¿Tu mantenimiento informático cubre realmente la ciberseguridad?

Existe una escena que se repite casi a diario en el sector tecnológico. Una empresa de tamaño medio sufre un ataque de ransomware: de repente, los archivos del servidor aparecen cifrados con una extensión extraña, las pantallas de administración muestran una nota pidiendo un rescate en criptomonedas y la producción se paraliza por completo.

La primera reacción del gerente suele ser llamar a su técnico de confianza o a la empresa con la que tiene contratado el mantenimiento informático mensual: "Oye, nos han entrado, arréglalo". La respuesta al otro lado del teléfono no siempre suele ser la esperada: "Nosotros llevamos los equipos, la red y las licencias. La seguridad avanzada y la respuesta a este tipo de ataques no entra en el contrato".

En ese instante es cuando la directiva descubre, de la peor manera posible, la diferencia entre mantener un sistema informático funcionando y proteger el negocio contra la ciberdelincuencia.

El origen del malentendido: arreglar ordenadores no es proteger datos

Durante las últimas dos décadas, las empresas han entendido el soporte informático como un servicio esencialmente reactivo. Si un ordenador no enciende, si la red va lenta, si la impresora se desconfigura o si hay que crear un correo para un empleado nuevo, se llama al técnico. El objetivo de este modelo es operativo: mantener las herramientas de trabajo encendidas y disponibles.

La ciberseguridad moderna, sin embargo, juega en una liga completamente distinta. No busca reparar cosas que se rompen, sino evitar que personas externas utilicen esas mismas herramientas para destruir la empresa o extorsionarla.

El problema no es que las empresas de mantenimiento informático tradicional hagan mal su trabajo. El problema es que los ciberdelincuentes ya no usan los mismos métodos que hace diez años. Hoy en día, un ataque no "rompe" un equipo a simple vista. Al contrario: el código malicioso entra en silencio, pasa semanas analizando la red corporativa sin hacer ruido y, cuando detecta el momento de máxima vulnerabilidad, actúa.

Si tu estrategia de protección consiste en "lo que nos instaló el técnico cuando renovamos los equipos", es muy probable que tu infraestructura tenga varias puertas abiertas de par en par.

1. El mito del antivirus de toda la vida

Casi todos los contratos de mantenimiento incluyen la instalación de un antivirus comercial en los puestos de trabajo. Y durante mucho tiempo, eso bastaba. El antivirus tradicional funciona como la policía de fronteras con un libro de fotos de delincuentes: si el archivo que entra en el ordenador coincide exactamente con una "firma" de virus conocida, se bloquea.

El problema del código que cambia cada minuto

Los ciberdelincuentes actuales no usan virus conocidos. Crean software malicioso diseñado a medida para un ataque concreto o utilizan técnicas llamadas Zero-Day (vulnerabilidades desconocidas hasta la fecha) y herramientas legítimas del propio sistema operativo para no levantar sospechas.

Si un atacante usa la consola de comandos de Windows para ejecutar un código cifrado en la memoria RAM, el antivirus tradicional no verá ningún archivo sospechoso en el disco duro. Para él, todo está limpio mientras por dentro le están vaciando la base de datos.

Qué cambia con las soluciones EDR y MDR

La ciberseguridad profesional reemplaza o complementa el antivirus con sistemas EDR (Endpoint Detection and Response). A diferencia del antivirus tradicional, un EDR no juzga el archivo por su nombre o su firma, sino por lo que.

Si un programa de procesado de textos intenta de repente cambiar registros del sistema, deshabilitar las copias de seguridad locales y conectarse a un servidor extranjero a las tres de la mañana, el EDR entiende que ese comportamiento es anómalo. Aisla la máquina de la red al instante sin esperar a que nadie pulse un botón y avisa a un equipo de seguridad (MDR) para que analice la amenaza en tiempo real.

