- El 28 % de los ciberataques a pymes españolas empieza con un correo de phishing y una contraseña robada (INCIBE).
- MFA detiene el 99,9 % de los ataques de credenciales, según Microsoft Security Research (Microsoft Security).
- INCIBE gestionó 122.223 incidentes de ciberseguridad en 2025, un +26 % interanual (Memoria INCIBE 2025).
📅 Actualizado el 9 de mayo de 2026 — revisión técnica por Softnet Sistemas, partner B2B en Alicante.
Eran las 7:42 de la mañana de un martes y Lucía, gerente de una empresa de distribución alimentaria de Alicante con 28 empleados, abrió su correo nada más sentarse en la oficina. El mensaje parecía rutinario: un aviso de Microsoft pidiéndole renovar su contraseña de Office 365 antes de que expirara a mediodía. Hizo clic en el enlace, introdujo su correo y su contraseña habitual, y siguió con la mañana sin pensarlo más.
A las 11:15 su responsable de administración le pidió aprobar una transferencia urgente de 28.400 euros a un proveedor nuevo. El correo venía aparentemente de Lucía, con su firma, su tono y su forma habitual de escribir. Lucía, que estaba en una reunión, contestó por WhatsApp: «Adelante». Tres minutos después, el dinero salió de la cuenta corporativa.
El proveedor no existía. La firma del correo tampoco. Mientras Lucía revisaba pedidos, alguien al otro lado de Europa llevaba cuatro horas dentro de su buzón, leyendo conversaciones internas, copiando facturas y suplantando su identidad con un perfil aprendido al detalle.
El error costó 28.400 euros, dos semanas de trabajo forense y un susto que Lucía aún recuerda cada vez que recibe un correo «de Microsoft». Y todo se habría detenido en seco con una medida que cuesta cero euros y se activa en diez minutos: la autenticación multifactor (MFA), también conocida como doble factor o verificación en dos pasos.
Por qué la contraseña ya no protege a tu pyme en 2026
El último balance de INCIBE arroja una cifra que debería sentar a cualquier empresario delante de su CIO: 122.223 incidentes de ciberseguridad gestionados en 2025, un 26 % más que el año anterior. De ellos, el fraude online supuso 45.445 casos —cuatro de cada diez incidentes—, y el phishing por sí solo concentró 25.133 expedientes.
La fotografía es clara: España es uno de los países europeos más afectados por phishing y, según el Informe de Ciberpreparación de Hiscox, el 96 % de las empresas españolas reconoce haber sufrido al menos un ciberataque en los últimos doce meses. Y la causa de entrada más frecuente sigue siendo la misma de hace cinco años: una contraseña robada, filtrada o adivinada.
El problema es estructural. Una contraseña, por compleja que sea, es solo un secreto: si se filtra una vez, deja de serlo para siempre. Y los secretos vuelan rápido. Cuando alguien introduce sus credenciales en una web falsa —como hizo Lucía— ese dato termina vendiéndose en mercados clandestinos junto a millones de combinaciones más, listas para ser probadas en cualquier servicio donde el usuario haya repetido la misma clave.
El 80 % de los ataques con credenciales se detienen con un segundo factor
Los grandes proveedores de identidad llevan años publicando la misma estadística: activar la autenticación multifactor neutraliza más del 80 % de los ataques basados en robo de credenciales. No es marketing. Es matemática: si para entrar hace falta algo que el atacante no tiene —tu móvil, una llave física, tu huella—, el secreto robado deja de servirle.
Por eso bancos, AEAT, Seguridad Social y casi cualquier servicio público han hecho obligatorio el segundo factor. La pregunta interesante no es si tu pyme debería tenerlo, sino por qué todavía no lo tiene en el correo, en el ERP, en el CRM y en el acceso remoto.
Qué es realmente la autenticación multifactor
El concepto es sencillo: para confirmar tu identidad necesitas combinar dos elementos de categorías distintas. Tradicionalmente se habla de tres factores:
- Algo que sabes: la contraseña de toda la vida.
- Algo que tienes: el móvil corporativo, una llave física tipo YubiKey, una tarjeta inteligente.
- Algo que eres: huella dactilar, reconocimiento facial, voz.
Combinar dos factores —típicamente contraseña + móvil— eleva drásticamente el coste del ataque. El delincuente puede hacerse con tu contraseña en un minuto, pero conseguir además acceso a tu teléfono físico es un orden de magnitud más complicado.
No todos los segundos factores valen lo mismo
En la práctica las pymes españolas suelen elegir entre cuatro métodos, y conviene ordenarlos de menor a mayor robustez:
- SMS al móvil: el más común, pero también el más débil. Vulnerable a SIM swapping (clonado de tarjeta SIM) y a interceptación. Mejor que nada, pero no es el método recomendado para servicios críticos.
- App de autenticación tipo Microsoft Authenticator, Google Authenticator o Authy: genera códigos de un solo uso cada 30 segundos. Gratis, sencillo y muchísimo más seguro que el SMS.
- Notificación push con confirmación: la app del proveedor envía un aviso al móvil y el usuario aprueba con un clic. Cómodo y seguro, pero ojo con la «fatiga MFA» cuando el atacante bombardea al usuario para que apruebe sin pensar.
- Llaves físicas FIDO2 (YubiKey, Titan): el estándar de oro. Inmunes a phishing porque verifican criptográficamente el dominio antes de responder. Cuestan 30-60 euros por usuario y son la opción que recomendamos para directivos, finanzas y administración.
