Las 5 principales amenazas para la ciberseguridad de las PYMEs en 2025

En 2025, las pymes europeas se enfrentan a crecientes ciberamenazas, desde el phishing y el ransomware hasta los riesgos internos. Conozca las cinco principales amenazas para la ciberseguridad de las pymes y cómo mitigarlas mediante soluciones prácticas y escalables.

Las 5 principales amenazas para la ciberseguridad de las pymes en 2025 y cómo defenderse de ellas

El panorama de las amenazas a la ciberseguridad a las que se enfrentan las pequeñas y medianas empresas (PYME) europeas se ha intensificado en el último año. A medida que los atacantes se vuelven más organizados y oportunistas, las PYMES se convierten cada vez más en su objetivo debido a la percepción de que carecen de defensas sólidas. Los primeros resultados de 2024 indican que los ciberdelincuentes están dejando de centrarse en las grandes empresas para centrarse en las organizaciones de tamaño medio, que a menudo carecen de los recursos necesarios para responder con eficacia.

Solo en Alemania, el 73 % de las pymes sufrió al menos un ciberataque en 2023, según Bitkom. Esta cifra pone de manifiesto la creciente magnitud del problema y subraya la urgente necesidad de reforzar las medidas de ciberseguridad en todo el sector de las pymes. Las pymes son especialmente vulnerables porque a menudo operan con presupuestos de TI limitados, dependen de sistemas obsoletos y carecen de personal de seguridad dedicado. Además, muchas subestiman su atractivo para los ciberdelincuentes, lo que las convierte en objetivos más fáciles.

Las 5 principales amenazas para la ciberseguridad de las PYME en 2025

1. Phishing e ingeniería social

El phishing sigue siendo el punto de entrada más común para los ciberataques contra las PYME, especialmente en la región DACH, donde los atacantes se hacen pasar cada vez más por ejecutivos, proveedores o agencias gubernamentales. Estas estafas se basan en tácticas de ingeniería social para engañar a los empleados para que compartan sus credenciales de acceso, realicen pagos o abran archivos adjuntos maliciosos.

Las PYMES corren un riesgo especial debido a su escasa formación y a sus defensas menos sofisticadas contra el correo electrónico. Muchas carecen de protocolos claros para verificar solicitudes inusuales, lo que las hace más vulnerables al llamado "fraude del CEO" y a las estafas de facturas. En el Reino Unido, el 84 % de las empresas que sufrieron brechas o ataques de ciberseguridad se enfrentaron a intentos de phishing en 2024.

Para mitigarlo, las PYME deben invertir en programas estructurados de concienciación de los empleados. La formación en materia de seguridad debe ser obligatoria y continua, no un acto aislado. Las campañas de phishing simuladas son una forma eficaz de ayudar al personal a reconocer las señales de alarma en situaciones reales. Desde el punto de vista técnico, las herramientas avanzadas de filtrado del correo electrónico pueden detectar y bloquear el contenido malicioso antes de que llegue a las bandejas de entrada. Deben combinarse con protecciones a nivel de dominio, como DMARC, SPF y DKIM, para evitar la suplantación de identidad.

2. Ransomware

El ransomware sigue siendo una amenaza de primer orden para las pymes en 2025, tanto en frecuencia como en gravedad. Los grupos delictivos han evolucionado sus tácticas: en lugar de limitarse a cifrar los datos, ahora los filtran primero, amenazando con filtrar información sensible si no se paga un rescate. Para las pymes, esta doble estrategia de extorsión conlleva un riesgo reputacional y legal aún mayor, especialmente en el marco del GDPR. Un estudio de June 2024 indica que el 75 % de las pymes tendrían dificultades para seguir operando si fueran objeto de ataques de ransomware.

Los puntos de entrada típicos son bien conocidos: correos electrónicos de phishing con archivos adjuntos maliciosos, vulnerabilidades de software sin parches y servicios de acceso remoto expuestos como RDP. Una vez dentro, los atacantes se mueven lateralmente por la red, identifican los datos valiosos y ejecutan el cifrado. Para las PYMES sin redes segmentadas o supervisión activa, estos pasos pueden pasar desapercibidos hasta que sea demasiado tarde; mitigar el ransomware requiere tanto preparación como prevención.

• En primer lugar, las pymes deben implantar una sólida estrategia de copias de seguridad. Las copias de seguridad deben ser automáticas, cifradas y almacenadas en una ubicación inaccesible para el ransomware, idealmente utilizando almacenamiento inmutable en la nube o copias de seguridad offline. Estas copias de seguridad deben probarse con regularidad para garantizar que puedan restaurarse rápidamente bajo presión.

