| John Bosman | 1,545 palabras
Las pérdidas cibernéticas de las pequeñas empresas rara vez comienzan con un hackeo sofisticado. Comienzan con actividad cotidiana: correo electrónico, facturas, contraseñas y acceso de proveedores. El Informe sobre Delitos en Internet 2025 de IC3 del FBI registró $20,877 millones en pérdidas reportadas en 2025, un aumento del 26% respecto a 2024; para entender el panorama completo de lo que cubre el seguro cibernético, comience por separar el evento de pérdida de la póliza que puede responder.
Respuesta corta
Las amenazas que más afectan a las pequeñas empresas son el phishing y las credenciales robadas, el compromiso del correo electrónico empresarial y el fraude de transferencia de fondos, el ransomware y la suplantación de identidad con IA. Cada una afecta de manera distinta, puede requerir una vía de cobertura diferente y puede necesitar un endoso específico en lugar de suponer que una póliza cibernética cubre todo.
Punto de control del lector
- Si un empleado hiciera clic hoy en un enlace de phishing, ¿a qué podría acceder el atacante?
- ¿Alguien verifica por teléfono, usando un número conocido, las solicitudes de pago o de cambio de cuenta bancaria antes de mover dinero?
- ¿Nuestra póliza cibernética o póliza contra delitos incluye ingeniería social y fraude de transferencia de fondos, o solo brechas de sistemas?
Respuesta rápida
La defensa práctica es principalmente procedimental: exija autenticación multifactor (MFA), use un administrador de contraseñas, llame a un número conocido antes de mover dinero y pruebe las copias de seguridad antes de un incidente. La cobertura también depende del tipo de pérdida y de la forma de la póliza: la cobertura cibernética de pérdidas propias, un endoso de ingeniería social o fraude de transferencia de fondos y la póliza contra delitos pueden responder preguntas distintas y tener sublímites.
De un vistazo
Qué identificar antes de la próxima decisión
| Problema principal | Las pérdidas cibernéticas comienzan con actividad rutinaria: correo electrónico, pagos, contraseñas y proveedores |
|---|---|
| Punto ciego común | Suponer que una póliza cibernética cubre automáticamente a un empleado engañado para enviar dinero; con frecuencia se requiere un endoso de ingeniería social separado |
| Documento útil | Declaraciones y endosos de las pólizas cibernética y contra delitos; proceso de aprobación de pagos; estado de MFA y de las copias de seguridad |
| Mejor siguiente paso | Use la Puntuación de Preparación para la Renovación Comercial |
1. Phishing y credenciales robadas
El phishing es un correo electrónico, mensaje de texto o página de inicio de sesión engañosa diseñada para lograr que alguien revele una contraseña, apruebe acceso o abra un archivo malicioso. El informe IC3 de 2025 incluye el phishing/suplantación entre los tipos de delitos reportados con mayor frecuencia. Para una pequeña empresa, un escenario realista es que un empleado ingrese sus credenciales de Microsoft 365 en una página de inicio de sesión muy parecida a la real; luego, el atacante lee facturas, restablece contraseñas y usa el buzón para solicitar pagos a compañeros o proveedores.
La autenticación multifactor (MFA), un administrador de contraseñas y el hábito simple de reportar mensajes sospechosos con rapidez son los controles que más importan. Si las credenciales se usan para acceder a sistemas o datos, la cobertura cibernética de pérdidas propias normalmente puede ayudar con la respuesta a brechas, análisis forense, notificación y costos de recuperación, sujeto a los términos y condiciones de la póliza. La póliza no reemplaza la necesidad de contener el acceso rápidamente.
2. Compromiso del correo electrónico empresarial (BEC) y fraude de transferencia de fondos
El compromiso del correo electrónico empresarial (BEC) utiliza un correo que parece confiable —con frecuencia de un proveedor, ejecutivo, contador o agente de cierre o de depósito en garantía— para redirigir un pago o cambiar instrucciones bancarias. IC3 reportó $3,046,598,558 en pérdidas por BEC en 2025, lo que lo convirtió en su segunda categoría de mayores pérdidas reportadas. Un escenario común ocurre cuando se compromete el buzón real de un proveedor justo antes de que venza una factura; el atacante envía nuevas instrucciones de transferencia que parecen rutinarias y el pago desaparece antes de que se detecte el error.
Los controles más útiles son una llamada a un número conocido y verificado de forma independiente, y la aprobación de dos personas para transferencias y cambios de datos bancarios. Tener cobertura cibernética no significa automáticamente que la transferencia esté cubierta. La respuesta puede depender de un endoso de ingeniería social o fraude de transferencia de fondos, o de una póliza contra delitos, y esas coberturas suelen tener sublímites. Lea el endoso, no solo la página de declaraciones.