2. Lo que no ves en Internet (pero los atacantes sí)

Un error muy habitual del mantenimiento informático clásico es mirar únicamente de puertas hacia dentro: los ordenadores de la oficina, el servidor del rack y el router principal. Pero hoy en día, tu empresa vive hacia fuera.

Cualquier servicio que des de alta en la nube, cualquier acceso remoto para teletrabajar o la propia página web de la empresa forman parte de lo que en ciberseguridad llamamos "superficie de ataque".

La web corporativa como entrada trasera

Es muy común ver webs corporativas desarrolladas en WordPress o plataformas similares que llevan meses o años sin actualizarse correctamente. Para un informático tradicional, si la web se ve bien y los clientes pueden enviar formularios, todo es correcto.

Sin embargo, los atacantes utilizan herramientas automáticas que escanean millones de webs a la hora en busca de complementos (plugins) desactualizados con fallos conocidos. Una vez que consiguen colar código malicioso en la web, la utilizan para saltar desde el servidor de alojamiento a la base de datos de clientes o para infectar a los propios usuarios que visitan la página.

La necesidad de auditarse continuamente

La única forma de saber qué está viendo un ciberdelincuente desde fuera es mirar con sus mismas gafas. No basta con revisar la infraestructura una vez al año; hay que realizar escaneos periódicos de puertos, certificados y componentes expuestos.

Por ejemplo, en ESED desarrollamos la herramienta PETAM, que permite a cualquier empresa analizar de forma automática y en apenas dos minutos las vulnerabilidades externas de su sitio web e infraestructura. Es un ejercicio rápido que suele sacar a la luz bastantes "sorpresas" que el mantenimiento convencional nunca había detectado.

3. Las copias de seguridad que el ransomware también destruye

"No me preocupa un ataque porque tenemos copia de seguridad". Esta es, probablemente, la frase más peligrosa que se escucha en las reuniones de dirección.

El mantenimiento básico suele resolver el tema de los respaldos conectando un disco duro externo al servidor principal o configurando una carpeta compartida en la nube donde se van guardando los datos al final del día.

Por qué el ransomware actual busca primero tus backups

Los creadores de ransomware no son novatos. Saben perfectamente que si cifran tus servidores pero tienes una copia limpia para restaurar en dos horas, no les vas a pagar un solo euro.

Por eso, los ataques modernos tienen una fase previa de reconocimiento. El software malicioso se propaga primero por la red local buscando activamente las unidades de respaldo, los discos NAS conectados y las instantáneas del sistema. Cuando encuentra las copias de seguridad, las borra o las cifra primero. Y solo cuando se ha asegurado de que la empresa no tiene de dónde tirar, cifra los sistemas principales y pide el rescate.

El estándar real: copias inmutables

Una estrategia de backup adaptada a las amenazas de 2026 debe seguir reglas estrictas de inmutabilidad. Una copia inmutable es un respaldo almacenado con tecnología WORM (Write Once, Read Many): una vez que los datos se escriben, ni siquiera la cuenta con los máximos permisos de administración de la empresa puede modificar o borrar esa información durante un periodo de tiempo determinado.

Si el ransomware entra y consigue las claves del administrador, intentará destruir las copias, pero el sistema le denegará el borrado. Solo así se garantiza que, pase lo que pase, el negocio pueda volver a estar en marcha en cuestión de horas y sin ceder a extorsiones.

4. El factor humano: de nada sirve la puerta blindada si le abrimos al repartidor

Un proveedor de soporte IT se encarga de que los correos entren y salgan correctamente. Pero no puede controlar qué hace el usuario con los mensajes que recibe.

El factor humano sigue siendo la vía de entrada en más del 80% de los incidentes graves de seguridad en España. El ciberdelito ya no consiste en adivinar contraseñas complejas a base de fuerza bruta; resulta mucho más barato engañar a un empleado para que sea él mismo quien entregue las credenciales o descargue un archivo malicioso.