• En segundo lugar, la segmentación de la red es fundamental. Restringir el acceso entre departamentos o sistemas impide que el ransomware se propague sin control. En combinación con la protección de puntos finales y las herramientas EDR, esto puede detener un ataque en una fase temprana, antes de que los daños se extiendan.

• Un plan de respuesta eficaz es igualmente importante. El personal debe saber cómo aislar las máquinas infectadas, alertar al departamento de TI e iniciar la contención. Los ejercicios de simulación periódicos pueden convertir este proceso en algo natural.

3. Sistemas y programas informáticos obsoletos

Ejecutar sistemas obsoletos es una de las vulnerabilidades más comunes y fáciles de explotar en las pequeñas y medianas empresas. En 2023, más de un tercio de las pymes de todo el mundo seguían utilizando sistemas operativos no compatibles o software heredado. Estas herramientas obsoletas suelen contener fallos de seguridad conocidos que los atacantes pueden aprovechar con un esfuerzo mínimo.

Los sistemas antiguos pueden estar profundamente arraigados en las operaciones, lo que hace que las actualizaciones parezcan arriesgadas o perturbadoras. Sin embargo, cuanto más tiempo permanezcan sin parches ni soporte, mayor será la exposición a ataques que podrían paralizar la empresa.

• Es esencial un enfoque estructurado de la gestión de parches. Las PYMES deben mantener un inventario actualizado de todos los activos de hardware y software y vigilarlos para detectar avisos de fin de vida útil por parte de los proveedores.

• Los ciclos regulares de aplicación de parches (una vez al mes como mínimo) garantizan que las vulnerabilidades críticas se cierren tan pronto como estén disponibles las correcciones. Cuando sea posible la aplicación automática de parches, debe activarse por defecto.

• Cuando las actualizaciones no son posibles de inmediato, los controles compensatorios, como la segmentación estricta de la red y la limitación del acceso a Internet de los sistemas heredados, pueden reducir la exposición. Aislar estos sistemas de las partes más sensibles de la red puede impedir que un atacante los utilice como punto de partida para un ataque más amplio.

Paralelamente, las PYME deben empezar a planificar transiciones a largo plazo para abandonar plataformas no compatibles. La migración de cargas de trabajo críticas a entornos basados en la nube o infraestructuras modernas permite actualizaciones de seguridad más sólidas y automatizadas, y a menudo incluye herramientas de cumplimiento y supervisión integradas de las que carecen los entornos heredados.

4. Controles de acceso insuficientes

Los controles de acceso débiles o mal configurados son una causa frecuente de infracciones en las PYME. Sin restricciones adecuadas sobre quién puede acceder a qué, los atacantes que ponen en peligro una sola cuenta a menudo pueden moverse libremente por una red. Este problema se ha agravado con el aumento del trabajo a distancia y los servicios en la nube, en los que los empleados acceden a sistemas sensibles desde diversos dispositivos y ubicaciones.

El 84 % de las organizaciones sufrieron una brecha relacionada con la identidad en 2023, muchas de las cuales se derivaron de la ausencia o mala implementación de controles como la autenticación multifactor (MFA) o excesivos permisos de usuario. En las pymes, es común encontrar inicios de sesión compartidos, cuentas de administrador utilizadas para tareas rutinarias y poca o ninguna gestión formal de la identidad. Estas prácticas crean una exposición innecesaria y dificultan la contención de un incidente una vez que una cuenta de usuario se ve comprometida.

• La mejora de los controles de acceso comienza con la aplicación de la AMF en todos los sistemas críticos, incluidos el correo electrónico, las VPN, las plataformas en la nube y las consolas administrativas. Esto por sí solo reduce significativamente el riesgo de apropiación de cuentas. Las políticas de contraseñas también deben exigir credenciales fuertes y únicas y no permitir su reutilización.

• Igual de importante es el principio del mínimo privilegio. Cada usuario sólo debe tener acceso a los datos y sistemas que necesita para hacer su trabajo, nada más. Esto requiere controles de acceso basados en funciones y revisiones periódicas de los permisos de los usuarios para garantizar que siguen siendo adecuados a medida que cambian las funciones.

• El acceso remoto debe gestionarse de forma estricta. Servicios como RDP o SSH nunca deben exponerse directamente a Internet. En su lugar, las pymes deben utilizar VPN seguras con MFA y considerar políticas contextuales (como geofencing o confianza en el dispositivo) para una mayor protección.

• Las PYMES también deberían considerar la adopción de marcos de Acceso a la Red de Confianza Cero (ZTNA). En lugar de confiar en los usuarios por defecto una vez que están dentro de la red, ZTNA verifica continuamente cada solicitud basándose en la identidad, la postura del dispositivo y el contexto. Este enfoque limita el movimiento lateral y garantiza que, incluso si una credencial se ve comprometida, los atacantes no puedan escalar fácilmente su acceso.

