Categoría: Ciberseguridad

El 14 de octubre de 2026, nginx publicó la versión 1.31.7 y, con ella, cinco avisos de seguridad de golpe. Al día siguiente, los titulares hablaban de vulnerabilidades críticas y de explotación activa.

Si llevas una empresa y has leído alguno de esos titulares, probablemente te hiciste una pregunta muy razonable: ¿y esto me afecta a mí?

La respuesta honesta es: puede que no. Y si te afecta, puede que no sea urgente. Pero para saberlo hay que entender dos cosas que ningún titular cuenta.

Este artículo no va a repetir lo que ya puedes leer en diez sitios. Va a responder lo que de verdad necesitas: por qué esto te afecta aunque tú no toques servidores, y cómo saber en diez minutos si te toca a ti.

---

Qué es nginx y por qué te afecta aunque no sepas que lo tienes

nginx es el programa que atiende las peticiones que llegan de internet a tu web. Cuando alguien escribe tu dominio en el navegador, lo primero que responde no es tu web: es nginx.

Y aquí está lo que más cuesta de entender, igual que pasaba con PHP2Shell: el fallo no está en tu web, está en la pieza que la sirve.

Esa distinción tiene una consecuencia muy concreta:

• No lo arregla ningún plugin de seguridad.
• No lo arregla tener la web actualizada.
• No importa lo bien hecha que esté.

El atacante no necesita llegar a tu web. Le basta con llamar a la puerta.

Y lo tienes aunque no lo sepas. Si tu web está en un hosting, hay un nginx delante. Si tienes un servidor propio, casi seguro que lo lleva nginx. Si usas un panel de control, lo instaló él por ti hace años.

Un detalle que dice mucho

De los cinco fallos, uno arrastra desde la versión 0.1.29.

Eso es nginx del año 2008.

No es un fallo nuevo: es un fallo viejo que alguien ha encontrado ahora, y que lleva dieciocho años en el código que sirve buena parte de internet. Lo cuento porque explica algo importante — que una pieza lleve años funcionando sin problemas no significa que esté revisada.

---

El matiz que no cabe en un titular

Aquí está lo que de verdad necesitas saber, y lo que casi nadie dice:

Tener una versión vulnerable no significa estar expuesto.

Los cinco fallos no afectan a todo nginx. Afectan a funciones concretas: una forma determinada de servir carpetas, una opción de rendimiento, una versión nueva del protocolo. Si tu servidor no usa ninguna de ellas, el riesgo real para ti es muy distinto del que sugiere el titular.

Esto funciona en las dos direcciones, y por eso importa:

• Puedes estar tranquilo aunque tu versión salga en la lista, si no usas esas funciones.
• Puedes estar en riesgo serio con un fallo etiquetado como «medio», si lo usas en producción y está expuesto a internet.

La pregunta útil, entonces, no es «¿qué nota tiene este CVE?». Es:

¿Uso yo esa función, y está expuesta?

Y esa no la responde ninguna lista de vulnerabilidades. La responde alguien que conozca tu instalación.

---

Por qué nginx dice «media» y los periódicos dicen «crítica»

Si buscas estos CVE te vas a encontrar con una contradicción desconcertante, y conviene entenderla porque lleva a decisiones malas en las dos direcciones.

nginx clasifica los cinco como gravedad media. Está escrito en su página oficial de avisos.

Varios medios los han titulado como críticos y hablan de explotación activa: BleepingComputer y SecurityWeek. INCIBE también publicó aviso.

¿Quién tiene razón? Los dos. Y la explicación es sencilla:

Una puntuación de gravedad mide el fallo en abstracto. No sabe si tú usas alias, si tienes HTTP/3 o si tu nginx está detrás de un balanceador que filtra la mitad de las peticiones.

Hay otra razón, más prosaica: F5 vende productos comerciales basados en nginx (NGINX Plus, NGINX App Protect) y sus avisos y los del nginx libre no siempre cubren lo mismo ni se puntúan igual. Buena parte de la confusión viene de mezclar unos con otros.

👉 La gravedad publicada sirve para priorizar, no para decidir. Lo que decide es: ¿uso yo esa función y está expuesta a internet?

---

Cómo saber si te afecta, en diez minutos

Ahora sí, la parte práctica. Va de menos a más técnica: empieza por la primera que puedas hacer y para cuando tengas la respuesta.

Si tu web está en un hosting compartido

No lo gestionas tú — nginx lo lleva tu proveedor y no puedes actualizarlo. Ve directo al apartado «Qué preguntarle a tu proveedor», que es tu vía.

Desde fuera, sin tocar nada

Desde cualquier ordenador con terminal:

curl -sI https://tudominio.com | grep -i server

Si responde Server: nginx/1.30.2, ya tienes la versión. Y de paso un problema añadido: estás anunciando al mundo cuál usas. Eso se quita.

Si responde solo Server: nginx sin número, alguien tuvo el buen criterio de ocultarlo. Y si no aparece nginx por ningún lado, puede que estés detrás de Cloudflare: el nginx sigue ahí, solo que no se ve desde fuera.

Si tienes servidor propio o VPS

nginx -v

Responde algo así:

nginx version: nginx/1.30.2

Y compara con esto:

Rama	Versión segura
Mainline	1.31.7 o superior
Stable	1.30.6 o superior

💡 ¿Mainline o stable? nginx mantiene dos ramas a la vez: la mainline (1.31.x) lleva las novedades, la stable (1.30.x) solo correcciones. Las dos reciben los parches. No pasa nada por estar en la stable — lo que pasa es estar por debajo de la corregida.

⚠️ Ojo: nginx -v (minúscula) da la versión. nginx -V (mayúscula) da además con qué módulos se compiló, que hace falta para el siguiente paso.

⚠️ Y si instalaste nginx desde los repositorios de tu distribución y no desde los de nginx, el número puede no coincidir con los de aquí: las distribuciones aplican los parches sin cambiar el número. En ese caso manda el changelog de tu paquete.

Y lo que de verdad decide: ¿usas alguna función afectada?

Esto es lo que separa «tengo que actualizar hoy» de «actualizo cuando toque». Un comando por fallo:

Fallo	Qué afecta	Compruébalo con
CVE-2026-15176	alias con rewrite (desde 2008)	grep -rn "alias" /etc/nginx/
CVE-2026-97205	AIO (hay que activarlo a propósito)	grep -rn "aio" /etc/nginx/
CVE-2026-95101	HTTP/3 (muchos no lo tienen)	nginx -V 2>&1 | grep http_v3
CVE-2026-97629	tickets TLS	grep -rn "ssl_session_tickets" /etc/nginx/
CVE-2026-93479	evaluación de scripts (desde 1.30.0)	—

🔑 Dos avisos sobre esa tabla:

• La directiva alias es muy común en configuraciones hechas a mano para servir /static/, /uploads/ o documentación. Si tienes nginx configurado por alguien, es probable que esté.
• Los tickets de sesión TLS vienen activados por defecto: si el grep no devuelve nada, es que los tienes. Lo que permite el fallo es que alguien reutilice una sesión cifrada que no le pertenece — en una web con usuarios identificados, eso importa.

Si no te manejas con la terminal

No pasa nada: salta al apartado siguiente y pregúntaselo a quien te lleva el servidor. Esa conversación te va a dar más información que cualquier comando.

---

Qué hacer si no puedes actualizar ahora

Actualizar nginx suele ser sencillo, pero no siempre se puede: una configuración delicada, un módulo compilado a medida, una ventana de parada que no cabe esta semana.

Tres de los cinco fallos se pueden evitar sin actualizar, si no necesitas esa función:

Fallo	Mitigación	Coste
AIO	quitar aio on;	Ninguno si no lo usabas
HTTP/3	desactivar quic/http3	Los clientes caen a HTTP/2. Imperceptible
Tickets TLS	ssl_session_tickets off;	Reconexiones algo más lentas

⚠️ Con honestidad: esto no son arreglos, son parches. Los fallos de alias y de evaluación de scripts no tienen mitigación limpia. Si los usas, la única solución real es actualizar.

Y una advertencia práctica: revisa tu configuración antes de tocar nada. Desactivar algo que sí usabas deja el servicio roto, y eso es peor que el CVE.

Cómo actualizar, según cómo lo instalaste

# Debian / Ubuntu con el repositorio oficial de nginx
sudo apt update && sudo apt install --only-upgrade nginx

# RHEL / Rocky / Alma
sudo dnf update nginx

# Comprobar la configuración ANTES de recargar
sudo nginx -t

# Recargar sin cortar las conexiones en curso
sudo systemctl reload nginx

🔑 nginx -t antes de recargar, siempre. Es un segundo y es la diferencia entre una recarga limpia y una web caída.

⚠️ Si instalaste nginx desde los repositorios de tu distribución y no desde los de nginx, es posible que el número de versión no coincida con los de este artículo: las distribuciones aplican los parches sin cambiar el número. En ese caso lo que manda es el changelog de tu paquete, no el número.

---

Qué preguntarle a tu proveedor

Si no gestionas tú el servidor, esta es la vía corta. Copia y pega:

Buenas. El 14 de octubre nginx publicó cinco avisos de seguridad, corregidos en las versiones 1.31.7 y 1.30.6. ¿Podéis confirmarme qué versión tenemos y si está ya actualizada? Y si usamos alguna de estas: alias, HTTP/3, AIO o tickets de sesión TLS. Si no está actualizada, ¿cuándo está previsto?

La respuesta te dice más que la versión. Si te contestan en un día con números concretos, tienes un buen proveedor. Si te responden «está todo correcto» sin concretar, ya sabes dónde estás.

---

Esto no vino solo

nginx fue el primero, pero no el único. El 21 de octubre, una semana después, se parchearon también PHP y Node.js — los otros dos pilares sobre los que funciona cualquier web. Tres avisos en ocho días.

Si tu web funciona con PHP —WordPress, WooCommerce, PrestaShop, Moodle—, el que te toca de verdad es el otro: PHP2Shell: cómo saber si tu web está afectada, con dos fallos que puntúan 9,2 sobre 10.

Y si tienes una aplicación hecha con Node —un panel de clientes, una API, algo a medida—, su actualización del 21 de octubre corrige diez vulnerabilidades, cuatro de ellas graves. Lo contamos aparte.

---

Lo que hacemos en MagicBoxDesk

Comprobar una versión de nginx son dos minutos. El problema no es ese: es que nadie los dedique, mes tras mes, a las diez o veinte piezas que tiene tu infraestructura.

• Mantenimiento web — tus versiones al día sin que tengas que estar pendiente
• Ciberseguridad — revisión de lo que tienes expuesto a internet
• SOC gestionado 24/7 — alguien mirando cuando tú no estás

Si solo quieres saber si te afecta, escríbenos. Mirar una versión es media hora y no te cuesta nada.

📍 Alicante y Barcelona · magicboxdesk.com

---

Fuentes

• nginx — Security advisories
• nginx — CHANGES (fecha de la 1.31.7)
• INCIBE-CERT — Múltiples vulnerabilidades en NGINX
• BleepingComputer
• SecurityWeek

---

El 20 de octubre de 2026, el equipo de seguridad de PHP hizo algo que no hace casi nunca: avisar con antelación de que al día siguiente iba a publicar una actualización crítica. Querían que los administradores de medio mundo estuvieran delante del teclado cuando saliera.

El 21 de octubre salieron las cuatro versiones corregidas y, con ellas, un aviso de seguridad cuyo título lo dice todo: «vulnerabilidades críticas de ejecución remota de código, actualice ya». Ese mismo día, INCIBE-CERT elevó su aviso a criticidad crítica y varias empresas de seguridad empezaron a reportar intentos de explotación reales.

