todo lo que envía correo en tu nombre.
Verificación fuera de banda para cambios bancarios. El fraude más caro no es el ransomware: es la factura legítima con el CBU cambiado. La regla no admite excepciones: todo cambio de datos bancarios se confirma por teléfono a un número que ya se tenía, nunca al que figura en el mail que lo pide.
La primera hora de un incidente
Aislar el equipo sin apagarlo, cambiar contraseñas desde otro dispositivo, avisar al banco si hubo movimiento, preservar los registros — y recién ahí reinstalar. El orden importa: reinstalar primero destruye la evidencia que dice hasta dónde llegó el atacante.
Cómo te ayudamos
Empezamos por medir, no por cotizar: revisamos el estado de esos controles en tu operación y decimos cuáles están, cuáles a medias y cuáles faltan. La mayoría de las veces los dos primeros se resuelven con lo que ya tenés pago.
Para una foto rápida y gratis de qué frena tu red hoy, mirá cómo leer el test CheckMe.
Preguntas frecuentes
¿Qué es DMARC y por qué lo necesita una pyme?
DMARC es un registro DNS que le indica al servidor receptor qué hacer con un correo que dice venir de tu dominio pero no pasa las validaciones SPF o DKIM. Sin DMARC en política de rechazo, cualquiera puede enviar correos falsificados en nombre de la empresa a sus propios clientes y proveedores.
¿El segundo factor por SMS sirve?
Sirve mucho más que no tener nada, pero es el factor más débil disponible: una portabilidad fraudulenta del número (SIM swapping) lo neutraliza. Para cuentas con acceso a dinero o a datos de clientes conviene una aplicación de autenticación o una llave física.
¿Dónde se denuncia un incidente de ciberseguridad en Argentina?
Los delitos informáticos se denuncian ante la fiscalía competente; en CABA existe además la Unidad Fiscal Especializada en Delitos y Contravenciones Informáticas (UFEDyCI). Si se comprometieron datos personales, corresponde notificar a la Agencia de Acceso a la Información Pública.
¿Cómo tienen que ser los backups para que sirvan contra ransomware?
El ransomware moderno busca los backups primero, así que una copia en un disco conectado al mismo servidor se cifra junto con todo lo demás. El mínimo razonable es tres copias, en dos medios distintos, una fuera del sitio y una fuera de línea o inmutable. Y una prueba de restauración por trimestre: un backup que nunca se restauró es una hipótesis, no una copia de seguridad.
¿Sirve capacitar al equipo contra el phishing?
Sirve si es corta y repetida. Una charla de dos horas por año no cambia conductas; diez minutos por mes con un caso real sí, sobre todo con simulacros donde equivocarse no tiene consecuencias. El objetivo no es que nadie haga clic nunca: es que quien hizo clic lo reporte en cinco minutos en lugar de esconderlo tres días.
Fuentes