El control de acceso no se limita a prevenir los ataques externos. También ayuda a limitar los daños derivados de errores internos o usos indebidos, habituales en organizaciones más pequeñas sin supervisión formal de TI. Al tratar la identidad como un límite de seguridad, las pymes pueden reforzar drásticamente su resistencia frente a una amplia gama de amenazas.

5. Amenazas internas

Las amenazas internas siguen siendo uno de los retos de ciberseguridad más difíciles para las PYME. Estas amenazas pueden proceder de empleados actuales o antiguos, contratistas o socios comerciales que tienen o han tenido acceso legítimo a sistemas o datos. Aunque existen personas malintencionadas con acceso a información privilegiada, la mayoría de los incidentes son involuntarios y se deben a descuidos, formación deficiente o derechos de acceso demasiado amplios.

Según el informe 2024 del Ponemon Institute sobre amenazas internas, el 56% de los incidentes de seguridad relacionados con información privilegiada fueron causados por negligencia, no intencionadamente. En las pymes, donde son habituales los procesos informales y los equipos muy unidos, a menudo se subestima el riesgo de exposición accidental.

Algunos ejemplos comunes son el envío de archivos confidenciales a correos electrónicos personales, el uso de unidades USB no seguras o la configuración incorrecta del almacenamiento en la nube. Estas acciones pueden no parecer peligrosas en el momento, pero pueden dar lugar a importantes violaciones de datos, pérdidas financieras o consecuencias normativas si se expone información personal o de clientes.

• Para solucionarlo, las PYMES deben establecer políticas claras de gobernanza de datos y uso aceptable. El personal debe saber exactamente qué datos pueden compartirse, dónde pueden almacenarse y cómo deben tratarse. La formación en materia de seguridad debe incluir ejemplos reales de violaciones accidentales e insistir en la importancia de la vigilancia.

• Desde un punto de vista técnico, la supervisión de la actividad de los usuarios y las herramientas de prevención de pérdida de datos (DLP) pueden detectar comportamientos inusuales, como transferencias de archivos de gran tamaño, uso de dispositivos no autorizados o acceso a documentos restringidos. Aunque la DLP a gran escala puede ser demasiado compleja para algunas PYMES, incluso la supervisión y el registro básicos del acceso a datos sensibles es un buen punto de partida.

• El acceso también debe controlarse estrictamente y revisarse con regularidad. Las cuentas de los antiguos empleados deben desactivarse inmediatamente después de su salida. El acceso privilegiado debe limitarse a unos pocos usuarios de confianza, y los registros de la actividad administrativa deben auditarse periódicamente.

Las amenazas internas no siempre son el resultado de malas intenciones, pero sin las salvaguardias adecuadas, incluso un simple error puede acarrear graves consecuencias.

Pasar de la concienciación a la acción

Para las PYME de toda Europa, y especialmente de la región DACH, la ciberseguridad en 2025 es más compleja e implacable que nunca. Desde los esquemas de phishing y el ransomware hasta las infraestructuras obsoletas, los controles de acceso débiles y las amenazas internas, las empresas más pequeñas se enfrentan a los mismos riesgos que las grandes empresas, pero a menudo con muchos menos recursos.

Lo que une a estas cinco amenazas es que se pueden prevenir. En la mayoría de los casos, las brechas no se producen porque los atacantes sean excepcionalmente sofisticados, sino porque faltan defensas básicas o están mal configuradas. Los sistemas obsoletos se dejan sin parchear. Los empleados no reciben formación para detectar correos electrónicos de phishing. El acceso se concede con demasiada amplitud y se revisa con muy poca frecuencia.

Por este motivo, la ciberseguridad ya no puede considerarse únicamente una cuestión de TI; es una responsabilidad de liderazgo. Los responsables de las PYME deben garantizar que la gestión de riesgos, la formación del personal y las actualizaciones tecnológicas se priorizan junto con otras funciones empresariales básicas. Incluso las mejoras incrementales en la postura de seguridad pueden marcar una diferencia significativa en un entorno en el que los atacantes buscan el objetivo más fácil.

Si no está seguro de por dónde empezar o de cómo ampliar sus capacidades de ciberseguridad, Getronics ofrece una gama de soluciones adaptadas a las pymes, entre las que se incluyen evaluaciones de riesgos, detección y respuesta gestionadas y formación sobre concienciación en materia de seguridad. Visite nuestra página de Servicios de seguridad para saber cómo podemos ayudarle a dar el siguiente paso hacia un negocio más seguro.