El motivo son dos fallos que la comunidad ha bautizado como PHP2Shell: CVE-2026-109618 y CVE-2026-109619. Los dos puntúan 9,2 sobre 10 en la escala CVSS 4.0. Y los dos permiten lo peor que puede permitir un fallo: que alguien ejecute código en tu servidor sin usuario y sin contraseña.

Este artículo no va a repetir lo que ya puedes leer en diez sitios. Va a responder a las dos preguntas que de verdad se hace quien tiene una empresa: cómo sé si me afecta y qué hago si resulta que no puedo arreglarlo.

Qué es PHP2Shell y por qué te afecta aunque tu web «no haga nada raro»

PHP es el lenguaje en el que está hecha buena parte de la web. WordPress, WooCommerce, Moodle, PrestaShop, Nextcloud y miles de aplicaciones corporativas a medida funcionan sobre él.

Aquí está lo importante, y es lo que más cuesta de entender: el fallo no está en tu web, está en el motor que la ejecuta.

Esa distinción no es un matiz técnico, tiene una consecuencia muy concreta. PHP procesa la petición que llega de internet antes de que se ejecute una sola línea de tu aplicación. Eso significa que:

• No lo arregla ningún plugin de seguridad.
• No lo arregla el modo mantenimiento.
• No lo arregla tener la web actualizada ni un buen firewall de aplicación.
• No importa lo bien hecha que esté tu web.

El atacante no necesita llegar a tu web. Le basta con llamar a la puerta.

Los dos fallos son distintos por dentro: el CVE-2026-109618 se aprovecha de una corrupción de memoria cuando el proceso se queda sin ella, y el CVE-2026-109619 de un estado interno que queda sucio entre una petición y la siguiente. Uno de ellos, además, permite leer trozos de la memoria del servidor, que es donde viven las contraseñas de la base de datos y las sesiones de tus usuarios.

Afecta a todas las formas de servir PHP: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El propio equipo de PHP señala que el riesgo es mayor en Apache con mod_php, la configuración más habitual en hosting compartido y en servidores montados hace años.

Las versiones corregidas

Solo hay cuatro. Si tu PHP es anterior a la de su rama, estás expuesto:

Rama	Versión corregida	Anuncio oficial
PHP 8.5	8.5.12	php.net
PHP 8.4	8.4.27	php.net
PHP 8.3	8.3.36	php.net
PHP 8.2	8.2.35	php.net

Si usas PHP 8.1 o anterior, el problema es más gordo que este fallo concreto: esas ramas ya no reciben parches de seguridad de ningún tipo. Puedes comprobar qué ramas siguen soportadas en la página oficial de versiones de PHP.

Cómo saber si tu web está afectada

Solo necesitas un dato: la versión exacta de PHP que está corriendo. Es el mismo dato tanto si tienes la web en un hosting contratado, como en un servidor propio, como en un sistema montado a medida. Lo único que cambia es dónde se mira.

Y lo vas a comparar contra los cuatro números de la tabla de arriba: 8.2.35 · 8.3.36 · 8.4.27 · 8.5.12. Fíjate siempre en el tercero, que es el que confunde a todo el mundo: «tengo PHP 8.3» no dice nada; lo que hay que saber es si es 8.3.36 o algo menor.

1. En el panel de tu hosting

Casi todos los paneles (cPanel, Plesk, Hostinger, SiteGround, IONOS…) tienen una sección llamada «Versión de PHP» o «Selector de PHP». Ahí verás un número completo, del tipo 8.2.20 o 8.3.33. Ese es el que importa.

2. Míralo desde dentro de WordPress

Si tienes WordPress, entra en Herramientas → Salud del sitio → Información → Servidor. La «Versión de PHP» aparece ahí, completa.

3. Si tienes servidor propio

Si la web está en una máquina vuestra —física, virtual o en la nube—, se ve con una orden:

« php -v «

La primera línea devuelve la versión. ⚠️ Cuidado con un detalle que engaña: esa orden te dice la versión del PHP de la línea de comandos, que no siempre es la misma que usa la web. Si la web va con PHP-FPM, Apache con mod_php o similar, la que cuenta es la del servidor web. La forma segura de salir de dudas es mirar la página de información de PHP o preguntárselo a quien lo administre.

Y si el servicio corre en contenedores, ojo con algo importante: la versión de PHP viene dentro de la imagen. Puede que tu sistema operativo esté al día y el PHP siga siendo antiguo.

4. Si es un producto cerrado o un sistema a medida

Aplicaciones que se instalan como un paquete, appliances de fabricante, software antiguo que solo funciona con una versión concreta. Aquí el PHP no lo eliges tú: viene dentro. Normalmente la versión aparece en el panel de administración del propio producto, en un apartado tipo «Información del sistema» o «Estado».

Es el caso más incómodo de todos, y es del que trata el apartado «Qué hacer si no puedes actualizar PHP», más abajo.

5. Pídeselo a quien te lleva el servidor

Un correo de dos líneas:

¿Qué versión exacta de PHP está corriendo nuestra web, y está ya parcheada contra CVE-2026-109618 y CVE-2026-109619?

La respuesta debería ser un número concreto y una fecha. Si lo que recibes es «está todo correcto» o «nosotros nos encargamos de eso», no has recibido una respuesta. Insiste.

Señales de que alguien ya lo ha intentado

Si tienes acceso a los registros del servidor, estas cuatro cosas son compatibles con un intento de explotación:

• Peticiones multipart extrañas seguidas de errores de límite de memoria.
• Oleadas repentinas de errores HTTP 500.
• Cookies PHPSESSID anormalmente grandes.
• Procesos del servidor web reiniciándose sin explicación.

Ninguna de las cuatro prueba por sí sola que te hayan entrado. Todas juntas, y de golpe, merecen una revisión seria.

Lo que nos encontramos nosotros: dos servidores, dos finales distintos

El día del aviso revisamos nuestra propia infraestructura, servicio por servicio, midiendo la versión real de cada uno en lugar de fiarnos de lo que creíamos tener. Encontramos cuatro servicios en PHP y la foto fue muy desigual.

El primero, nuestra propia web. Corría una versión vieja y era vulnerable. Como el PHP viene de una imagen que reconstruimos nosotros, bastó con reconstruirla: entró la versión corregida, se verificó que el sitio seguía funcionando y se acabó. Diez minutos.

El segundo fue otra historia. Es una herramienta de uso diario, servida con Apache y mod_php, es decir, en la configuración de más riesgo. Su versión de PHP era vulnerable y no había forma de cambiarla: el fabricante congeló esa versión del producto en junio de 2024 y nunca volvió a empaquetarla con un PHP nuevo. No existe una versión corregida de lo que teníamos instalado.

La única salida real era subir el producto entero seis versiones mayores encadenadas, una detrás de otra, con sus migraciones de base de datos y sus complementos rompiéndose por el camino. Y hubo una trampa que merece la pena contar: subir solo un escalón no servía de nada, porque la siguiente versión seguía trayendo un PHP vulnerable. Para que entrara un PHP corregido había que llegar hasta la última. Eso no se ve hasta que lo compruebas.

Mientras tanto, lo cerramos a cal y canto: solo entra una dirección IP concreta. Funciona, pero es un parche, y lo sabemos.

Los otros dos servicios estaban parados. No escuchaban peticiones, así que no estaban expuestos. También conviene decirlo: uno de ellos llevaba una rama de PHP sin soporte desde hacía tiempo. Estaba a salvo por accidente, no por diseño.

Y una cosa más, porque es la que más nos sorprendió: el fallo del que hablaba la prensa esos días no era este. Había otro CVE de PHP circulando por los titulares que no nos afectaba en absoluto, porque solo aplicaba a servidores Windows con una configuración concreta. El que sí nos afectaba no salía en ningún sitio. Gestionar vulnerabilidades por titulares es una forma muy fiable de parchear lo que no toca.

Qué hacer si no puedes actualizar PHP

Esta es la parte que casi nadie cuenta, y es la situación en la que está mucha gente: sabes que tienes un PHP vulnerable y no puedes tocarlo, porque el PHP viene dentro de otra cosa.

Pasa más de lo que parece. Aplicaciones que se distribuyen como un paquete cerrado con su propio PHP dentro. Appliances y máquinas virtuales de fabricante. Software antiguo que solo funciona con una versión concreta. Hosting compartido donde la versión la decide el proveedor.

1. La única solución completa es actualizar

Hay que decirlo claro antes de hablar de parches: todo lo demás son medidas para ganar tiempo, no soluciones. Si puedes actualizar, actualiza y deja de leer aquí.

2. Si no puedes, aísla

Es la recomendación oficial, y es la correcta: un sistema vulnerable y expuesto a internet debe dejar de estar expuesto a internet hasta que puedas parchearlo.

En la práctica significa restringir el acceso a las direcciones IP que lo necesitan, meterlo detrás de una VPN, o las dos cosas. Es incómodo para quien lo usa y es exactamente lo que hicimos nosotros. Pero entre incómodo y comprometido, no hay debate.

Ahora, lo que casi nadie dice sobre aislar.

Aislar reduce la exposición. No arregla la vulnerabilidad. El fallo sigue ahí, intacto, esperando a que alguien le llegue; lo único que has hecho es quitar la cola de gente que podía intentarlo desde internet.

Y esa diferencia importa mucho más de lo que parece, porque los ataques no entran solo por la puerta de delante:

• Un portátil infectado con un correo, dentro de tu oficina, está dentro de tu red.
• Un proveedor con acceso a tu VPN está dentro.
• Un servidor tuyo ya comprometido es el trampolín perfecto para llegar al que has aislado.
• Y alguien de la propia casa, con o sin mala intención, está dentro por definición.

Es decir: has pasado de «cualquiera en internet podría intentarlo» a «solo quien ya esté dentro podría intentarlo». Es una mejora enorme, pero no es estar a salvo. Quien te diga que con aislar ya está resuelto, o no lo sabe o no te lo está contando.

Por eso conviene tener clara la diferencia entre los dos tipos de medida:

	Qué hace	Cuánto dura
Actualizar	Elimina la vulnerabilidad	Definitivo
Aislar	Reduce quién puede alcanzarla	Temporal. Sirve hasta que puedas actualizar
Ajustes de configuración	Estorban algunas formas de aprovecharla	Paliativo. Horas o días, con vigilancia

Un aislamiento no tiene fecha de caducidad escrita en ningún sitio, y ese es justo el peligro: lo normal es que se quede ahí años, porque «total, ya no se ve desde fuera». Si aíslas, apunta la fecha en la que vas a volver.

3. Las mitigaciones parciales, con honestidad

Circulan tres ajustes de configuración de PHP como mitigación temporal. Vale la pena entender qué hacen y qué riesgo traen:

• session.upload_progress.enabled=0 — desactiva una función de seguimiento de subidas que poca gente usa. Mitiga parcialmente uno de los dos fallos y el efecto secundario es mínimo. Es la más razonable de las tres, y de hecho es la única que el propio equipo de PHP recomendó expresamente en un aviso aparte, dos días después del parche.
• Reducir post_max_size — limita el tamaño de lo que se puede enviar al servidor. Reduce la superficie de ataque, pero si tu web admite subida de ficheros, los vas a romper.
• memory_limit=-1 — esta hay que explicarla, porque parece lo contrario de lo que debería ser. La idea es que uno de los fallos se dispara cuando el proceso se queda sin memoria; si se le quita el límite, no se queda sin ella. El problema es evidente: un servidor sin límite de memoria es un servidor que se puede tumbar entero con unas cuantas peticiones. Cambias un riesgo por otro, y solo tiene sentido en un entorno vigilado y durante unas horas.

