Las vacaciones no son solo un momento de desconexión para los trabajadores, también lo son, cada vez más, para los equipos de ciberseguridad. Y los ciberdelincuentes lo saben. Por eso, desde Zerod, el primer marketplace de ethical hackers, su CEO, Víctor Ronco, señala que “en verano se reduce la vigilancia, se delegan funciones críticas y aumentan los accesos en remoto desde dispositivos no securizados. Eso genera el escenario perfecto para un ataque”.

Una Pymeparalizada en 48 horas

Ejemplo de lo que puede ocurrir durante el periodo vacacional fue el ciberataque que le sufrió en agosto de 2024 a una empresa de 38 empleados con sede en Sevilla. En el escenario, el responsable de IT se encontraba de vacaciones y las tareas críticas habían sido delegadas a un sustituto con permisos elevados, pero sin formación específica en ciberseguridad.

Aprovechando esta brecha humana, los atacantes lanzaron una campaña de phishing cuidadosamente diseñada que logró comprometer las credenciales del empleado a través de una conexión VPN sin doble factor de autenticación. En menos de 48 horas, los ciberdelincuentes obtuvieron acceso al servidor de archivos compartidos de la empresa, desplegaron un ransomware que cifró tanto la información operativa como la administrativa y exigieron un rescate de 4,2 bitcoins (aproximadamente 223.000 euros).

Las consecuencias de este ciberataque fueron claras y contundentes. La empresa quedó completamente inactiva durante cinco días laborables, lo que se tradujo en pérdidas operativas estimadas en 95.000 euros. Además, sufrió daños reputacionales que derivaron en la cancelación de tres contratos valorados en conjunto en 180.000 euros. A estos costes se sumaron otros 42.000 euros en gastos asociados a peritaje, recuperación de sistemas, notificación a clientes y refuerzo de medidas de seguridad.

“Este caso refleja algunas de las situaciones reales que vemos en el periodo estival. Los ataques no descansan, y cada año son más sofisticados”, afirma Víctor Ronco, CEO de Zerod.

Cifras alarmantes en el tejido empresarial Español

Las cifras que afectan al tejido empresarial español son preocupantes. Zerod recuerda que el 99,8% de las empresas en España son pymes, y, según el Informe Anual del CCN-CERT de 2024, el 56% de los ciberataques dirigidos a compañías en el país tienen como objetivo a este tipo de organizaciones. Esta realidad las convierte en uno de los principales blancos de los ciberdelincuentes, especialmente durante los periodos vacacionales.

A estos datos se suman los resultados de un reciente estudio realizado por INCIBE, que revela dos grandes debilidades en la preparación de las pequeñas y medianas empresas frente a las amenazas digitales. Por un lado, solo el 38% de las pymes cuenta con un protocolo de respuesta ante ciberincidentes. Por otro, entre las compañías que fueron atacadas durante el verano, el 62% tardó más de tres días en detectar la intrusión, lo que amplifica significativamente el impacto del ataque.

“El impacto de un ataque no solo es económico: también puede ser legal si hay pérdida de datos personales, lo que implica sanciones por parte de la AEPD”, advierte Víctor Ronco.

Por un verano ciberseguro

Ante esta situación, Zerod recomienda una serie de medidas preventivas esenciales para garantizar un verano ciberseguro. Entre ellas se incluyen realizar una prueba de penetración o “pentesting” preventivo antes del periodo vacacional para identificar vulnerabilidades críticas, además de activar el doble factor de autenticación en todos los accesos remotos, y limitar los permisos de los usuarios temporales o sustitutos.

También aconsejan ejecutar auditorías de seguridad específicas sobre los sistemas que quedarán bajo supervisión reducida, realizar copias de seguridad desconectadas de la red o en entornos altamente protegidos, así como simular ataques reales mediante ejercicios de “red team” para evaluar la capacidad de respuesta del personal que permanece y reforzar los protocolos de detección temprana.

«La ciberseguridad no puede depender de quién está o no en la oficina. Por eso es fundamental conocer todas las vulnerabilidades antes de que lleguen las vacaciones, no después del ataque», sostiene el CEO de Zerod.