Ciberataques a empresas en Madrid: por qué las pymes son el objetivo más fácil y qué pueden hacer para evitarlo

Para un ciberdelincuente, eso no es un problema: es una oportunidad. Pocas defensas, mucha dependencia del correo y del ordenador, y un dueño que, cuando todo se para, suele estar dispuesto a pagar.

122.223 incidentes en un solo año

Según el balance anual del Instituto Nacional de Ciberseguridad (INCIBE), en 2025 se gestionaron 122.223 incidentes, un 26 % más que el año anterior. El malware fue el tipo más frecuente, con 55.411 casos. El fraude en línea sumó 45.445, y dentro de él el phishing, correos y mensajes que suplantan a un banco, a un proveedor o a Hacienda, alcanzó los 25.133.

Detrás de esas cifras no hay solo grandes compañías ni organismos públicos. Hay asesorías, clínicas dentales, inmobiliarias, talleres y tiendas online que un lunes por la mañana descubren que no pueden abrir sus archivos, o que una factura se ha pagado a una cuenta que no era la del proveedor.

Madrid: 526.588 empresas, la mayoría sin estructura informática

A 1 de enero de 2025, la Comunidad de Madrid tenía 526.588 empresas activas, el 15,9 % de todas las de España, según el Directorio Central de Empresas del INE. En el conjunto del país, el 54,4 % de las empresas no tiene ningún asalariado y alrededor del 41 % tiene menos de diez.

Dicho de otro modo: la inmensa mayoría de los negocios madrileños no tiene departamento informático, y mucho menos a alguien dedicado a la seguridad. El ordenador lo configuró un conocido, las contraseñas se comparten por WhatsApp y las copias de seguridad «se hacen», aunque nadie ha probado nunca a recuperarlas.

Por qué las pymes son el blanco más fácil

Los atacantes no eligen a sus víctimas por su tamaño, sino por lo poco que les cuesta entrar. Y en una pyme suele costar poco por varias razones:

⇒ El correo es la puerta principal. Basta un mensaje bien hecho con una factura falsa o un enlace a un «documento compartido» para robar credenciales o instalar malware.
⇒ Las contraseñas se repiten y casi nunca tienen verificación en dos pasos. Si una se filtra, se abre todo.
⇒ Los equipos no se actualizan porque «ese ordenador no se puede parar», y los fallos conocidos quedan abiertos durante meses.
⇒ Las copias de seguridad no se prueban. El día del ataque aparecen incompletas o cifradas junto con todo lo demás.
⇒ Nadie vigila. Sin alguien que revise accesos y alertas, un intruso puede pasar semanas dentro antes de actuar.

A todo esto se suma que una pyme rara vez aguanta mucho tiempo parada. Esa urgencia es justo lo que buscan quienes piden un rescate.

El coste no es solo el rescate

Un incidente grave en una empresa pequeña se paga por varios lados: días sin facturar, horas de trabajo para recuperar sistemas, clientes que se van y, si hay datos personales de por medio, obligaciones legales. El artículo 33 del Reglamento General de Protección de Datos exige notificar la brecha a la Agencia Española de Protección de Datos en un plazo de 72 horas y, si el riesgo es alto, avisar también a los afectados.

Para muchas empresas, lo más duro no es el dinero, sino tener que explicar a sus clientes que sus datos han acabado en manos de terceros.

Qué puede hacer una pyme, empezando mañana

La buena noticia es que la mayoría de los ataques contra pequeñas empresas se evitan con medidas sencillas y baratas:

1. Activar la verificación en dos pasos en el correo, el banco y cualquier herramienta en la nube.
2. Tener copias de seguridad fuera de la red y comprobar, al menos una vez al trimestre, que se pueden restaurar.
3. Actualizar equipos y programas de forma ordenada, sin esperar a que «haya un rato».
4. Formar al equipo para reconocer correos sospechosos. Es la medida más barata y la que más incidentes evita.
5. Confirmar por teléfono cualquier cambio de cuenta bancaria de un proveedor antes de pagar.
6. Saber a quién llamar. La línea 017 de INCIBE, la Línea de Ayuda en Ciberseguridad, atiende gratis consultas de empresas y particulares.

Cuando hace falta ir un paso más allá

Con lo básico cubierto, el siguiente paso suele ser un diagnóstico externo: revisar qué sistemas hay, quién accede a qué y qué pasaría si mañana no arrancara el servidor. De ahí sale un plan por fases que empieza por lo que más daño haría y reparte la inversión en el tiempo.

Es lo que ofrecen las empresas de ciberseguridad en Madrid que trabajan con pymes: servicios a medida del tamaño del negocio, con un coste mensual previsible y sin necesidad de montar un departamento propio.

La exigencia llegará también por el cliente

La directiva europea NIS2 endurece las obligaciones de seguridad para sectores esenciales e importantes y hace responsable a la dirección de las compañías. Aunque una pyme no esté obligada directamente, sus clientes grandes sí lo estarán, y ya empiezan a pedir a sus proveedores cuestionarios, cláusulas y garantías de seguridad.

En una región con tantas empresas que trabajan para grandes corporaciones y para la Administración, como es Madrid, la ciberseguridad está dejando de ser una recomendación para convertirse en un requisito para seguir vendiendo. Prepararse ahora sale mucho más barato que hacerlo con el negocio parado.