Ninguna de las tres cierra el agujero. Sirven para aguantar hasta la ventana de mantenimiento, nada más.

4. Vigila mientras tanto

Si vas a convivir unos días con un sistema vulnerable, al menos entérate si pasa algo: revisa los registros buscando las señales de arriba y asegúrate de tener una copia de seguridad reciente y probada. Una copia que nunca has restaurado no es una copia.

La pregunta que deberías hacerle a tu proveedor

Si de todo esto te quedas con una sola cosa, que sea esta.

La diferencia entre nuestros dos servidores —diez minutos contra una migración de seis saltos— no la decidió el fallo de PHP. La decidió, dos años antes, cómo estaba empaquetado cada software y si quien había detrás seguía manteniéndolo.

Eso no se ve en una demo. No sale en la comparativa de funciones ni en el precio. Se ve el día que sale un fallo crítico y tienes que ir a mirar.

Así que la próxima vez que vayas a contratar una herramienta que sostenga algo importante de tu empresa, añade una pregunta a la lista:

Cuando salga un fallo crítico en una de las piezas que lleva esto dentro, ¿cuánto tardáis en sacar una versión corregida, y qué tengo que hacer yo para instalarla?

Si no saben contestar, ya tienes tu respuesta.

Y hazte la misma pregunta puertas adentro: de las aplicaciones que sostienen tu empresa, ¿cuáles podrías actualizar esta tarde y cuáles no? Esa lista, escrita, vale más que cualquier auditoría que te vendan.

La oferta de MagicBoxDesk: que esto no sea tu problema

Lo que hicimos ese día —revisar servicio por servicio, medir la versión real de cada uno, parchear lo que se podía y aislar lo que no— es, literalmente, el trabajo que hacemos para nuestros clientes todas las semanas.

En nuestro servicio de ciberseguridad gestionada eso incluye:

• Inventario real de qué versiones corren tus sistemas, medido y no supuesto.
• Vigilancia de vulnerabilidades que te afectan a ti, no de las que salen en los titulares.
• Parcheo gestionado, con ventana de mantenimiento y marcha atrás preparada.
• Mitigación y aislamiento cuando el parche no existe todavía — con fecha de revisión, no para siempre.
• Copias de seguridad con restauración probada, porque el plan B solo cuenta si se ha ensayado.

Trabajamos con pymes de 5 a 300 empleados en Alicante, Barcelona y en remoto para toda España. Precio cerrado y eliges cuánto delegas.

Y hay un caso más, que es el más común de todos y del que no se habla: que sepas perfectamente lo que hay que hacer y no tengas manos para hacerlo. Una semana como esta son horas que nadie tenía previstas, encima del trabajo de siempre. Ahí también entramos: no para sustituir a nadie, sino para absorber el pico y devolverte los sistemas al día.

Si al leer esto no sabes qué versión de PHP corre tu web —o lo sabes y no llegas—, hablemos 30 minutos. Sin compromiso, y de esa llamada sales sabiendo qué te toca.

Fuentes

Todo lo que se afirma aquí sale de estas fuentes. Si solo vas a abrir una, que sea la primera.

Oficiales

• Aviso de seguridad de PHP — «Critical remote code execution vulnerabilities, update now», 21/10/2026. La fuente primaria.
• Aviso previo del equipo de seguridad de PHP, 20/10/2026.
• Aviso informativo sobre session.upload_progress, 23/10/2026.
• ChangeLog de PHP 8 — el detalle de qué cambió en cada versión corregida.
• Versiones de PHP con soporte — para saber si tu rama sigue recibiendo parches.

Instituciones

• INCIBE-CERT — Múltiples vulnerabilidades en PHP, actualizado el 21/10/2026 y elevado a criticidad crítica. Es la referencia española.

Las fichas de las vulnerabilidades

• CVE-2026-109618 — ejecución remota por corrupción de memoria.
• CVE-2026-109619 — ejecución remota por estado global sin limpiar.

Análisis técnico y seguimiento de la explotación

• Tenable — preguntas frecuentes sobre PHP2Shell
• Arctic Wolf — análisis de las dos vulnerabilidades
• Hispasec / Una al día — cobertura en español, con los primeros intentos de explotación

El ataque que tumba a una pyme casi nunca llega a las nueve de la mañana de un martes. Llega un sábado por la noche, un puente, las vacaciones de agosto: justo cuando nadie mira la pantalla. Y cuando el lunes alguien enciende el ordenador, el ransomware ya lleva 48 horas dentro cifrando servidores. La pregunta no es si tu antivirus es bueno, sino quién vigila tu empresa cuando tu equipo duerme.

La buena noticia: montar un equipo de seguridad que vigile 24/7 es carísimo e inviable para la mayoría de pymes, pero contratarlo como servicio sí está a tu alcance. Eso es la ciberseguridad gestionada, y en este artículo te explicamos qué es, qué gana tu empresa y cómo distinguir un servicio serio de uno que solo te vende una caja con luces.

Por qué el antivirus ya no basta

El antivirus tradicional funciona comparando ficheros con una lista de amenazas ya conocidas. Sirve para el malware de siempre, pero los ataques que de verdad hacen daño ya no se parecen a un virus. El atacante entra con una contraseña robada por phishing, se mueve por la red como un usuario legítimo, desactiva las defensas y va tomando posiciones durante días. Para el antivirus, nada de eso es «un fichero malo»: son sesiones válidas, herramientas del propio sistema, tráfico que parece normal.

A esto se suma un detalle incómodo: los atacantes eligen tu peor momento. Saben que las pymes no tienen a nadie de guardia por la noche ni en fin de semana, así que atacan precisamente entonces. Un antivirus puede detectar algo y lanzar una alerta, pero si esa alerta salta un domingo a las tres de la madrugada y no hay nadie que la lea, es como una alarma sonando en una casa vacía. El aviso existe; la respuesta, no.

El problema, entonces, ya no es detectar, sino detectar, entender y responder a tiempo, cualquier día y a cualquier hora. Y eso una herramienta sola no lo hace: hace falta tecnología moderna más gente vigilando. Ahí es donde entra la ciberseguridad gestionada.

Qué es la ciberseguridad gestionada, sin siglas vacías

Un servicio de ciberseguridad gestionada tiene tres patas. Te las explicamos en cristiano, porque las siglas por sí solas no protegen a nadie.

EDR / XDR: el vigilante en cada equipo. El EDR (detección y respuesta en el endpoint) es la evolución del antivirus. En lugar de limitarse a buscar ficheros conocidos, observa el comportamiento de cada ordenador y servidor: qué procesos se lanzan, qué conexiones se abren, qué intenta tocar el registro. Cuando algo se comporta como un ataque —aunque sea nuevo y no esté en ninguna lista— lo detecta y puede aislar el equipo al instante. El XDR es lo mismo pero cruzando información de varias fuentes (equipos, correo, red, nube) para ver el ataque completo, no piezas sueltas.

SOC: los ojos humanos, 24/7. Un SOC (centro de operaciones de seguridad) es el equipo de personas que vigila esas alertas de forma continua, de día y de noche. Un EDR genera muchas señales, y la mayoría son ruido; hace falta criterio para saber cuál es un falso positivo y cuál es el principio de un incidente serio. El SOC es quien mira, investiga y decide. Es la diferencia entre tener una cámara de seguridad y tener a alguien mirando las cámaras.

Respuesta ante incidentes: apagar el fuego, no solo avisar. Detectar sin actuar no sirve de nada. Un buen servicio no te manda un email diciendo «creemos que tienes un problema»: actúa. Aísla el equipo comprometido, corta la propagación, bloquea la cuenta robada y te guía en la recuperación. Todo eso en minutos, no cuando alguien de tu oficina se dé cuenta el lunes.

Un EDR sin nadie que lo vigile es una alarma que suena en una casa vacía. La seguridad gestionada pone a alguien delante de la pantalla, siempre.

Externalizarlo frente a montarlo en casa

Hagamos la cuenta sin adornos. Para tener vigilancia 24/7 propia necesitas cubrir tres turnos, los siete días de la semana, festivos incluidos. Eso no es «contratar a un informático de seguridad»: son varias personas con perfil especializado, formación continua, herramientas de licencia cara y procedimientos probados. Para una pyme, el coste y la dificultad de encontrar y retener ese talento lo convierten en algo sencillamente inviable.

Un profesional en plantilla, además, duerme, se pone enfermo y se va de vacaciones. La seguridad no. Un solo par de ojos no cubre 24 horas ni acumula la experiencia de ver ataques a diario en muchos entornos distintos. Un SOC como servicio sí: reparte la vigilancia entre un equipo que ya ha visto el ataque que a ti te toca por primera vez.

Al externalizar tu IT de seguridad conviertes un problema imposible de plantilla en una cuota mensual predecible, y ganas esto:

• Vigilancia continua real, de noche, en festivos y en agosto, sin depender de que alguien de tu equipo esté disponible.
• Expertos que ven ataques a diario en muchos entornos, con criterio para separar el ruido de la amenaza de verdad.
• Respuesta rápida y guiada: se aísla y se contiene el incidente en minutos, no cuando ya es tarde.
• Coste predecible: una cuota mensual en lugar de la inversión y el riesgo de montar y mantener un equipo propio.
• Cero rotación de talento: el servicio no se va de tu empresa ni se lleva el conocimiento con él.

Cómo elegir un buen servicio gestionado

No todos los servicios que se venden como «ciberseguridad gestionada» son lo mismo. Algunos son solo una licencia de EDR con un panel bonito y ningún humano detrás. Para no comprar humo, pregunta esto antes de firmar:

• ¿Hay vigilancia humana 24/7 de verdad? Que te confirmen que hay personas mirando, no solo un software que envía correos automáticos.
• ¿Cuál es el tiempo de respuesta ante un incidente? Debe estar comprometido por escrito, no ser una promesa vaga.
• ¿Solo avisan o también actúan? Un buen servicio contiene el ataque (aísla equipos, bloquea cuentas), no se limita a notificarte el desastre.
• ¿Qué incluye exactamente la cuota? Equipos cubiertos, correo, servidores, informes… que no haya sorpresas ni extras a mitad del contrato.
• ¿Recibes informes que entiendas? Necesitas saber qué está pasando en tu empresa en lenguaje claro, no un volcado técnico ilegible.
• ¿Hablas con alguien cuando lo necesitas? Un interlocutor cercano vale más que un portal de tickets impersonal.

Si un proveedor esquiva estas preguntas, ya tienes tu respuesta. La ciberseguridad bien hecha se nota en los detalles, y el más importante es que haya gente responsable detrás de la tecnología.

La oferta de MagicBoxDesk: ciberseguridad gestionada 24/7

En MagicBoxDesk montamos y operamos la seguridad de tu empresa como servicio gestionado continuo, sin que tú tengas que crear ni mantener un equipo propio. Desplegamos EDR en tus equipos, lo vigilamos de forma permanente y respondemos cuando algo va mal. Tú te dedicas a tu negocio; nosotros nos quedamos mirando la pantalla. Se contrata con una cuota mensual por equipo, sin sorpresas, y es un servicio que crece contigo a medida que sumas puestos.

