Un empleado quiere probar esa herramienta de IA que ha visto en TikTok para resumir documentos. Busca en Google, entra en la primera web que le sale, se descarga el instalador y le da a ejecutar. En ese momento, sin saberlo, acaba de abrirle la puerta de tu empresa a alguien.
No es un caso hipotético. Es, ahora mismo, uno de los vectores de ataque que más está creciendo contra las pequeñas empresas.
Los números de 2026
Entre enero y abril de este año se detectaron más de 33.300 ataques dirigidos a pymes en los que el malware se hacía pasar por herramientas de inteligencia artificial populares. Instaladores falsos, extensiones de navegador clonadas, aplicaciones de escritorio que imitan a las de verdad hasta en el icono.
El contexto español no ayuda:
- España es uno de los países que más ciberataques recibe del mundo, y está entre los primeros en volumen de phishing.
- INCIBE gestionó 97.348 incidentes contra pymes en 2024, un 16 % más que el año anterior. La tendencia no ha bajado.
- El 91 % de los ciberataques empieza con un correo de phishing.
- El rescate medio exigido a una pyme española en 2026 ronda los 45.000 €.
Y el dato que más nos preocupa: solo alrededor del 11 % de las pymes usa la IA como herramienta de defensa, mientras que los atacantes la usan a diario para atacar.
Por qué ahora funciona tan bien
Hasta hace poco, un correo fraudulento se detectaba a la legua: faltas de ortografía, traducciones raras, un "estimado cliente" genérico. Eso se acabó.
Con IA generativa, los correos que llegan hoy:
- Están escritos en español impecable, sin un solo error.
- Van personalizados: usan tu nombre, el de tu empresa, el de tu proveedor real.
- Tienen contexto verdadero sacado de tu LinkedIn, de tu web o de tus redes.
- Llegan en el momento adecuado: justo después de que hayas publicado que has cambiado de banco, de gestoría o de local.
Cuando un correo dice "Hola Marta, te adjunto la factura rectificada del pedido 4471 que comentamos el martes con Javier", tu radar mental no salta. Y ahí está el negocio.
La regla que sigue funcionando: ninguna urgencia justifica saltarse una verificación. Si un correo te mete prisa para pagar, cambiar un número de cuenta o descargar algo, esa prisa es la señal de alarma.
Las cinco entradas más comunes en un negocio pequeño
1. Software descargado fuera del sitio oficial
El caso del principio. La solución es tan aburrida como efectiva: descargar siempre desde el dominio oficial del fabricante, nunca desde el primer resultado de Google ni desde un enlace de un vídeo.
2. Contraseñas repetidas
Cuando la misma clave abre el correo, el banco, el hosting y la red social, basta con que una sola web ajena sufra una filtración para que caiga todo. Es, con diferencia, el fallo más común y el más barato de arreglar.
3. La web desatendida
Un WordPress con veinte plugins sin actualizar desde hace dos años es una invitación abierta. La mayoría de las webs comprometidas de pymes no las ataca nadie en concreto: las encuentra un bot que escanea internet buscando versiones vulnerables conocidas.
4. El correo del "proveedor" que cambia de cuenta
El fraude del CEO y el cambio de número de cuenta siguen siendo los que más dinero mueven. Cualquier cambio de cuenta bancaria se confirma por teléfono, llamando al número que tú ya tenías guardado, nunca al que viene en el correo.
5. Datos sensibles en sitios sin protección
Claves apuntadas en una libreta encima del mostrador, un Excel llamado claves.xlsx en el escritorio, un WhatsApp que te mandaste a ti mismo. Si alguien accede al ordenador —o si simplemente se pierde—, se lo lleva todo.
Qué se puede hacer esta misma semana
No hace falta contratar un departamento de seguridad. Con estas cinco cosas, una pyme sube muchísimo su nivel:
- Segundo factor en todo. Correo, banco, hosting, redes sociales, gestoría. Es gratis y bloquea la mayoría de los accesos robados.
- Un gestor de contraseñas para dejar de repetir claves. Nosotros construimos Gestor Seguro precisamente por esto: un baúl cifrado donde solo hay que recordar una contraseña maestra, y donde los datos se descifran únicamente en tu dispositivo.
- Actualizaciones automáticas activadas en sistema, navegador y web.
- Copias de seguridad automáticas y fuera del propio servidor. Un ransomware que cifra tu web y tus copias a la vez te deja sin salida; uno que solo cifra tu web es un mal rato de dos horas.
- Cinco minutos de conversación con tu equipo sobre estas cinco cosas. La formación básica es la medida más rentable que existe en seguridad.
Y tu web, ¿cómo está?
Una parte del problema es puramente técnica y depende de cómo esté construida tu página:
- ¿Va por HTTPS con el certificado en vigor? (Si no, Google ya avisa a tus visitantes de que tu web no es segura.)
- ¿Cuántos plugins de terceros tiene y cuándo se actualizaron por última vez?
- Los formularios, ¿tienen protección antispam y validación en servidor?
- ¿Se guardan datos personales de clientes? ¿Dónde? ¿Cifrados?
- ¿Hay alguna clave de API escrita en el código que se descarga en el navegador? Es un fallo tan común como grave: cualquiera puede copiarla y gastar en tu cuenta.
Cada web que entregamos sale con todo esto revisado. No porque quede bonito en un presupuesto, sino porque una web comprometida no es solo un problema técnico: es tu nombre y el de tus clientes.
Nuestro enfoque: menos piezas, menos superficie de ataque. Una web hecha a medida, sin veinte plugins de terceros encadenados, es intrínsecamente más difícil de comprometer que un montaje de plantilla.
En resumen
- Los ataques con falsas herramientas de IA se han disparado y las pymes son el objetivo preferido, precisamente porque se defienden menos.
- El phishing de hoy no tiene faltas de ortografía: está escrito por una IA con datos reales sobre ti.
- Casi todo se para con medidas baratas: segundo factor, gestor de contraseñas, actualizaciones, copias y sentido común.
- Tu web es parte de tu perímetro. Si lleva años sin tocarse, hoy es un buen día para revisarla.
Si quieres que le echemos un vistazo a la tuya y te digamos qué está bien y qué no, escríbenos. No cuesta nada y en muchos casos la respuesta es simplemente "tranquilo, está en orden".
