La superficie de ataque de las empresas es cada vez mayor

Conocer y minimizar la superficie de ataque de las empresas es crítico para evitar incidentes graves con consecuencias económicas, legales y reputacionales severas

En octubre de 2026, cientos de supermercados franceses descubrieron a primera hora de la mañana que miles y miles de productos congelados y refrigerados estaban estropeados. Durante la noche habían sido víctimas de un ciberataque masivo en el que los atacantes tomaron el control de sus sistemas frigoríficos elevando la temperatura de los mismos hasta los 50º durante horas.

¿Cómo pudo ser posible este ataque? Los actores hostiles explotaron vulnerabilidades presentes en el software de los equipos frigoríficos, que estaban desactualizados. ¿Cómo pudieron llegar a estos programas? Los dispositivos estaban conectados a internet para poder controlar a distancia su temperatura.

Este caso evidencia un fenómeno clave de los últimos años y que se está acelerando: la expansión de la superficie de ataque de las empresas.

Además, también pone de relieve que ningún negocio está libre de sufrir un ataque y que en muchos casos no se es consciente a nivel interno del tamaño de la superficie de ataque de las empresas.

De hecho, tan solo unas semanas después de lo ocurrido en Francia, que causó desabastecimiento en los supermercados y pérdidas millonarias, otra campaña de ataques masivos afectó a supermercados de los Países Bajos, Suecia, Bélgica, Irlanda, Finlandia, Estonia y Luxemburgo. El modus operandi fue el mismo: la manipulación de las temperaturas de los sistemas frigoríficos.

¿Qué es la superficie de ataque de las empresas?

Empecemos por el principio. Según el NIST, una agencia estadounidense que es un referente a nivel de estándares en el ámbito de la ciberseguridad, la superficie de ataque de las empresas es el conjunto de puntos desde los que los atacantes pueden acceder a los sistemas empresariales para extraer datos de ellos o llevar a cabo acciones maliciosas, como la propagación de malware o la interrupción del funcionamiento de servicios esenciales.

¿A qué nos referimos con puntos de entrada? Software y hardware desactualizado, con vulnerabilidades o, directamente, obsoleto, personas sin formación en ingeniería social que pueden ser víctimas de phishing u otras técnicas, credenciales para acceder a programas y dispositivos comprometidas…

Cualquier equipo conectado a internet es susceptible de ser atacado. Y los actores maliciosos lo saben. Por eso, las empresas necesitan reforzar la seguridad de sus software y equipos.

Un amplio abanico de soluciones que no se tienen inventariadas y controladas

¿Con cuántos programas, aplicaciones y plataformas trabajas en tu empresa? La mayoría de organizaciones no saben responder a esta pregunta. Aunque se trata de una medida de seguridad del software empresarial básica, lo cierto es que muchas empresas no tienen un inventario con todos los software que emplean. Y esto es un problema. ¿Por qué?

Cuando se detectan nuevas vulnerabilidades en programas o en componentes de software usados para desarrollarlos es esencial actuar con diligencia para subsanarlas. Lo más habitual es que en el menor tiempo posible la compañía que desarrolló el software lance una actualización de seguridad para solventar el problema antes de que los delincuentes le saquen partido.

Por eso, actualizar de forma continua todos los programas y dispositivos empleados es esencial de cara a reducir la superficie de ataque de las empresas.

Sin embargo, muchas organizaciones no actualizan algunos de sus programas o equipos porque no saben que trabajan con ellos, no son conscientes de que están en peligro o no le dan relevancia a estas cuestiones.

Controlar todos los programas y aplicaciones empleados en una empresa y actualizarlos inmediatamente cuando se publican parches de seguridad es indispensable para minimizar la superficie de ataque de las empresas.

La expansión de los dispositivos IoT

En los últimos años las empresas no solo han comenzado a trabajar con más software para automatizar tareas e incrementar su productividad y márgenes de beneficio, sino que también se han llenado de ordenadores, smartphones, routers y dispositivos IoT: cerraduras inteligentes, sistemas de videovigilancia, programadores de calefacción o iluminación, controladores industriales, equipos médicos inteligentes…

Este proceso ha conllevado una enorme cantidad de beneficios que van desde una mejor gestión de la seguridad física de una empresa hasta el ahorro energético y, por supuesto, la posibilidad de trabajar con dispositivos inteligentes extraordinariamente precisos y que se pueden controlar a distancia.