Esto es lo que incluye contratar la ciberseguridad gestionada con MagicBoxDesk:

• EDR gestionado en cada equipo y servidor: detección por comportamiento, no solo por firmas conocidas.
• Monitorización 24/7, integrada con nuestro servicio de monitorización continua, con vigilancia real todos los días del año.
• Respuesta ante incidentes: aislamos el equipo comprometido, contenemos la propagación y te guiamos en la recuperación.
• Informes claros y periódicos sobre el estado de tu seguridad, en lenguaje que tu dirección entiende.
• Cuota mensual por equipo, predecible y sin inversión inicial en montar un SOC propio.
• Un interlocutor de verdad: soporte cercano en toda España, remoto y presencial cuando hace falta.

La ciberseguridad gestionada encaja con el resto de nuestros servicios de ciberseguridad y de externalización IT: puedes empezar por la vigilancia y ampliar a copias de seguridad, cumplimiento normativo o puesto de trabajo gestionado cuando lo necesites.

Deja de vigilar tú y duerme tranquilo

Un incidente de seguridad no avisa, y recuperarse de un ransomware cuesta mucho más —en dinero, en tiempo y en reputación— que haberlo prevenido. Poner a un equipo de expertos a vigilar tu empresa las 24 horas ya no es un lujo de grandes corporaciones: es un servicio que tu pyme puede contratar hoy mismo por una cuota mensual asumible.

En MagicBoxDesk nos encargamos de la seguridad para que tú te ocupes de tu negocio. Pide presupuesto sin compromiso y te decimos exactamente qué necesita tu empresa, cuántos equipos cubrir y cuánto cuesta. Sin humo y sin letra pequeña.

Si crees que tu empresa es demasiado pequeña para que le importe a un grupo de ransomware, ese es exactamente el motivo por el que eres un objetivo. Los atacantes ya no eligen a mano a sus víctimas: escanean internet, prueban credenciales robadas y entran donde la puerta cede. Y las pymes son la puerta que menos se resiste.

El patrón es siempre el mismo: entran por un correo o una contraseña, se mueven por la red sin que nadie los vea, cifran tus datos y también tus copias de seguridad, y encima se llevan una copia para amenazarte con publicarla si no pagas. Doble extorsión. La buena noticia: un ataque de ransomware se para con medidas concretas y comprobadas. Aquí tienes cuáles y qué hacer si ya lo tienes encima.

Por qué las pymes son el objetivo preferido

El ransomware dejó de ser un ataque dirigido a grandes corporaciones hace años. Hoy es un negocio industrializado que funciona por volumen, y la pyme reúne el combo perfecto: datos valiosos, defensas modestas y prisa por volver a facturar. El atacante sabe que una empresa de 20 o 50 personas rara vez tiene equipo de seguridad, que sus copias suelen estar en la misma red y que, con el negocio parado, cada hora duele lo suficiente como para plantearse pagar.

Se suma la cadena de suministro. Muchas pymes son proveedoras de empresas más grandes, y comprometer a la pequeña es la vía cómoda para llegar a la grande. Tu acceso a los sistemas de un cliente o tus credenciales compartidas te convierten en un trampolín, no solo en una víctima final.

Y luego está el enemigo interno: el «a mí no me va a pasar». Esa frase justifica el antivirus caducado, las contraseñas de 2019 y las copias que nadie ha probado restaurar nunca. El ransomware no castiga la mala suerte; castiga la falta de preparación. La diferencia entre un susto y un cierre de dos semanas se decide antes del ataque, no durante.

Cómo entra el ransomware de verdad

Olvídate del hacker genial rompiendo cifrados imposibles. La realidad es más aburrida y por eso más peligrosa: casi siempre entran por la puerta principal usando la llave correcta. Estas son las vías reales, por orden de frecuencia.

• Phishing por correo. Un mensaje que parece legítimo —una factura, un aviso de mensajería, un supuesto compañero— con un adjunto o un enlace. Un clic y ya hay un pie dentro. Sigue siendo la vía número uno.
• Credenciales robadas o débiles. Contraseñas filtradas en brechas anteriores, reutilizadas entre servicios o tan simples que se adivinan a fuerza bruta. Con un usuario y una contraseña válidos, el atacante no «hackea»: simplemente inicia sesión.
• RDP y VPN expuestos a internet. El escritorio remoto o el acceso VPN abiertos sin protección extra son un imán. Los atacantes barren internet buscando estos puertos las 24 horas.
• Software sin parchear. Servidores, firewalls o aplicaciones con vulnerabilidades conocidas y públicas que nadie actualizó. El exploit ya está escrito; solo hace falta encontrar el sistema olvidado.

Una vez dentro, el ataque no cifra al instante. El atacante se mueve lateralmente durante horas o días, busca las cuentas de administrador y, sobre todo, localiza tus copias de seguridad para inutilizarlas antes de dar el golpe. Cuando por fin lanza el cifrado, ya es tarde. La defensa se juega en detectar ese movimiento silencioso, no el cifrado final.

Las defensas que sí paran un ataque

No hay bala de plata, pero sí un conjunto de medidas que, combinadas, convierten a tu empresa en un objetivo demasiado caro para el atacante. Estas son las que de verdad marcan la diferencia:

• EDR en cada equipo. Un antivirus detecta lo conocido; un EDR detecta el comportamiento sospechoso —movimiento lateral, cifrado masivo— y lo corta en tiempo real. Es ver el ataque en vez de enterarte cuando ya no arranca nada.
• Copias inmutables y aisladas. Si tu copia está en la misma red y accesible, el ransomware la cifra con todo lo demás. Necesitas copias inmutables (que no se pueden modificar ni borrar) y una fuera de tu entorno. Es tu último cartucho cuando todo lo demás ha fallado.
• MFA en todos los accesos. Doble factor en correo, VPN, acceso remoto y aplicaciones críticas. Una contraseña robada deja de servir si hace falta un segundo factor. Es la medida que más ataques frena con menos esfuerzo.
• Parches al día. Un proceso real de actualización de sistemas operativos, servidores y aplicaciones. Cerrar las vulnerabilidades conocidas antes de que las usen contra ti no es opcional, es higiene básica.
• Segmentación de red. Que un equipo infectado no pueda alcanzar toda la empresa. Separar redes y aplicar mínimo privilegio contiene el incendio en una habitación en vez de dejar que arrase el edificio.
• Formación del equipo. Tu gente es el primer firewall. Un equipo que reconoce un phishing y sabe a quién avisar frena el ataque más rápido que cualquier tecnología. Formación breve, práctica y repetida.
• Plan de respuesta a incidentes. Saber de antemano quién aísla, quién decide, a quién se llama y cómo se restaura. Improvisar durante el ataque cuesta días; tener el plan ensayado cuesta horas.

Una copia de seguridad que no has probado restaurar no es una copia de seguridad: es una suposición. Y las suposiciones no aguantan un ransomware.

La clave no está en tener una de estas medidas, sino en tenerlas todas funcionando a la vez y supervisadas. Aquí es donde la ciberseguridad gestionada separa a las empresas que sobreviven de las que no.

Qué hacer en la primera hora si te pasa

Si ves ficheros con extensiones raras, notas de rescate o equipos que se caen en cadena, ya está pasando. La primera hora decide el tamaño del desastre. Actúa así:

• Aísla, no apagues. Desconecta los equipos afectados de la red —cable, wifi, VPN— para frenar la propagación, pero evita apagarlos en frío: puedes perder evidencias y datos útiles para la recuperación.
• No pagues a ciegas. Pagar no garantiza recuperar los datos, te marca como quien paga y financia el siguiente ataque. Antes de decidir nada, evalúa el alcance real y tus opciones de restauración con quien sepa.
• Activa el plan de respuesta. Convoca a quien decide, avisa a tu proveedor de seguridad y documenta qué ha pasado. Un ataque en curso no es el momento de decidir quién hace qué; es el momento de ejecutar lo que ya estaba decidido.
• Restaura desde una copia limpia. Antes de recuperar, asegúrate de que la copia no está comprometida y de que has cerrado la vía de entrada. Restaurar sobre un sistema aún infectado reinicia la pesadilla.
• Cumple con la normativa. Según qué datos se hayan visto afectados, puede haber obligación de notificar la brecha. Tenlo previsto para no sumar una sanción al desastre.

La oferta de MagicBoxDesk: ciberseguridad gestionada y backup a prueba de ransomware

Montar y mantener todo lo anterior requiere tiempo, herramientas y criterio que a la mayoría de pymes no les compensa tener en casa. Por eso en MagicBoxDesk lo ofrecemos como servicio gestionado en cuota mensual, sin sorpresas: nosotros ponemos la tecnología, la vigilancia y la experiencia, y tú te olvidas del problema. Es externalizar tu IT con la seguridad y las copias incluidas, no como un extra que se factura cuando ya es tarde.

• EDR gestionado en todos tus equipos, con detección y respuesta ante comportamiento sospechoso.
• Backup con copias inmutables y aisladas, con restauraciones probadas de forma periódica.
• MFA y control de accesos en correo, VPN, escritorio remoto y aplicaciones críticas.
• Gestión de parches y actualizaciones continua sobre servidores, puestos y perímetro.
• Segmentación y hardening de la red para contener cualquier equipo comprometido.
• Monitorización y respuesta a incidentes, con un plan de actuación definido y a alguien al otro lado cuando lo necesites.
• Formación y simulaciones de phishing para que tu equipo deje de ser el eslabón débil.

Lo que ganas se resume fácil: tranquilidad, cumplimiento y cero cortes. Ese trabajo de vigilar correos raros, contraseñas viejas y copias sin probar pasa a un equipo que lo hace todos los días. Damos soporte remoto y presencial en toda España, con desplazamiento a tu oficina cuando hace falta.

Protege tu empresa antes de que sea tarde

El ransomware no avisa, pero sí perdona a quien está preparado. La decisión no es si invertir en protección contra ransomware para tu empresa, sino si prefieres hacerlo ahora, a cuota fija, o después, con el negocio parado y a cualquier precio. La primera opción siempre sale más barata.

En MagicBoxDesk montamos y mantenemos toda esta defensa por ti para que tú te ocupes de tu negocio. Pide presupuesto sin compromiso y te decimos exactamente qué necesitas para dormir tranquilo. Si prefieres contarnos tu caso primero, escríbenos o llámanos y lo vemos.

Durante años, la ciberseguridad «obligatoria» era cosa de bancos, hospitales y grandes operadoras. NIS2 ha roto ese esquema. La nueva directiva europea amplía las obligaciones de seguridad a muchos más sectores y a empresas medianas que hasta ahora vivían al margen, y —esto es lo que casi nadie ve venir— extiende la exigencia a toda su cadena de proveedores. Traducido: aunque tu empresa no aparezca en la lista de sectores afectados, puedes acabar teniendo que cumplir porque le vendes a alguien que sí está.

Aquí no vamos a marearte con artículos ni citar sanciones exactas —para el detalle jurídico está tu asesor legal—. Vamos a lo que de verdad te interesa: si NIS2 te afecta, qué te obliga a hacer en la práctica y cómo cumplir NIS2 en tu empresa sin montar un departamento de seguridad entero ni volverte loco por el camino.

Qué es NIS2 y a quién aplica de verdad

NIS2 es la evolución de la primera directiva europea de seguridad de redes y sistemas. Su objetivo es elevar el nivel de ciberseguridad en toda la Unión, y para conseguirlo hace dos cosas importantes: ensancha el número de sectores considerados esenciales o importantes —energía, transporte, salud, agua, banca, infraestructura digital, administración pública, pero también fabricación, alimentación, gestión de residuos, servicios postales, químicas y más— y baja el umbral de tamaño, arrastrando a muchas medianas empresas que antes quedaban fuera.