Por dónde empezar: el orden importa
Cuando entramos en una pyme y revisamos su superficie de ataque, casi siempre encontramos el mismo patrón: MFA activado en un par de servicios al azar, ausente en los que más duelen. La regla práctica es priorizar por impacto.
1. El correo corporativo, primero y siempre
Microsoft 365 y Google Workspace son la puerta principal. Quien controla el correo controla las recuperaciones de contraseña de todo lo demás, lee facturas, suplanta al gerente y monta fraudes BEC como el de Lucía. Activar MFA aquí debería ser irrevocable y para todos, sin excepciones de «el director está muy ocupado».
2. El ERP, el CRM y el TPV
El sistema de gestión empresarial guarda lo más sensible: precios de coste, márgenes, proveedores, datos bancarios de clientes. Si tu ERP, CRM o TPV permite MFA —y los modernos lo permiten—, actívalo en cuentas administrativas y en el acceso remoto. Si no lo permite, plantea una migración: en 2026 un sistema de gestión sin doble factor es una vulnerabilidad andante.
3. La VPN y el escritorio remoto
El teletrabajo abrió la puerta de los servidores corporativos a internet. Cualquier acceso remoto —VPN, RDP publicado, escritorio virtual— necesita doble factor obligatorio. INCIBE documenta cada año decenas de pymes españolas comprometidas por un RDP expuesto con credenciales débiles. No hay excusa técnica para no añadir un segundo factor.
4. Banca electrónica y firmas digitales
La banca lo trae de serie por normativa PSD2. Asegúrate de que tu certificado digital, tu acceso a la sede de la AEAT y tus firmas electrónicas también lo tienen, especialmente si los gestiona más de una persona en la empresa.
Los tres errores que vemos cada semana
Implantar MFA mal es casi tan peligroso como no implantarlo. Estos son los fallos más habituales en las pymes alicantinas que llegan a nosotros tras un susto:
- Excepciones para «los directivos»: precisamente las cuentas con más permisos son las que más necesitan el segundo factor. Si el atacante elige a quién comprometer, irá a por el gerente, no a por el becario.
- Confiar solo en el SMS: cómodo, sí, pero el SIM swapping es un vector real y barato. Para correo corporativo y ERP, mejor app o llave física.
- No formar al equipo en fatiga MFA: el ataque más sofisticado de 2025 consiste en bombardear al usuario con notificaciones push hasta que aprueba una sin mirar. La gente debe saber que cualquier notificación inesperada es sospechosa.
Cuánto cuesta y cuánto se tarda
Hablemos en euros, que es lo que importa. Para una pyme alicantina de 20 empleados que ya use Microsoft 365 Business o Google Workspace, activar MFA con app de autenticación es gratis y se hace en una mañana. Si se opta por llaves físicas FIDO2 para los 5 perfiles más críticos —dirección, administración, IT y dos comerciales con acceso al CRM—, la inversión ronda los 200-300 euros, una sola vez.
Compáralo con los 28.400 euros de Lucía, con los 15.000 euros de coste medio de un ransomware en pyme española, o con la sanción de la AEPD por una brecha de datos personales. La rentabilidad de la medida es difícil de superar.
El proceso de implantación, paso a paso
Una implantación seria en una pyme alicantina se hace en cinco pasos y suele cerrarse en una semana laboral:
- Inventario de servicios críticos y de quién accede a cada uno.
- Elección del método de segundo factor según rol (app para todos, llave física para perfiles sensibles).
- Despliegue piloto con un grupo pequeño para detectar fricciones.
- Activación obligatoria en correo, ERP, CRM, VPN y banca.
- Sesión de formación de 30 minutos al equipo y procedimiento de recuperación de cuenta cuando alguien pierde el móvil.
El doble factor no es la solución a todo, pero es el primer escalón
Que nadie se confunda: MFA no sustituye a tener un buen antivirus, copias de seguridad inmutables, formación continua, parches al día o un firewall correctamente configurado. La ciberseguridad de una pyme se construye en capas. Pero, de todas las capas posibles, la autenticación multifactor es la que más amenazas detiene por menos dinero. Es, literalmente, la medida con mejor relación coste-impacto del catálogo.
Y, sobre todo, es accionable hoy. No requiere comprar hardware caro, no exige consultoría de seis meses, no obliga a cambiar el ERP. Solo requiere decidir que mañana, cuando alguien intente acceder al correo de tu empresa con tu contraseña robada, le falte una pieza imprescindible.
En Softnet llevamos casi 30 años acompañando a pymes alicantinas en ese tipo de decisiones poco glamurosas que evitan disgustos enormes. Si quieres una auditoría rápida del estado actual de tu MFA en correo, ERP, CRM y accesos remotos, podemos revisarlo contigo y dejarte un plan claro y sin compromiso.
Puedes ver nuestros servicios de seguridad informática para empresas en esta página o, si lo que buscas es modernizar tu sistema de gestión para que cumpla los estándares actuales de seguridad, te invitamos a conocer nuestras soluciones de ERP, CRM y TPV. La contraseña ya no protege; el segundo factor sí. Vale la pena dar el paso antes de necesitarlo.
MFA es solo el primer eslabón. En Softnet Sistemas diseñamos un plan de ciberseguridad B2B completo apoyado en mantenimiento informático en Alicante para empresas con técnicos propios, EDR gestionado, MFA en correo/ERP/VPN y respuesta a incidencias en menos de 24 h. Solicita una auditoría sin compromiso.