3. Ransomware
El ransomware bloquea o roba datos y luego exige un pago o amenaza con exponerlos. Una pequeña empresa puede sufrirlo cuando un inicio de sesión comprometido llega a archivos compartidos, una herramienta de acceso remoto sin parches o una conexión de un proveedor. El problema comercial inmediato suele ser operativo: los empleados no pueden acceder a la programación, contabilidad, registros de clientes o controles de equipos mientras la empresa trata de determinar qué fue afectado.
Las copias de seguridad fuera de línea y probadas, la aplicación de parches, la detección y respuesta en endpoints (EDR) y un plan de respuesta a incidentes son controles esenciales. Las pólizas cibernéticas normalmente pueden cubrir la extorsión cibernética, la interrupción del negocio, la restauración de datos y los proveedores de respuesta, según la forma de la póliza. El informe IC3 advierte que las pérdidas reportadas por ransomware reflejan solo denuncias presentadas y normalmente excluyen la productividad perdida o el tiempo de inactividad, por lo que una cifra en dólares de ransomware no muestra todo el impacto comercial. Revise la guía sobre ransomware antes de que un incidente fuerce una decisión apresurada.
4. Suplantación de identidad con IA y deepfakes
La suplantación de identidad con IA utiliza texto convincente, voces clonadas, imágenes alteradas o video para hacer que una solicitud parezca provenir de un ejecutivo, proveedor, cliente o contacto de TI real. En su primera categoría dedicada a delitos relacionados con IA, IC3 registró 22,364 denuncias y $893,346,472 en pérdidas reportadas en 2025. Una persona de finanzas puede escuchar lo que parece ser la voz del propietario pidiendo una transferencia confidencial urgente, mientras un correo conocido proporciona los detalles.
Los controles son procedimentales: exija verificación mediante un canal conocido, capacite a las personas para tratar la urgencia y el secreto como señales de alerta, y haga que sea seguro detener una solicitud. La pregunta de cobertura suele ser la misma que plantea BEC: si aplica el endoso correspondiente de ingeniería social o fraude de transferencia de fondos. Conozca cómo los deepfakes pueden afectar a las empresas antes de confiar únicamente en una voz o video familiar.
5. Compromiso de proveedores y de la cadena de suministro
Un compromiso de proveedor ocurre cuando los sistemas, credenciales, software o servicios de un tercero afectan a su empresa. Una interrupción del proveedor de nómina, un proveedor de servicios administrados comprometido o un archivo compartido de clientes expuesto puede interrumpir las operaciones aunque su propia red no haya sido el primer punto de entrada. La empresa aún puede enfrentar ingresos perdidos, preguntas de clientes, obligaciones contractuales y una decisión sobre quién es responsable de la respuesta.
Limite el acceso de proveedores a lo necesario, revise su seguridad antes de conectar sistemas y mantenga una lista actualizada de proveedores con sus contactos clave y el acceso a datos anotado. Según la póliza, la interrupción del negocio dependiente y la responsabilidad ante terceros pueden ser relevantes. Estas disposiciones pueden ser limitadas, por lo que la pregunta útil para la renovación es si los proveedores de los que depende su empresa encajan en las definiciones de la póliza.
Preguntas frecuentes
Preguntas frecuentes sobre seguro comercial
¿Cuál es la amenaza cibernética más común para las pequeñas empresas?
El phishing y el robo de credenciales son puntos de entrada comunes porque explotan hábitos cotidianos de correo electrónico, inicio de sesión y contraseñas. Un mensaje convincente puede llevar al acceso a un buzón, a una solicitud de pago fraudulenta, a la exposición de datos o a un evento mayor de ransomware; por eso MFA y el hábito de reportar mensajes sospechosos son importantes desde el principio.
¿El seguro cibernético cubre el dinero enviado a un estafador?
A veces, pero con frecuencia solo si la póliza incluye cobertura de ingeniería social o fraude de transferencia de fondos, o si responde una póliza contra delitos. Estas coberturas pueden tener condiciones y sublímites separados, por lo que conviene revisar el endoso antes de suponer que una transferencia hecha por un empleado engañado está cubierta.
¿Las pequeñas empresas realmente son objetivos?
Sí. Las empresas más pequeñas pueden tener menos niveles de aprobación, menos personal de TI dedicado y mayor dependencia del correo electrónico, proveedores y un grupo reducido de personas que pueden mover dinero. Por eso una solicitud creíble le resulta eficaz a un atacante, aunque la empresa no haya sido descuidada.
Elija la amenaza que parezca más plausible para su empresa, verifique si su póliza realmente responde a ella y corrija primero la brecha procedimental. Un mejor paso de aprobación, una prueba de copias de seguridad o un proceso de llamada de verificación suele ser más fácil de establecer antes de que un reclamo ponga a prueba la cobertura.
Qué hacer a continuación
Puntuación de Preparación para la Renovación Comercial | Iniciar una revisión de cobertura | Próximo paso natural