Pero el punto que más gente pasa por alto es el de la cadena de suministro. NIS2 obliga a las entidades afectadas a gestionar el riesgo que les llega a través de sus proveedores. ¿Qué significa eso para ti? Que si eres el que le da el mantenimiento informático, el software, el hosting, la logística o cualquier servicio crítico a una empresa que sí está sujeta a NIS2, esa empresa va a empezar a exigirte garantías de seguridad por contrato. La trampa del «yo no estoy en la lista» es justo esa: no hace falta estar en la lista para que la norma te alcance.

NIS2 no pregunta solo si tu empresa es crítica. Pregunta de quién dependes tú y quién depende de ti. Ahí es donde entra la mayoría.

Por eso el primer paso no es asumir que no va contigo, sino comprobarlo en serio: mirar tu sector, tu tamaño y —sobre todo— a quién le vendes. Muchas pymes descubren que están sujetas indirectamente el día que un cliente grande les manda un cuestionario de seguridad que no saben responder.

Qué te obliga a hacer en la práctica

NIS2 no te da una checklist de productos que comprar. Te exige un enfoque de gestión de riesgos: identificar qué puede salir mal, valorar su impacto y poner medidas proporcionadas. Dentro de ese marco, hay obligaciones que se repiten y que conviene tener claras desde ya.

• Análisis y gestión de riesgos. Saber qué activos tienes, qué amenazas les afectan y qué harías ante cada una. Es la base sobre la que se apoya todo lo demás.
• Medidas técnicas mínimas. Control de accesos, autenticación robusta (a poder ser multifactor), cifrado, actualizaciones al día, copias de seguridad probadas, segmentación de red y seguridad en el correo. Lo esencial, pero hecho de verdad.
• Notificación de incidentes. Ante un incidente significativo hay que avisar a la autoridad competente en plazos ajustados. Improvisar ese día no es una opción: necesitas saber a quién llamas, qué informas y quién lo hace.
• Seguridad de la cadena de suministro. Evaluar y exigir garantías a tus proveedores, y estar en condiciones de dárselas a tus clientes.
• Continuidad y recuperación. Planes para seguir operando y volver a la normalidad tras un incidente, incluida la gestión de crisis.
• Formación y concienciación. Tu equipo es la primera línea. La norma espera que se forme a las personas, empezando por la dirección.

Y hay un cambio de fondo que lo atraviesa todo: la responsabilidad recae en la dirección. NIS2 deja de tratar la ciberseguridad como un asunto del «chico de informática» y la coloca en la mesa de los administradores, que deben aprobar las medidas, supervisar su cumplimiento y formarse. Ya no vale delegar y mirar para otro lado: si algo falla, la responsabilidad tiene nombre y apellidos arriba.

Por dónde empezar si partes de cero

Si lees todo lo anterior y notas el agobio, respira. No hay que hacerlo todo a la vez ni comprar diez herramientas caras. Hay que hacerlo en orden. Y el orden importa más que la prisa.

1. Un análisis de riesgos honesto

Antes de proteger nada, tienes que saber qué proteges. Inventaria tus sistemas, tus datos y tus dependencias, y valora dónde tienes los agujeros más grandes. Este diagnóstico es el que convierte una lista genérica de obligaciones en un plan concreto para tu empresa. Sin él, cualquier inversión en seguridad es un tiro a ciegas.

2. Las medidas básicas primero

La mayoría de incidentes graves entra por la puerta de siempre: una contraseña débil, un equipo sin actualizar, un correo de phishing, un backup que nunca se probó. Cerrar esas puertas es más rentable que cualquier tecnología sofisticada. Multifactor, actualizaciones automatizadas, copias que se restauran de verdad y control de quién accede a qué: eso te quita de encima una parte enorme del riesgo con un esfuerzo razonable.

3. Un plan realista, por fases

El resto —notificación de incidentes, continuidad, formación, exigencias a proveedores— se despliega por etapas, con responsables claros y fechas. Un plan de adecuación bien hecho te dice qué haces este trimestre y qué el siguiente, para que el cumplimiento sea un camino sostenible y no un sprint imposible que se abandona a mitad. Aquí es donde tener a alguien que ya lo ha hecho antes marca la diferencia entre avanzar y dar vueltas.

El error de tratarlo como papeleo

Existe la tentación de vivir NIS2 como un trámite: reunir cuatro documentos, poner una política en un cajón y seguir como siempre. Es el peor error posible, y por dos motivos. El primero, práctico: un cumplimiento de fachada no aguanta un incidente real. El día que te entra un ransomware, el papel no restaura tus servidores ni evita que se paren tus operaciones. El segundo, de fondo: cumplir bien NIS2 es, literalmente, estar más seguro. Las obligaciones no son caprichos del legislador; son las medidas que llevan años evitando desastres en las empresas que las aplican.

Míralo al revés: la directiva te está dando la excusa perfecta —y el respaldo de la dirección— para hacer por fin lo que tu ciberseguridad debería haber tenido desde siempre. Una empresa que cumple NIS2 de verdad no solo evita problemas legales: sufre menos cortes, pierde menos datos y da más confianza a sus clientes. El cumplimiento deja de ser un coste y se convierte en una ventaja competitiva, sobre todo cuando esos clientes empiezan a preguntar por tu seguridad antes de firmar contigo.

La oferta de MagicBoxDesk: NIS2 como servicio gestionado

En MagicBoxDesk llevamos la parte técnica y organizativa del cumplimiento de NIS2 como un servicio gestionado continuo, no como un informe que entregamos y desaparecemos. Somos el departamento IT que tu empresa externaliza: montamos las medidas, las mantenemos vigiladas y estamos el día que hay un incidente. Y lo hacemos con una cuota mensual sin sorpresas, para que la seguridad sea previsible en tu presupuesto en vez de un susto cada vez que pasa algo.

Esto es lo que incluye contratar la ciberseguridad gestionada de MagicBoxDesk para llegar al cumplimiento de NIS2:

• Diagnóstico inicial. Analizamos si NIS2 te afecta —directamente o por tu cadena de suministro— y medimos tu situación real frente a lo que la norma exige.
• Plan de adecuación por fases. Una hoja de ruta priorizada, con responsables y plazos, ajustada a tu tamaño y a tu presupuesto.
• Medidas técnicas implantadas. Control de accesos, multifactor, cifrado, actualizaciones, segmentación, copias de seguridad probadas y monitorización de tus sistemas.
• Plan de respuesta a incidentes. Procedimiento claro de detección, contención y notificación en plazo, para que ese día sepas exactamente qué hacer y quién lo hace.
• Acompañamiento continuo. Revisiones periódicas, formación a tu equipo y a la dirección, y soporte en toda España, remoto y presencial cuando hace falta.

Lo que ganas es sencillo de resumir: tranquilidad, cumplimiento y una empresa más difícil de tumbar. Tú te ocupas de tu negocio; nosotros nos ocupamos de que NIS2 esté cubierto y de que sigas seguro cuando la norma deje de ser noticia. Puedes ver todos nuestros servicios IT o hablarlo directamente con nosotros a través de contacto.

NIS2 no espera a que estés listo, y tus clientes tampoco. Pide presupuesto sin compromiso y te decimos con claridad si te afecta y qué necesitas de verdad para cumplir sin volverte loco.

El teletrabajo no falla por la tecnología: falla por cómo se monta. Cuando alguien se lleva el portátil a casa, se conecta desde el wifi del salón y abre el correo de la empresa por una VPN que nadie revisa desde hace dos años, el problema no es que trabaje fuera de la oficina. El problema es que has extendido tu red corporativa a un sitio que no controlas y no te has enterado.

Montar teletrabajo seguro en tu empresa no es repartir portátiles y cruzar los dedos. Es diseñar un puesto remoto donde el acceso esté controlado, el dispositivo esté gestionado y los datos sigan siendo tuyos aunque el equipo esté a 400 kilómetros. Aquí te explicamos cómo se hace bien, qué se suele hacer mal y por dónde entran de verdad los sustos.

Los riesgos reales del teletrabajo mal montado

El riesgo de teletrabajo no es teórico ni exótico. Es aburridamente concreto: un empleado reutiliza la contraseña del correo en cinco sitios, uno de ellos sufre una filtración y de repente hay credenciales válidas de tu empresa circulando. O el portátil sin cifrar que se olvida en un tren. O la red doméstica compartida con la videoconsola del hijo y un router con la clave de fábrica. Ninguno de estos escenarios necesita a un hacker sofisticado. Necesita un descuido, y los descuidos ocurren.

El patrón que más caro sale es la VPN de acceso total. Se instala pensando «así entran a todo desde casa» y se convierte en una autopista: quien compromete un solo equipo remoto tiene, de golpe, la misma visibilidad que si estuviera enchufado en la oficina. Sin segmentación, sin registro de quién accede a qué, sin manera de cortar un acceso concreto sin tirar a todo el mundo. Es cómodo el primer día y un agujero el resto del tiempo.

Y hay un riesgo que casi nadie contabiliza: el equipo fantasma. Gente que se conecta desde su ordenador personal «solo para una cosa rápida», dispositivos que nunca se actualizan porque están fuera del alcance de IT, cuentas de exempleados que siguen activas porque la baja se gestionó en RRHH pero no en los sistemas. Si no sabes exactamente qué equipos y qué personas acceden a tus datos hoy, no tienes teletrabajo seguro: tienes una lista de incidentes esperando fecha.

Accesos seguros: VPN, MFA y gestión de identidades

La primera capa de un puesto remoto seguro es quién entra y a qué. Y aquí el mínimo innegociable es el segundo factor de autenticación (MFA) en todo lo que dé a Internet: correo, VPN, panel de administración, herramientas en la nube. Una contraseña robada, con MFA activo, deja de servir para casi todo. Sin MFA, una sola filtración pone en jaque toda la empresa. La diferencia de coste entre las dos situaciones es abismal y el esfuerzo de activarlo, mínimo.

La VPN sigue teniendo su sitio, pero bien planteada: acceso cifrado, sí, pero segmentado por rol. El comercial no necesita ver los servidores de administración, y contabilidad no necesita el entorno de desarrollo. Cada persona accede solo a lo que su trabajo requiere, y cada acceso queda registrado. El enfoque moderno va incluso más allá con modelos de confianza cero, donde no se confía en nadie por estar «dentro de la red»: cada petición se verifica. No hace falta implantarlo todo de golpe, pero sí ir en esa dirección.

El cimiento de todo esto es la gestión de identidades: un directorio único donde altas, bajas y permisos se gestionan de forma centralizada. Que dar de baja a alguien sea un clic que revoca todos sus accesos a la vez, no una lista de diez sistemas donde ir apagando cuentas de memoria. Que activar a un nuevo compañero signifique heredar el perfil de su puesto, ni más ni menos. Ese control es lo que separa una empresa que sabe quién toca sus datos de una que se entera cuando ya es tarde.

• MFA obligatorio en correo, VPN y todas las herramientas críticas, sin excepciones.
• Acceso por rol: cada persona ve solo lo que su trabajo necesita.
• Identidad centralizada: altas, bajas y permisos desde un único punto.
• Registro de accesos: saber quién entró, cuándo y a qué.

Dispositivos, copias y datos fuera de la oficina

Un acceso seguro que termina en un portátil sin gestionar no sirve de nada. El dispositivo remoto tiene que estar bajo control: disco cifrado para que un robo no sea una fuga de datos, antivirus y protección avanzada actualizados, parches de seguridad al día y capacidad de bloquearlo o borrarlo en remoto si desaparece. Esto no se consigue confiando en que cada empleado mantenga su equipo. Se consigue con gestión centralizada de dispositivos, donde las políticas se aplican solas y IT ve el estado de cada máquina.

