Cuánto cuesta un ciberataque para una pyme

Un lunes a las 8:15, el equipo no puede entrar al correo, al ERP ni a las carpetas compartidas. Los pedidos se acumulan, nadie sabe qué sistemas están afectados y el proveedor de soporte empieza a cobrar horas de urgencia. Esa es la escena que responde de forma más honesta a la pregunta de cuánto cuesta un ciberataque: no es solo el rescate que pide un delincuente ni la factura de un técnico. Es el coste de dejar de operar sin un plan claro.

Para una pyme, un incidente serio puede empezar en unos miles de euros y escalar a decenas o cientos de miles. La diferencia no la marca únicamente el tipo de ataque. La marcan la dependencia de los sistemas, la calidad de las copias de seguridad, los privilegios de acceso, la preparación del equipo y la capacidad directiva para tomar decisiones durante las primeras horas.

Cuánto cuesta un ciberataque: las cinco partidas reales

El error habitual es presupuestar solo la reparación técnica. Restaurar servidores, recuperar cuentas de Microsoft 365 o contratar una investigación forense es visible y fácil de facturar. Sin embargo, suele ser solo una parte del impacto.

La primera partida es la interrupción operativa. Si ventas no puede emitir presupuestos, almacén no accede a pedidos o el equipo de atención no puede consultar expedientes, la empresa deja de facturar o trabaja a una fracción de su capacidad. Hay que calcular el margen bruto que se deja de generar, no solo la facturación aplazada. También conviene incluir horas improductivas de plantilla, horas extra y posibles penalizaciones contractuales.

La segunda es la respuesta y recuperación. Aquí entran la contención del incidente, el análisis de qué ha ocurrido, la limpieza de equipos, la restauración de copias, el restablecimiento de identidades, el cambio de credenciales y la revisión de configuraciones. Un incidente limitado puede requerir entre 10.000 y 30.000 euros de trabajo especializado. Si afecta a varios sistemas, no existen backups verificables o hay que reconstruir entornos, el importe puede superar con facilidad los 50.000 euros.

La tercera partida es el fraude directo. Un correo comprometido puede derivar en facturas manipuladas, cambios de cuenta bancaria o pagos autorizados de forma indebida. En estos casos, el coste depende más de los controles financieros que de la tecnología. Una doble validación fuera del correo puede evitar una pérdida de 20.000 euros; no tenerla puede convertir un ataque relativamente sencillo en una crisis de tesorería.

La cuarta es la responsabilidad legal y contractual. Si hay acceso no autorizado a datos personales, la empresa debe evaluar obligaciones de notificación bajo el RGPD, documentar el incidente y, según el caso, informar a afectados. En sectores como salud, servicios profesionales o manufactura con información sensible, también pueden existir exigencias de clientes, auditorías y consecuencias contractuales. No todos los incidentes acaban en sanción, pero ignorar esta capa multiplica el riesgo.

La quinta es la pérdida de confianza. Es la más difícil de medir y, en algunos negocios, la más cara. Un cliente puede tolerar una caída puntual; tolera peor que la empresa no sepa explicar qué ha pasado, qué información se ha visto comprometida y cómo evitará una repetición. La reputación no se recupera con un comunicado improvisado.

El coste depende del tipo de ataque y de su alcance

No todos los ciberataques tienen la misma gravedad. Un intento de phishing detectado a tiempo puede costar apenas una jornada de revisión y formación. Una cuenta directiva comprometida puede generar fraude, robo de información y acceso a otros sistemas. Un ransomware que cifra servidores y copias conectadas puede detener la actividad durante días o semanas.

Como referencia para una pyme de entre 50 y 200 empleados, un incidente de correo con fraude o acceso limitado puede situarse entre 15.000 y 60.000 euros al sumar investigación, interrupción y medidas correctoras. Un ataque de ransomware con varios días de parada suele moverse entre 50.000 y 250.000 euros, y puede ser mayor si depende de producción, logística, historiales clínicos o plataformas propias.

Estas cifras no son una tarifa ni una predicción. Son un marco para evitar la falsa tranquilidad de pensar que “a nosotros no nos pasará” o que un seguro resolverá el problema. El seguro puede cubrir una parte de los gastos, pero normalmente exige controles previos y no sustituye los ingresos perdidos, el tiempo de dirección ni la relación con un cliente que decide marcharse.