Pero su uso también impulsa el crecimiento de la superficie de ataque de las empresas. Como demuestran los ciberataques masivos contra supermercados, los equipos inteligentes también pueden tener vulnerabilidades explotables. De ahí que sea fundamental:

• Configurarlos de forma segura. Miles y miles de routers funcionan con su configuración por defecto y no se procede a cambiar sus credenciales.
• Actualizarlos de forma continua para solventar las vulnerabilidades detectadas.

El uso de dispositivos personales para trabajar

Otro factor que no podemos perder de vista al abordar el crecimiento de la superficie de ataque de las empresas es el creciente uso de dispositivos personales con fines profesionales y empresariales.

El auge del teletrabajo a partir de la crisis pandémica de 2020 y la posibilidad de trabajar desde cualquier lugar usando un ordenador, una tablet o un móvil con conexión a internet han fomentado que muchos profesionales no empleen solo dispositivos de su empresa para prestar sus servicios, sino que también usen equipos personales.

¿Por qué este fenómeno puede incrementar la superficie de ataque de las empresas? Los profesionales a cargo de gestionar la ciberseguridad de las organizaciones no tienen, a menudo, control sobre estos equipos, por lo que no les aplican las medidas básicas de seguridad necesarias para prevenir incidentes, ni los actualizan de forma inmediata.

Una deficiente gestión de accesos y permisos de seguridad

Precisamente, dos de las medidas de seguridad básicas para reducir la superficie de ataque de las empresas son:

1. La gestión de accesos a equipos y programas corporativos. Lo más recomendable es llevar un control de todas las personas con acceso a software y equipos y establecer un sistema de autenticación multifactor. De tal forma que para acceder a un software no baste con aportar un usuario y una contraseña, sino que haya que confirmar la identidad del profesional a través de otras vías como el uso de apps móviles de autenticación.
2. El establecimiento de permisos de seguridad en los sistemas y software empresariales para limitar las acciones que puede llevar a cabo cada usuario. Esta medida previene accesos no autorizados a información confidencial y especialmente sensible (datos financieros, comerciales, médicos, legales, de menores…)

Un buen ejemplo de las consecuencias de no gestionar accesos y permisos de forma eficaz son las amenazas internas de seguridad. Trabajadores descontentos con permisos excesivos pueden acceder a información confidencial y usarla para dañar a la empresa. Profesionales que han sido despedidos pero que mantienen accesos a programas corporativos pueden provocar graves incidentes de seguridad y dañar comercialmente a una empresa. Por ejemplo, un antiguo abogado de un bufete puede acceder a sus expedientes y saber cuál es el estado de sus asuntos, conocer su estrategia judicial o realizar otras acciones de espionaje legal.

La escasa formación en ciberseguridad de las plantillas

Uno de los principales puntos de entrada de los malos a los sistemas de las empresas son sus propias plantillas. Las campañas de phishing, smishing, vishing u otras técnicas de ingeniería social buscan engañar a profesionales y directivos de empresas para que:

• Faciliten sus credenciales de acceso a software y aplicaciones corporativos.
• Lleven a cabo acciones como la realización o autorización de pagos.

Por eso, al hablar de la superficie de ataque de las empresas no podemos perder de vista el rol que juegan sus propios trabajadores y cargos directivos.

Sobre todo, si tenemos en cuenta que la irrupción de la IA generativa ha abierto la puerta a la realización de deepfakes de imagen y voz que permiten suplantar la identidad de personas concretas. Si el administrativo de un despacho o un estudio de arquitectura recibe una llamada o una videollamada de un socio o administrador de su organización ordenándole que realice una determinada transferencia… ¿por qué iba a negarse?

Para hacer frente al aumento de la superficie de ataque de las empresas a través de sus plantillas es fundamental invertir en formación en materia de ciberseguridad.

Escasa relevancia de la ciberseguridad en la toma de decisiones empresariales

Precisamente, la formación y la concienciación es aún más relevante en lo que respecta a los cargos directivos de las empresas. Administradores, responsables de áreas, socios… Todos ellos deben ser conscientes de los riesgos asociados al aumento de la superficie de ataque de las empresas y la necesidad de contenerla.