La regla de oro para separar el teletrabajo profesional del «apaño»: nada de dispositivos personales para datos de empresa. El ordenador de casa, compartido, sin cifrar y con software que nadie audita, no es un puesto de trabajo, es una brecha con teclado. Un equipo corporativo gestionado cuesta dinero, sí, pero es la frontera entre tener el control de tu información y no tenerlo.

Y luego están las copias de seguridad, el punto donde el teletrabajo suele fallar en silencio. En la oficina, los archivos acaban en un servidor que alguien respalda. En casa, si la persona guarda cosas en el escritorio del portátil y ese disco muere, no hay vuelta atrás. La solución es que los datos vivan en sitios respaldados —almacenamiento corporativo en la nube o servidores con copia automática— y que exista una copia de seguridad real, probada y con capacidad de restauración verificada. Una copia que nunca has restaurado no es una copia: es una suposición.

El teletrabajo no amplía tu oficina: amplía tu superficie de ataque. La diferencia entre las dos cosas es exactamente el trabajo que hagas antes de repartir los portátiles.

Un puesto remoto listo para trabajar y seguro

Junta las piezas anteriores y tienes un puesto de trabajo remoto que funciona: la persona enciende el equipo, se identifica con doble factor, accede solo a lo que necesita, trabaja con sus datos en un almacenamiento respaldado y, si algo se rompe, tiene a quién llamar. Nada de improvisar, nada de «a ver si funciona». Un puesto pensado para que el equipo produzca desde el minuto uno sin que la seguridad sea un estorbo ni una ilusión.

La clave está en que todo esto sea coherente y esté gestionado como un conjunto, no como piezas sueltas que cada uno instala a su manera. El error habitual es tratar el teletrabajo como una excepción temporal: se monta rápido, con parches, y se queda así años. El puesto remoto tiene que diseñarse con el mismo criterio que el de la oficina, porque para efectos de riesgo es exactamente igual de importante. Ahí es donde entran la ciberseguridad bien planteada y un puesto de trabajo gestionado que se ocupa del ciclo completo.

Y no te olvides del factor humano. La mejor arquitectura se cae si el equipo pincha en el correo de phishing o comparte la contraseña por WhatsApp. Formar a las personas, tener un soporte al que puedan escribir cuando dudan y unas normas claras de uso no es un extra: es parte del puesto. La seguridad que la gente entiende es la que se cumple.

Cómo te lo monta MagicBoxDesk

En MagicBoxDesk montamos el teletrabajo seguro de tu empresa como lo que es: un servicio de principio a fin. Diseñamos los accesos con MFA y gestión de identidades, entregamos equipos corporativos cifrados y gestionados, dejamos los datos en almacenamiento respaldado con copias que probamos de verdad, y ponemos detrás una monitorización 24/7 y un soporte técnico —remoto y presencial en toda España— al que tu equipo puede llamar cuando algo no va. Externalizamos tu departamento IT para que el teletrabajo deje de ser un riesgo y pase a ser una ventaja.

No te vendemos una caja de productos: te montamos el puesto que tu empresa necesita, ni más ni menos, y nos encargamos de que siga funcionando y seguro con el tiempo. Pide presupuesto sin compromiso y te decimos exactamente qué necesita tu equipo para trabajar desde donde sea, con todas las garantías.

Casi ninguna pyme cae por un ciberataque de película. Cae por lo aburrido: un servidor que se apaga y no vuelve, un ransomware que cifra la carpeta compartida un viernes por la tarde, una tubería rota sobre el rack, un proveedor de nube con una caída de seis horas. La pregunta que de verdad importa no es si pasará, sino cuántas horas puede estar tu empresa sin facturar, sin producir o sin atender a clientes antes de que el daño sea irreversible. Un plan de continuidad de negocio para pyme es exactamente la respuesta a esa pregunta, por escrito y probada.

Y no, no hace falta un manual de 200 páginas ni un presupuesto de multinacional. Hace falta saber qué procesos no pueden parar, cuánto aguantas realmente y qué tres cosas haces en la primera hora. El resto es adorno. Vamos a lo concreto.

Continuidad vs. recuperación: qué es un BCP y qué es un DRP

Se confunden constantemente, y esa confusión es cara. El BCP (Business Continuity Plan) responde a «cómo sigue funcionando mi negocio mientras algo está roto». El DRP (Disaster Recovery Plan) responde a «cómo recupero la tecnología que se ha caído». Uno mira al negocio; el otro, a los sistemas.

Un ejemplo: se te cae el ERP. El DRP dice cómo restauras la base de datos desde la copia y en qué servidor la levantas. El BCP dice cómo el equipo de facturación sigue emitiendo albaranes en una plantilla temporal mientras tanto, para que el almacén no se pare. El DRP arregla la máquina; el BCP mantiene el dinero entrando por la puerta. Necesitas los dos, y necesitas que hablen entre sí.

Recuperar el sistema en dos días no sirve de nada si tu negocio se muere en cuatro horas sin él.

El error clásico de la pyme es tener (con suerte) un trozo de DRP —las copias de seguridad— y ni rastro de BCP. Tienes backups, sí, pero nadie sabe quién decide activar la recuperación, a quién se avisa, cómo se atiende a los clientes mientras tanto ni cuánto tiempo es «demasiado». Eso no es un plan: es una carpeta de ficheros y un cruce de dedos.

Qué procesos no pueden parar y cuánto aguantas: RTO y RPO en cristiano

Todo plan serio arranca por lo mismo: no todo importa igual. Si intentas proteger cada sistema con la misma urgencia, ni terminas ni te lo puedes pagar. Haz una lista honesta de tus procesos —facturar, producir, atender pedidos, pagar nóminas, dar soporte— y clasifícalos por lo que pasa si se detienen una hora, un día, una semana. Los que duelen en horas son tus procesos críticos. Esos mandan.

Sobre esa lista aparecen dos siglas que suenan técnicas pero son de puro sentido común:

• RTO (tiempo objetivo de recuperación): cuánto tiempo puede estar caído un proceso antes de que el daño sea grave. Es tu «reloj». Si tu tienda online no puede estar más de 2 horas sin vender, tu RTO es 2 horas.
• RPO (punto objetivo de recuperación): cuántos datos puedes permitirte perder, medido en tiempo. Si haces copia cada 24 horas, tu RPO es de un día: ante un desastre, pierdes hasta un día de trabajo. Para un ERP de facturación eso suele ser inaceptable.

La magia está en cruzar ambos con la realidad. Si tu proceso crítico exige un RTO de 2 horas pero tu única copia está en un disco USB que alguien se lleva a casa los viernes, tu capacidad real de recuperación es de días, no de horas. Ahí tienes el agujero, medido y con números. Y con esos números ya puedes decidir dónde invertir: replicación en la nube, copias más frecuentes, un servidor secundario. No por miedo, sino por criterio.

Un consejo que ahorra dinero: ajusta el RTO y el RPO al valor del proceso, no a tu ansiedad. El servidor de archivos de marketing puede tolerar un RPO de 24 horas sin drama. La base de datos de pedidos, no. Proteger todo como si fuera crítico es la forma más rápida de reventar el presupuesto y no terminar el plan.

Un plan sencillo que sí vas a usar

El mejor plan de continuidad no es el más completo: es el que tu equipo puede ejecutar a las 3 de la madrugada, con adrenalina, sin el informático de guardia localizable. Eso significa corto, claro y accionable. Un documento de dos o tres páginas bien hechas vale más que un tomo que nadie ha abierto.

Lo mínimo que debe contener:

• Procesos críticos y sus RTO/RPO: la lista del punto anterior, priorizada. Qué se recupera primero y qué puede esperar.
• Quién decide y quién ejecuta: nombres y suplentes. Quién declara el incidente, quién autoriza la recuperación, quién habla con clientes. Sin roles, hay parálisis.
• Contactos clave fuera del sistema: teléfonos del equipo, del proveedor IT, del banco, del seguro. Impresos o en el móvil, porque si se cae la red no tendrás acceso al Drive.
• Dónde están las copias y cómo se restauran: ubicación, credenciales de acceso controladas y el procedimiento paso a paso. Una copia que nadie sabe restaurar no es una copia.
• El plan B manual: cómo sigue operando cada proceso crítico sin su sistema. Facturar en plantilla, tomar pedidos por teléfono, lo que sea que mantenga el negocio vivo esas horas.

Fíjate en lo que no está: jerga, diagramas de arquitectura preciosos, escenarios improbables. El plan describe qué hacer en la primera hora de las tres o cuatro caídas que de verdad te pueden pasar. Todo lo demás sobra hasta que este núcleo funcione. Empieza pequeño, ponlo por escrito hoy y mejóralo después.

Cómo probarlo para que funcione de verdad

Un plan sin probar es una hipótesis. Y en continuidad, las hipótesis se caen justo cuando más las necesitas. La copia que «se hacía sola» llevaba tres meses fallando en silencio; el procedimiento de restauración tardaba ocho horas en vez de dos porque nadie lo había cronometrado. Estas cosas no se descubren leyendo el plan: se descubren ejecutándolo.

No hace falta simular un incendio. Prueba por capas:

• Restauración real de copias: coge un backup y recupéralo en un entorno aparte. Cronométralo. ¿Cumple tu RTO? ¿Están todos los datos? Esto se hace cada trimestre, no una vez en la vida.
• Simulacro de mesa: reúne al equipo una hora, plantea «son las 9:00 y el ERP no arranca» y que cada uno diga qué hace. Afloran los huecos sin tocar un solo sistema.
• Prueba del plan B manual: pasa medio día facturando o tomando pedidos como si el sistema no existiera. Descubrirás qué falta antes de necesitarlo de verdad.

Cada prueba deja tareas: actualizar un contacto, corregir un backup, aclarar un paso confuso. Ese ciclo —probar, encontrar el fallo, arreglarlo— es lo que convierte un documento en una capacidad real. Y aquí la monitorización juega un papel silencioso pero decisivo: si vigilas los sistemas y las copias en tiempo real, muchos incidentes se detectan y contienen antes de que se conviertan en un desastre que active todo el plan. Prevenir sale mucho más barato que recuperar.

Cómo lo prepara MagicBoxDesk

Todo esto —clasificar procesos, fijar RTO y RPO realistas, montar copias que de verdad se restauran, escribir el plan y probarlo cada trimestre— es trabajo especializado y continuo. Es exactamente lo que hacemos cuando externalizamos el departamento IT de una empresa: no vendemos un PDF y desaparecemos, sino que dejamos montada la capacidad real de aguantar un golpe y seguir facturando. Diseñamos el BCP y el DRP a la medida de tu operación, con monitorización 24/7 que detecta los problemas antes de que te tumben y con copias verificadas de forma automática, no «en teoría».

Damos soporte remoto y presencial en toda España, con la experiencia de quien ha levantado sistemas caídos un domingo por la noche más veces de las que le gustaría. Si no sabes cuántas horas aguanta tu negocio sin sus sistemas, ese es justo el punto de partida. Pide presupuesto sin compromiso y te decimos, con números, dónde está tu riesgo real y qué necesitas de verdad para dormir tranquilo.

El firewall más caro de tu empresa no sirve de nada si un empleado teclea su contraseña en una web falsa a las nueve de la mañana, con el café en la mano y quince tareas pendientes. El phishing no ataca a tus máquinas: ataca a tus personas, y por eso ninguna herramienta lo frena del todo. La buena noticia es que la defensa que mejor funciona es también la más barata: un equipo entrenado que sabe reconocer el anzuelo antes de morderlo.

La formación en phishing para tu empresa no es una charla anual de una hora que todos olvidan al día siguiente. Es un hábito que se construye con ejemplos reales, simulacros y un protocolo claro para cuando alguien pica, porque alguien picará. Aquí tienes cómo montarlo sin humo.