La evolución del phishing

Olvídate de aquellos correos mal redactados que prometían herencias millonarias con faltas de ortografía evidentes. El phishing actual utiliza técnicas de ingeniería social hiperdirigidas:

• Suplantación de proveedores: Correos que simulan perfectamente una factura pendiente de un proveedor habitual, enviada desde un dominio casi idéntico al real (cambiando una sola letra).
• El fraude del CEO: Mensajes urgentes dirigidos al departamento de contabilidad, supuestamente enviados por la dirección de la empresa, pidiendo una transferencia inmediata para cerrar una operación confidencial.
• Archivos adjuntos maliciosos: Documentos en PDF o Excel que imitan notificaciones oficiales de la Agencia Tributaria o de la Seguridad Social.

Convertir a la plantilla en la primera línea defensiva

La ciberseguridad no se resuelve únicamente comprando más programas o cajas de cortafuegos; exige formar a las personas. Un plan de ciberseguridad gestionada incluye simulaciones de phishing periódicos.

Se envían correos falsos pero inofensivos a los empleados para evaluar quién cae en la trampa y quién reporta el mensaje sospechoso. A partir de los resultados, se aplica formación práctica a quienes lo necesitan, reduciendo drásticamente la probabilidad de que un error humano abra las puertas de la empresa a un ataque real.

5. El laberinto legal y las sanciones que nadie te explicó

Cuando se produce una brecha de seguridad que afecta a datos personales de clientes, empleados o proveedores, el problema técnico se convierte en un problema legal de primera magnitud.

Muchos empresarios asumen que el seguro de responsabilidad civil o el propio contrato con el proveedor de informática los protege frente a las consecuencias de un ciberataque. La realidad jurídica es sensiblemente más dura.

La exigencia de "Diligencia Debida"

Bajo el Reglamento General de Protección de Datos (RGPD) y la autoridad de la Agencia Española de Protección de Datos (AEPD), si tu empresa sufre un robo de información y se demuestra que no contabas con medidas de seguridad proporcionales a la tecnología actual, la multa no te la libra nadie. Y las sanciones pueden alcanzar cifras capaces de comprometer la viabilidad de la compañía.

Por otro lado, la directiva europea NIS2 ha ampliado de forma notable el abanico de sectores considerados esenciales o importantes, incluyendo a miles de pymes que forman parte de la cadena de suministro de grandes empresas. Esta norma impone responsabilidades directas a los administradores y consejos de dirección sobre la gestión del riesgo tecnológico.

Un contrato de mantenimiento informático estándar no asume ninguna responsabilidad sobre la gobernanza del dato, ni genera los registros de auditoría (logs) necesarios para demostrar ante un inspector que hiciste todo lo razonable para evitar el incidente.

Hacia un modelo integrado: cómo dar el salto sin disparar el presupuesto

Llegados a este punto, la pregunta lógica es: ¿Significa esto que debo tirar a la basura mi mantenimiento informático y contratar a un equipo entero de ingenieros de seguridad?

Rotundamente no. La solución no pasa por duplicar costes ni por volver locos a los empleados con sistemas inoperables. La clave está en evolucionar hacia un modelo donde el soporte informático del día a día y la ciberseguridad avanzada funcionen bajo el mismo techo y de forma coordinada.

La informática y la seguridad no pueden ser departamentos estancos que se tiran la pelota unos a otros cuando hay un problema. Deben ser dos caras de la misma moneda.

En ESED nos dimos cuenta hace tiempo de que la pequeña y mediana empresa no necesita contratar tres proveedores distintos para gestionar sus sistemas. Por eso integramos el soporte técnico especializado, la monitorización de seguridad 24/7, el bastionado de infraestructuras y la formación del personal en un único modelo de tarifa plana mensual.

De este modo, eliminamos las brechas invisibles que deja el mantenimiento tradicional y respaldamos la tranquilidad de tu negocio con garantías reales de protección.