Un ejemplo que un comité de dirección entiende

Imagine una empresa de distribución con 100 empleados y una facturación anual de 12 millones de euros. Un ransomware bloquea el ERP y el correo durante cuatro días laborables. La empresa pierde margen por pedidos que no puede procesar, paga horas extra para reconstruir operaciones manualmente y contrata especialistas para recuperar el entorno.

Si la parada y la ineficiencia operativa representan 25.000 euros, la respuesta técnica 35.000, las mejoras urgentes 20.000 y hay 15.000 euros de coste comercial o penalizaciones, el impacto asciende a 95.000 euros. Y aún no se ha incluido una posible pérdida de clientes ni el tiempo de los directivos. El atacante puede haber pedido un rescate de 30.000 euros, pero ese rescate no era el coste total del incidente.

Pagar tampoco garantiza recuperar todos los datos, eliminar la puerta de entrada o evitar una filtración posterior. Es una decisión de crisis, no una estrategia de continuidad.

Cómo calcular su exposición antes de sufrirla

La fórmula útil no es compleja: coste de una hora de parada multiplicado por las horas de indisponibilidad, más recuperación técnica, fraude potencial, obligaciones legales y pérdida comercial estimada. Lo difícil es reunir datos fiables y aceptar las dependencias reales del negocio.

Empiece por identificar qué procesos no pueden detenerse más de cuatro, ocho o 24 horas. No pregunte primero por servidores o licencias. Pregunte qué ocurre si no se puede facturar, servir pedidos, cobrar, atender a clientes o acceder a documentación crítica. Después, relacione cada proceso con las aplicaciones, identidades, dispositivos, proveedores y datos de los que depende.

Este ejercicio suele revelar problemas incómodos: copias que existen pero nunca se han restaurado, cuentas compartidas, administradores sin control, herramientas duplicadas y accesos de antiguos empleados que siguen activos. No son detalles técnicos. Son costes potenciales ya incorporados al modelo operativo.

También conviene definir el objetivo de recuperación. Una empresa puede aceptar recuperar un archivo en 24 horas, pero no puede aceptar tener la facturación detenida una semana. Sin un tiempo de recuperación acordado por dirección, el equipo tecnológico trabaja a ciegas y las inversiones se deciden por miedo o por la presión del último incidente.

Reducir el coste no consiste en comprar más herramientas

Muchas pymes responden a un susto contratando otra solución de seguridad. A veces es necesaria, pero comprar tecnología sin revisar el modelo de operación añade gasto y falsa sensación de control. La prioridad debe ser reducir la probabilidad del ataque y, sobre todo, limitar el daño cuando ocurra.

Hay cuatro decisiones que suelen ofrecer el mayor retorno. La primera es proteger las identidades: autenticación multifactor bien configurada, cuentas administrativas separadas y revisión periódica de privilegios. La segunda es disponer de copias de seguridad aisladas y probadas mediante restauraciones reales. Una copia que no se ha restaurado no es un plan de recuperación.

La tercera es establecer controles operativos frente al fraude: validación por un canal alternativo de cambios bancarios, límites de aprobación y procedimientos claros para pagos urgentes. La cuarta es contar con un plan de respuesta breve y ejecutable, con responsables, teléfonos, criterios de escalado y mensajes preparados para empleados, clientes y proveedores.

En una organización de este tamaño, el plan no tiene que ser un documento de cien páginas. Debe permitir que, a las 8:15 de un lunes complicado, alguien sepa quién puede aislar sistemas, quién autoriza gastos extraordinarios, cómo se mantiene la operación mínima y cuándo se informa a dirección. La diferencia entre una interrupción de horas y una crisis de semanas suele estar ahí.

Una auditoría tecnológica orientada a negocio permite convertir estas preguntas en un mapa de riesgos, prioridades, inversión y responsables. El objetivo no es vender miedo ni prometer seguridad absoluta. Es decidir qué riesgos acepta la empresa, cuáles debe reducir y cuánto cuesta no actuar.

La mejor inversión en ciberseguridad no es la que acumula más herramientas, sino la que permite seguir operando con control cuando algo falla. Ese es el estándar que una pyme debería exigir antes de descubrir su coste real en plena crisis.