Cómo es un phishing real (con ejemplos)

Olvídate del correo del príncipe nigeriano con faltas de ortografía. El phishing que llega hoy a las bandejas de entrada de tu equipo está bien escrito, personalizado y con urgencia calculada. Usa el logo correcto, imita el tono de tu banco o de Microsoft, y muchas veces se cuela en un hilo de correo que ya existía. El objetivo es siempre el mismo: que hagas clic, que introduzcas credenciales o que muevas dinero sin pensar.

Estos son los formatos que verás una y otra vez en una pyme:

El falso Microsoft 365. «Tu contraseña caduca hoy, verifícala aquí.» El enlace lleva a una página idéntica al login de Microsoft, alojada en un dominio parecido pero falso. Escribes tu contraseña y se la acabas de regalar al atacante, que ya está dentro de tu correo leyendo facturas.

El fraude del CEO. Un correo que aparenta venir del director general pide a contabilidad una transferencia urgente y confidencial «para cerrar una operación». Juega con la jerarquía y la prisa: nadie quiere hacer esperar al jefe. Empresas serias han perdido decenas de miles de euros con dos párrafos bien escritos.

La factura o el paquete. Un adjunto que «es la factura pendiente» o un SMS de una agencia de mensajería con un enlace para «reprogramar la entrega». El adjunto instala malware; el enlace roba datos. Y el phishing por SMS o WhatsApp funciona porque en el móvil no ves la dirección completa ni te lo piensas dos veces.

El phishing no busca engañar a tu antivirus. Busca engañar a la persona que tiene prisa.

Las señales que cualquiera puede aprender a ver

No hace falta que tu equipo sea experto en seguridad. Hace falta que interiorice media docena de reflejos que sirven para el 90% de los intentos. Estas son las señales que enseñamos a reconocer, y que cualquiera puede aprender en una tarde:

• La urgencia y la amenaza. «Actúa en 24 horas o perderás el acceso.» Cuando un correo te mete prisa o te asusta, casi siempre es para que no razones.
• El remitente que no cuadra. Pasa el ratón por encima del nombre y mira la dirección real. soporte@micr0soft-seguridad.com no es Microsoft, por muy bien maquetado que esté el correo.
• El enlace que esconde su destino. Antes de hacer clic, pasa el cursor y comprueba la URL abajo a la izquierda. Si el texto dice una cosa y el enlace apunta a otra, es una trampa.
• La petición de credenciales o datos. Ningún banco ni proveedor serio te pide la contraseña por correo. Si te la piden, es fraude.
• El adjunto inesperado. Facturas que no esperabas, ZIP, archivos que piden «habilitar macros». Ante la duda, no lo abras y pregunta por otro canal.
• Lo que se sale de lo normal. El director nunca pide transferencias por correo, tu proveedor nunca cambia de cuenta bancaria sin avisar. Cualquier cosa fuera de lo habitual merece una llamada de confirmación.

La regla de oro que resume todas: ante la duda, verifica por otro canal. Una llamada de treinta segundos al remitente real desmonta el 99% de los fraudes. Es más lento que hacer clic, y por eso funciona.

Cómo formar y simular ataques en tu equipo

Saber la teoría no basta. La reacción correcta se entrena, igual que un simulacro de incendio. Por eso una formación en phishing que funciona combina tres piezas: contenido breve y práctico, simulacros reales y medición.

Formación corta y frecuente. Olvida la sesión maratón de dos horas una vez al año. Funciona mejor un vídeo de cinco minutos cada mes, con ejemplos del sector de tu empresa. El objetivo no es que tu equipo memorice, sino que desarrolle el instinto de desconfiar del correo con prisa.

Simulacros de phishing controlados. Aquí está la diferencia entre una empresa que dice que forma y una que de verdad protege. Se envían correos de phishing falsos —inofensivos— a la plantilla y se mide quién hace clic. Al que pica no se le señala ni se le castiga: se le forma en ese momento, con el error fresco. Es la lección que de verdad se recuerda. Repetido cada pocas semanas, el porcentaje de clics baja de forma medible campaña tras campaña.

Medir y reforzar. Sin números no sabes si la formación sirve. Se mide la tasa de clics, cuánta gente reporta el correo sospechoso y el tiempo de reacción. Ese dato te dice dónde están los puntos débiles —a menudo un departamento concreto— para reforzar justo ahí. Un equipo bien entrenado no solo evita picar: avisa, y ese aviso temprano es lo que corta un incidente antes de que crezca.

Todo esto encaja dentro de un enfoque más amplio de ciberseguridad y de un puesto de trabajo gestionado donde la formación se combina con las defensas técnicas: filtros de correo, doble factor de autenticación y permisos bien ajustados. La persona formada es la última línea; las capas técnicas son las anteriores.

Qué hacer en los primeros minutos si alguien pica

Va a pasar. Por muy bien formado que esté el equipo, algún día alguien hará clic e introducirá su contraseña. Lo que marca la diferencia entre un susto y una brecha grave es la velocidad de reacción en los primeros minutos. Por eso el protocolo debe estar escrito y conocido antes de que ocurra, no improvisado a las once de la noche.

• Avisar de inmediato, sin miedo. El que pica debe poder decirlo al segundo, sin temor a la bronca. Un empleado que oculta el error por vergüenza es el peor escenario posible.
• Cambiar la contraseña ya de la cuenta afectada y de cualquier otra donde se reutilizara. Si hay doble factor, mejor: el atacante tendrá la contraseña pero no el segundo paso.
• Desconectar el equipo de la red si se abrió un adjunto o se instaló algo, para frenar la propagación mientras se revisa.
• Revisar el alcance. Buscar reglas de reenvío automático que el atacante haya creado en el correo, accesos desde ubicaciones raras y movimientos anómalos. El robo de credenciales suele venir seguido de espionaje silencioso.
• Avisar a quien pueda ser víctima siguiente. Si el atacante entró en un correo, usará esa cuenta para engañar a compañeros, clientes y proveedores. Advertirles corta la cadena.

Tener este protocolo claro, con un responsable al que llamar y unos pasos definidos, convierte un incidente potencialmente grave en un incidente controlado. La diferencia se mide en minutos y, muchas veces, en miles de euros.

Cómo te ayuda MagicBoxDesk a blindar a tu equipo

En MagicBoxDesk montamos la defensa completa contra el phishing en tu empresa: formación práctica y continua, campañas de simulacros que miden y mejoran la reacción real de tu equipo, y las capas técnicas que atrapan lo que la persona no debería tener ni que ver —filtrado de correo, doble factor, permisos ajustados y un protocolo de respuesta ante incidentes listo para el día que haga falta. Todo dentro de nuestro servicio de ciberseguridad y del puesto de trabajo gestionado, con soporte remoto y presencial en toda España.

No vendemos una charla suelta: construimos el hábito y sostenemos la protección en el tiempo, para que un correo con prisa deje de ser la puerta de entrada a tu negocio. Pide presupuesto sin compromiso y te decimos exactamente qué necesita tu equipo para no morder el anzuelo.

Un despacho de abogados no vende zapatos: vende confianza. Y esa confianza vive en carpetas con contratos, historiales médicos, declaraciones de la renta, escrituras y expedientes que, filtrados, arruinan a un cliente y a tu firma en la misma semana. La ciberseguridad en despachos y asesorías no es un lujo de empresas grandes: es la condición para poder seguir ejerciendo. Un atacante no necesita hackear un banco cuando puede cifrar el disco de una asesoría con tres empleados y pedir rescate por veinte años de expedientes fiscales.

La buena noticia es que proteger un despacho pequeño no exige un presupuesto de multinacional. Exige criterio, orden y unas cuantas medidas bien puestas. Vamos a ver dónde está el riesgo real y qué se hace, en la práctica, para blindar los datos confidenciales sin frenar el trabajo del día a día.

Por qué un despacho es un objetivo de alto valor

Los atacantes ya no van solo detrás de las grandes corporaciones. Van detrás del retorno fácil, y un despacho profesional es justo eso: datos altamente sensibles concentrados en pocos equipos, con protección débil y una enorme presión para pagar rápido. Cuando un bufete no puede acceder a sus expedientes en plena vista judicial, o una asesoría no puede presentar los modelos antes de plazo, el rescate se paga porque el coste de no pagarlo es peor.

Además, un despacho es una puerta de entrada a terceros. Guardas información de decenas o cientos de clientes: sus cuentas, sus litigios, sus datos personales, a veces sus credenciales bancarias. Comprometer tu firma vale más que comprometer a un cliente suelto, porque desde ti se llega a todos. Por eso los ataques a la cadena de suministro y el fraude del CEO se ceban con asesorías y gestorías: quien controla tu correo puede pedir una transferencia haciéndose pasar por ti, y el cliente confía.

• Datos de altísimo valor concentrados: expedientes, contabilidad, datos de salud o penales.
• Urgencia estructural: plazos judiciales y fiscales que no admiten días de parón.
• Efecto multiplicador: comprometerte a ti abre la puerta a toda tu cartera de clientes.
• Superficie humana: pocos filtros técnicos y mucho correo con documentos adjuntos.

Datos confidenciales: cifrado, accesos y copias

La protección de datos confidenciales se sostiene sobre tres pilares que se refuerzan entre sí. Fallar en uno hace inútiles a los otros dos. Si ciframos el disco pero cualquiera conoce la contraseña, no hay cifrado. Si controlamos accesos pero no hay copias, un ransomware se lo lleva todo igual. Hay que montar los tres, y montarlos bien.

Cifrado: que un disco robado no valga nada

Un portátil olvidado en un taxi no debería ser una brecha de datos. Con cifrado de disco completo (BitLocker en Windows, FileVault en Mac) activado en todos los equipos, ese portátil es un pisapapeles caro y nada más. Lo mismo aplica a los datos en tránsito: el correo y el acceso a los expedientes deben viajar cifrados, y los documentos que salen del despacho —hacia un cliente, hacia el juzgado— deben ir protegidos, no en un adjunto abierto.

Accesos: cada persona ve solo lo suyo

El pecado más común en un despacho pequeño es la carpeta compartida donde todo el mundo ve todo. El becario no necesita el expediente de divorcio del socio, y el administrativo no debería poder abrir la contabilidad de todos los clientes. Se resuelve con permisos por rol, contraseñas robustas y, sobre todo, doble factor de autenticación (MFA) en el correo y en cualquier acceso remoto. El MFA es la medida que más ataques frena por menos dinero: aunque roben la contraseña, no entran.

Copias: el seguro contra el peor día

Las copias de seguridad son lo único que convierte un desastre en un mal rato. La regla que funciona es la 3-2-1: tres copias de los datos, en dos soportes distintos, con una fuera de las instalaciones y, idealmente, inmutable (que el ransomware no pueda cifrarla ni borrarla). Y una copia que no se ha probado a restaurar no es una copia: es una esperanza. Restaurar de verdad, con cierta periodicidad, es lo que separa «estamos operativos en dos horas» de «hemos perdido el bufete».

Cumplimiento RGPD y secreto profesional

En un despacho, la seguridad no es solo técnica: es una obligación legal y deontológica. El RGPD te exige aplicar medidas técnicas y organizativas apropiadas para proteger los datos personales que tratas, y una asesoría o un bufete tratan datos de categoría especial —salud, ideología, antecedentes— a diario. A eso se suma el secreto profesional, que en abogacía no es una recomendación sino un deber colegial cuyo incumplimiento tiene consecuencias.

