Las TPE, PME y ETI representan ahora el 48 % de las víctimas de ransomware identificadas por la ANSSI, frente al 37 % del año anterior. Este aumento coloca a estas estructuras en primera línea, muy por delante de las administraciones públicas o los establecimientos de salud. Tres tipos de vulnerabilidades web se repiten en la mayoría de los incidentes documentados, y su corrección no requiere un presupuesto desmesurado.
Vulnerabilidades web de las PME: panorama cuantificado de los vectores de ataque
Los informes públicos permiten jerarquizar las vulnerabilidades realmente explotadas. La tabla a continuación sintetiza las tres vulnerabilidades web más frecuentes en los incidentes que afectan a las pequeñas y medianas empresas, cruzando los datos disponibles.
| Tipo de vulnerabilidad | Vector común | Consecuencia típica | Nivel de corrección |
|---|---|---|---|
| CMS y componentes de terceros no parcheados | Plugin de WordPress obsoleto, biblioteca de JavaScript vulnerable | Inyección de código, redirección a sitio malicioso | Actualización regular (gratuita) |
| Portal de acceso expuesto sin MFA | Interfaz de administración accesible, VPN sin doble autenticación | Compromiso de cuenta, movimiento lateral | Activación de MFA (bajo costo) |
| Comunicaciones no cifradas | Formularios en HTTP, transferencias de datos en claro | Intercepción de datos de clientes, robo de credenciales | Certificado TLS (a menudo gratuito) |
Lo que se destaca de esta comparación: las vulnerabilidades más explotadas son también las menos costosas de corregir. La discrepancia entre la simplicidad de los parches y la gravedad de las consecuencias explica por qué los atacantes continúan apuntando a las PME.
Un análisis detallado de la protección web de las PME según Viruslab confirma que estas tres categorías concentran la abrumadora mayoría de los incidentes observados en los sitios profesionales de pequeña escala.
CMS no actualizados: la vulnerabilidad web que las PME corrigen demasiado tarde
El catálogo CISA KEV, que recopila las vulnerabilidades activamente explotadas en condiciones reales, incluye regularmente fallas relacionadas con CMS o sus extensiones. Un plugin de WordPress abandonado por su desarrollador, una versión de Joomla que no ha recibido un parche en varios meses: estas situaciones crean puertas de entrada permanentes.
El problema no se limita al CMS en sí. Las bibliotecas de JavaScript integradas en los temas o los módulos de terceros acumulan vulnerabilidades que pasan desapercibidas. Una PME que gestiona su sitio sin un proveedor técnico dedicado generalmente no supervisa estas dependencias.
Priorizar los parches según el riesgo real
No todas las actualizaciones son iguales. Los parches relacionados con vulnerabilidades ya explotadas en condiciones reales son prioritarios sobre las actualizaciones de confort o de interfaz. Las listas de vulnerabilidades activamente explotadas, como la mantenida por la CISA, permiten clasificar.
- Verificar cada semana si las extensiones instaladas figuran en las alertas de seguridad publicadas por el editor del CMS
- Eliminar cualquier plugin inactivo o no mantenido durante más de seis meses, incluso si parece funcional
- Automatizar las actualizaciones menores de seguridad para reducir el tiempo entre la publicación del parche y su aplicación
Esta disciplina de actualización representa la primera línea de defensa. No requiere inversión en software ni habilidades avanzadas, sino una regularidad que muchas PME aún no han integrado en su rutina.
Portales de administración expuestos: acceso VPN e interfaces sin doble autenticación
Un panel de administración de WordPress accesible desde cualquier dirección IP, un VPN empresarial protegido por una simple contraseña: estas configuraciones siguen siendo frecuentes. La ausencia de MFA en los accesos remotos es el primer factor de compromiso de cuenta en las empresas de menos de 250 empleados.
Los atacantes no necesitan técnicas sofisticadas. El credential stuffing (reutilización de credenciales robadas en otros servicios) es suficiente cuando no se activa ningún segundo factor de autenticación. Un colaborador que utiliza la misma contraseña para su correo personal y la interfaz de administración del sitio expone toda la infraestructura.
Reducir la superficie de ataque de los accesos remotos
Restringir el acceso al panel de administración por dirección IP, cuando sea posible, elimina la mayoría de los intentos automatizados. Para los VPN, la activación de MFA divide el riesgo de compromiso de manera significativa.
Sin embargo, la simple implementación de MFA no cubre todo. Una cuenta de administrador olvidada, creada durante la instalación inicial y nunca eliminada, sigue siendo un objetivo. Auditar la lista de cuentas con privilegios al menos una vez por trimestre es parte de las acciones que no cuestan nada y reducen el perímetro explotable.
Directiva NIS 2 y obligaciones de ciberseguridad para las PME subcontratistas
La transposición de la directiva NIS 2 en derecho francés modifica el marco regulatorio para muchas PME, incluidas aquellas que no se consideran como objetivos directos. El efecto cascada de NIS 2 afecta a los subcontratistas y proveedores de las entidades reguladas, que deberán demostrar un nivel de seguridad mínimo.
Para una PME subcontratista de un operador clasificado como “entidad importante”, esto significa concretamente que las tres vulnerabilidades descritas anteriormente (CMS no parcheado, acceso sin MFA, comunicaciones no cifradas) podrían convertirse en motivos de no conformidad contractual. El riesgo ya no es solo técnico: se convierte en jurídico y comercial.
Notificaciones de incidentes y responsabilidad de los directivos
NIS 2 introduce plazos de notificación en caso de incidente significativo. Los directivos de las entidades afectadas tienen una responsabilidad directa sobre la conformidad. Para las PME, esta obligación transforma la ciberseguridad de un tema técnico delegado a la informática en un tema de gobernanza.
- Cartografiar los contratos con los clientes sujetos a NIS 2 para anticipar los requisitos de seguridad que repercutirán
- Documentar las medidas de protección en marcha (actualizaciones, MFA, cifrado) para poder responder a una auditoría del cliente
- Prever un procedimiento interno de notificación de incidentes, incluso simplificado, para cumplir con los plazos regulatorios
La creciente proporción de TPE y PME entre las víctimas de ransomware y la entrada en vigor progresiva de NIS 2 convergen hacia la misma conclusión. Las tres vulnerabilidades más explotadas son conocidas, documentadas y corregibles a bajo costo. Lo que más falta a menudo no es el presupuesto, sino la regularidad en la aplicación de los parches y la consideración del tema a nivel directivo.