Muchos incidentes de seguridad podrían evitarse si se contase con una estrategia de ciberseguridad con medidas básicas como las que hemos descrito en este artículo.

Sin embargo, a pesar de que los ataques contra pymes no dejan de incrementarse, muchos empresarios siguen sin ser conscientes de los riesgos a los que se enfrentan sus organizaciones y de las devastadoras consecuencias que pueden tener los ataques exitosos: robo de datos de clientes e información confidencial, sustracción de propiedad intelectual e industrial, realización de pagos fraudulentos, incapacidad de poder prestar sus servicios durante días, horas e incluso semanas…

La IA está acelerando el aumento de la superficie de ataque de las empresas

En los últimos meses se han hecho públicos incidentes que demuestran que la IA puede explotar vulnerabilidades de las empresas. Sin llegar a ese punto de amenaza, lo cierto es que el perfeccionamiento de esta tecnología está provocando que:

• Se estén detectando vulnerabilidades presentes en software y componentes de software de uso masivo que existen desde hace años pero que el ser humano no era capaz de identificar o cuya explotación iba más allá de la capacidad humana, como ha sucedido con PHP2Shell, dos vulnerabilidades que afectan a versiones no parcheadas de PHP, un lenguaje de programación empleado en el 70% de las webs mundiales.
• El tiempo que se necesita para desarrollar una prueba de concepto para explotar una vulnerabilidad se ha acortado dramáticamente.
• Las campañas de ingeniería social sean tan realistas que resulte difícil detectar los engaños.

Si bien es importante destacar que no todo son malas noticias en lo que respecta a la IA y la superficie de ataque de las empresas. ¿Por qué? Los agentes de IA también permiten:

• Desarrollar código más seguro, lo que minimiza la superficie de ataque de las empresas que empleen software generado usando IA e implementando las mejores prácticas en materia de seguridad.
• Automatizar los mecanismos de detección de vulnerabilidades y actividad maliciosa, acelerando los tiempos de respuesta.

Conclusión: Reducir la superficie de ataque de las empresas es una prioridad

Los ataques contra cientos de supermercados de países como Francia, Suecia, Países Bajos o Bélgica evidencian, una vez más, que ningún sector económico está a salvo de los incidentes de seguridad.

La digitalización del tejido productivo es una realidad desde hace muchos años. Despachos, asesorías, clínicas, estudios de arquitectura o ingeniería, empresas de servicios o centros de formación no pueden prestar sus servicios sin toda su infraestructura tecnológica: ordenadores, móviles, routers, software de gestión, redes sociales, aplicaciones, dispositivos IoT relevantes en su sector…

La superficie de ataque de las empresas ha aumentado porque cada vez tienen una infraestructura tecnológica más grande y más activos y personas conectados a internet y, por lo tanto, susceptibles de ser atacados si son vulnerables.

¿Qué pueden hacer las pymes y los autónomos para minimizar su superficie de ataque y prevenir incidentes que pueden tener consecuencias económicas y legales graves?

• Realizar auditorías de seguridad para detectar vulnerabilidades en sus activos. Actualmente, existen herramientas de monitorización automática.
• Gestionar sus vulnerabilidades de forma eficaz actualizando los software una vez que los desarrolladores lanzan nuevas actualizaciones de seguridad.
• Contar con una persona o un equipo a cargo de la seguridad de los activos digitales que se encargue de gestionar accesos y permisos, para prevenir y contener ataques.
• Emplear software que cuenten con medidas de seguridad sólidas, lo que puede saberse gracias a la obtención de certificados que lo acrediten, como la ISO 27001 sobre eficiencia de los sistemas de seguridad de la información.
• Formar y concienciar a toda la plantilla, comenzando por los cargos directivos, para que no sean víctimas de ataques de ingeniería social y eviten actuaciones peligrosas.
• Sustituir los equipos obsoletos que ya no reciben actualizaciones de seguridad.
• Limitar el acceso a internet de los dispositivos que no tienen por qué estar conectados para que la empresa los utilice con normalidad.
• Disponer de un plan de respuesta a incidentes tanto desde el punto de vista técnico, como legal y comunicacional.

En definitiva, minimizar la superficie de ataque de las empresas es una cuestión estratégica para los negocios. Al fin y al cabo, los ataques exitosos pueden afectar gravemente a las finanzas, la reputación y la posición en el mercado de las empresas.