El punto que muchos despachos ignoran es que una brecha de seguridad puede obligarte a notificar a la Agencia Española de Protección de Datos en 72 horas, y en ciertos casos a comunicárselo a los afectados. Sin registros, sin trazabilidad de accesos y sin un plan de respuesta, esas 72 horas se te echan encima sin saber siquiera qué datos se han visto comprometidos. La sanción económica duele, pero la pérdida de confianza de tus clientes duele más y no se recupera con una multa pagada.

Cumplir el RGPD no es rellenar un PDF una vez: es poder demostrar, el día de la inspección o de la brecha, que tus medidas eran reales y estaban funcionando.

Aquí es donde marcos como la ISO 27001 aportan orden aunque no vayas a certificarte: obligan a inventariar qué datos tienes, dónde están, quién accede y qué haces si algo falla. Ese ejercicio, aplicado a la medida de un despacho, es la mejor forma de convertir el «deberíamos estar protegidos» en un «estamos protegidos y lo podemos probar».

Un plan realista para un despacho pequeño

Olvídate de comprar veinte productos de seguridad que nadie va a configurar. Un despacho de tres a quince personas se protege con pocas medidas, bien implantadas y mantenidas. Este es el orden que de verdad reduce el riesgo, de lo más rentable a lo más avanzado.

• MFA en todo lo importante: correo, acceso remoto y aplicaciones de gestión. Es lo primero, siempre.
• Copias 3-2-1 con una copia inmutable y pruebas de restauración periódicas, no solo backups que «van solos».
• Cifrado de disco en todos los portátiles y equipos que salen del despacho.
• Antivirus/EDR gestionado que detecte comportamientos, no solo virus conocidos, y avise a alguien que reaccione.
• Actualizaciones al día del sistema y del software de gestión: la mayoría de ataques entra por agujeros ya parcheados.
• Permisos por rol y contraseñas gestionadas, para que cada persona vea solo lo que le toca.
• Formación breve al equipo: reconocer un correo de phishing evita más incidentes que cualquier caja mágica.

Ninguna de estas medidas es cara por sí sola. Lo que falla en los despachos no es el presupuesto, es que nadie se encarga de que sigan funcionando: el MFA que un día se desactivó «porque molestaba», el backup que lleva tres meses fallando en silencio, el portátil nuevo que nadie cifró. La seguridad no es un producto que se instala una vez; es un mantenimiento que alguien tiene que vigilar todos los días.

Cómo lo monta MagicBoxDesk

En MagicBoxDesk somos el departamento IT que tu despacho no tiene que contratar en plantilla. Empezamos por lo que de verdad protege: revisamos cómo están hoy tus accesos, tus copias y tus equipos, tapamos primero los agujeros que más riesgo suponen y dejamos montado un esquema que cumple RGPD y respeta el secreto profesional. No te vendemos una caja: montamos ciberseguridad a la medida de un despacho —MFA, cifrado, copias inmutables con restauración probada, EDR gestionado y monitorización— y nos quedamos vigilando que siga funcionando, con soporte remoto y presencial en toda España.

Lo hacemos sin frenar tu trabajo y sin tecnicismos innecesarios: tú te ocupas de tus clientes, nosotros de que sus datos estén blindados y de que, el día que llegue un incidente, tengas un plan y no una improvisación. Puedes ver todo lo que cubrimos en nuestros servicios, desde ciberseguridad hasta copias de seguridad, monitorización 24/7 y cumplimiento normativo.

Proteger un despacho no es cuestión de miedo, es cuestión de criterio. Pide presupuesto sin compromiso y te decimos, en tu caso concreto, qué necesitas de verdad y qué es gastar por gastar.

El RGPD no es un formulario que rellenas una vez y te olvidas. Es una forma de trabajar con los datos de tus clientes y empleados que tienes que sostener en el tiempo. La buena noticia para una empresa pequeña es que cumplir de verdad no exige un departamento jurídico entero: exige orden, unos cuantos documentos bien hechos y una parte técnica que casi nadie mira hasta que llega un incidente o una inspección.

En esta guía te explicamos cómo cumplir el RGPD en tu empresa centrándonos en lo que sí depende de ti: la web, los registros, los contratos con proveedores y la seguridad de los datos. No es asesoría jurídica —para eso está tu abogado o tu delegado de protección de datos—, es la hoja de ruta técnica y organizativa que evita que un fallo tonto acabe en sanción.

Qué te pide realmente el RGPD (en cristiano)

Quítate de la cabeza la idea de que el RGPD va de «no compartir datos». Va de algo más simple y más exigente: saber qué datos tienes, para qué los usas, dónde están y quién los toca. Si puedes responder a esas cuatro preguntas sobre cualquier dato personal que maneja tu empresa —el email de un cliente, la nómina de un empleado, el CV de un candidato—, estás en el buen camino. Si no puedes, ahí está tu problema.

El reglamento se apoya en unos principios que se traducen en obligaciones concretas y muy terrenales:

• Base legal para cada tratamiento. No recoges datos «por si acaso»: cada dato responde a un motivo (un contrato, un consentimiento, una obligación legal).
• Minimización. Pides solo lo que necesitas. Un formulario de contacto no necesita el DNI.
• Transparencia. La persona sabe qué haces con sus datos antes de dártelos.
• Derechos. Cualquiera puede pedirte acceso, rectificación o borrado, y tienes que poder atenderlo.
• Seguridad. Proteges los datos con medidas técnicas reales, no con buenas intenciones.

Lo importante: el cumplimiento se demuestra, no se declara. El principio de «responsabilidad proactiva» significa que la carga de probar que cumples recae en ti. Por eso la documentación y los registros no son burocracia; son tu defensa el día que alguien pregunta.

Tu web: textos legales, formularios y cookies

La web es donde más empresas pequeñas se juegan una denuncia, porque es lo único que cualquiera puede auditar desde fuera sin entrar en tu oficina. Aquí no hay margen para la improvisación y tres cosas tienen que estar impecables.

Textos legales que digan la verdad

Necesitas una política de privacidad, un aviso legal y, si tratas cookies, una política de cookies. El error habitual es copiar la de otra web: te queda un documento que menciona finalidades que no aplicas y omite las que sí. La política tiene que reflejar tu realidad —qué datos recoges de verdad, con qué herramientas (tu CRM, tu proveedor de email marketing, tu analítica) y durante cuánto tiempo los guardas—. Un texto genérico es peor que no tener nada, porque prueba que sabías que había que ponerlo y aun así no lo hiciste bien.

Formularios con consentimiento real

Cada formulario —contacto, newsletter, presupuesto— necesita informar de quién trata los datos y enlazar a la política de privacidad. Si el objetivo es enviar comunicaciones comerciales, hace falta una casilla de consentimiento sin marcar por defecto. Y ese consentimiento hay que poder demostrarlo: guarda cuándo y cómo se dio. Un formulario que no registra nada es una promesa que no puedes probar.

Cookies: bloquear antes de aceptar

El banner de cookies no es decorativo. Las cookies no esenciales —analítica, publicidad, píxeles de redes sociales— no pueden cargarse hasta que el usuario acepta, y rechazar tiene que ser tan fácil como aceptar. Muchos banners «de plantilla» enseñan el aviso pero cargan los scripts igualmente: eso es incumplir con cartel incluido. La configuración técnica del banner y del gestor de etiquetas es tan importante como el texto.

Registro de actividades y contratos de encargado de tratamiento

Aquí está la parte que casi ninguna empresa pequeña tiene hecha, y es de las primeras que se piden en una inspección. El registro de actividades de tratamiento (RAT) es el inventario de todo lo que haces con datos personales: cada actividad (gestión de clientes, nóminas, selección de personal, videovigilancia) con su finalidad, su base legal, las categorías de datos, los plazos de conservación y las medidas de seguridad.

No hace falta una herramienta cara: una hoja de cálculo bien estructurada y mantenida al día cumple. Lo que no cumple es no tenerlo o tenerlo desactualizado. El RAT es además el mejor mapa para todo lo demás: cuando lo rellenas en serio descubres tratamientos que no habías documentado y proveedores que tocan datos sin contrato.

Cada empresa a la que le das datos personales para que trabaje por ti es un encargado de tratamiento. Y con cada uno necesitas un contrato firmado. Sin excepciones.

El contrato de encargado de tratamiento es un documento del artículo 28 del RGPD que regula qué puede hacer ese proveedor con los datos. ¿Y quiénes son tus encargados? Más de los que crees:

• Tu gestoría o asesoría, que maneja nóminas y datos fiscales.
• El proveedor de tu email y tu CRM, donde viven los contactos de clientes.
• La plataforma de email marketing desde la que envías tu newsletter.
• El hosting donde se aloja tu web y sus formularios.
• Tu soporte informático externo, que accede a los equipos y los sistemas.

Muchos proveedores serios ya ofrecen su contrato de encargado listo para firmar (a veces lo llaman DPA). Tu trabajo es reunirlos todos y guardarlos. Y ojo con las transferencias internacionales: si tu herramienta almacena datos fuera del Espacio Económico Europeo, hay que verificar que existe una garantía válida. No es opcional.

Errores típicos que acaban en sanción

La mayoría de sanciones a pymes no vienen de casos rebuscados, sino de fallos repetidos que se podían haber evitado con un poco de orden. Estos son los que más se repiten:

• Cookies que cargan sin consentimiento. El clásico. Banner de adorno mientras la analítica y los píxeles ya están corriendo.
• No atender un derecho a tiempo. Alguien pide que borres sus datos, nadie lo gestiona, y ese silencio se convierte en denuncia.
• No notificar una brecha de seguridad. Ante un incidente que afecta a datos personales, hay un plazo de 72 horas para valorar y, si procede, notificar a la autoridad. Improvisar ese día sale caro.
• Enviar comunicaciones comerciales sin consentimiento o sin un enlace claro para darse de baja.
• Datos sin proteger. Contraseñas compartidas, portátiles sin cifrar, backups que nadie prueba, accesos de exempleados que siguen activos.

Fíjate en el patrón: casi todos son fallos técnicos y de organización, no de interpretación jurídica. Una brecha por un servidor sin actualizar, un backup que falló en silencio o un banner mal configurado no se arreglan con un buen abogado; se previenen con una infraestructura bien montada y vigilada. Ahí es donde la protección de datos deja de ser papeleo y se convierte en ciberseguridad aplicada.

Cómo te ayuda MagicBoxDesk

Seamos claros: MagicBoxDesk no es tu asesoría jurídica. No redactamos tu política de privacidad ni te decimos qué base legal aplica a cada tratamiento —eso es trabajo de tu abogado o de tu delegado de protección de datos—. Lo que hacemos es la mitad técnica y de seguridad del RGPD, que es la que suele quedar coja y la que, cuando falla, acaba en incidente.

Nos encargamos de que las medidas de seguridad que exige el reglamento existan de verdad y funcionen: control de accesos, cifrado, copias de seguridad probadas, actualizaciones al día, monitorización de tus sistemas y un plan de respuesta para el día que haya una brecha. Configuramos bien tu web y su banner de cookies, revisamos dónde y cómo se almacenan los datos que manejas y te ayudamos a mantener el orden técnico que sostiene todo lo demás. Como externalizamos tu departamento IT, esto no es un proyecto suelto: es soporte continuo en toda España, remoto y presencial cuando hace falta.

Cumplir el RGPD en tu empresa es sobre todo tener las cosas ordenadas y protegidas antes de que alguien pregunte. Nosotros ponemos la parte técnica para que tú te ocupes de tu negocio. Pide presupuesto sin compromiso y revisamos contigo qué necesitas de verdad para dormir tranquilo.