Pymes costarricenses enfrentan creciente riesgo de ciberataques por falta de capacitación y recursos

Las pequeñas y medianas empresas (pymes) de Costa Rica continúan siendo uno de los principales blancos de los ciberdelincuentes debido a la falta de recursos tecnológicos, capacitación especializada y medidas de protección informática, una situación que podría comprometer incluso la continuidad de muchos negocios.

Así lo advirtieron especialistas de la Universidad Estatal a Distancia (UNED), quienes hicieron un llamado a los emprendedores y propietarios de pequeñas empresas a incorporar la ciberseguridad como parte de la gestión diaria de sus negocios y no como un gasto opcional.

La advertencia se basa tanto en la experiencia de los expertos de la universidad como en los resultados del ESET Security Report 2025, un estudio elaborado con la participación de más de 3,000 profesionales de ciberseguridad de América Latina.

De acuerdo con ese informe, el 27% de las organizaciones sufrió al menos un ciberataque durante el último año, mientras que un 22% fue víctima de ransomware en los últimos dos años. Además, menos de la mitad implementa medidas preventivas como el cifrado de datos, la clasificación de información o programas de capacitación para sus colaboradores.

Rolando Rojas Coto, encargado de Infraestructura Tecnológica de la Dirección de Tecnologías de Información y Comunicaciones (DTIC) de la UNED, explicó que persiste la falsa creencia de que únicamente las grandes corporaciones son atractivas para los delincuentes informáticos.

Sin embargo, señaló que ocurre exactamente lo contrario: muchas pymes representan objetivos más sencillos debido a que operan con recursos limitados, poco personal especializado y sistemas básicos de seguridad.

Según el especialista, el crecimiento del uso del correo electrónico, las plataformas en la nube y el trabajo remoto ha incrementado considerablemente la superficie de exposición de estos negocios frente a amenazas digitales.

Entre los ataques más comunes que enfrentan las pequeñas empresas destacan el phishing, mediante el cual los delincuentes buscan robar credenciales de acceso; el ransomware, que secuestra la información y exige un pago para liberarla; las fugas de datos ocasionadas por configuraciones incorrectas; el uso de contraseñas débiles o repetidas; y los ataques dirigidos a proveedores que forman parte de una cadena de suministro.

Para Rojas, el principal punto vulnerable muchas veces no es la tecnología, sino el comportamiento de las personas.

“Muchas veces el mayor riesgo no es tecnológico, sino humano; los ciberdelincuentes aprovechan errores cotidianos de las personas para acceder a la información de las empresas”, explicó el funcionario de la UNED.

Vulnerabilidad financiera

La universidad también alertó sobre otro factor que incrementa el riesgo para los pequeños negocios: la forma en que muchas pymes administran sus finanzas durante las primeras etapas de operación.

El director de UNED Impulsa, Luis Emilio Rodríguez Badilla, indicó que una gran cantidad de emprendimientos comienza sus actividades de manera informal, lo que favorece prácticas inseguras como mezclar las finanzas personales con las del negocio, compartir credenciales de acceso entre colaboradores o administrar cuentas bancarias desde dispositivos personales.

Además, explicó que las necesidades de financiamiento llevan a muchos empresarios a buscar alternativas fuera del sistema financiero tradicional, situación que puede ser aprovechada por delincuentes mediante técnicas de ingeniería social para obtener información confidencial o acceder a cuentas bancarias.

Rodríguez advirtió que la mayoría de las pymes inicia operaciones con un capital limitado, por lo que un ciberataque exitoso puede representar pérdidas económicas difíciles de recuperar e incluso provocar el cierre definitivo del negocio.

A esto se suma que muchas empresas carecen de recursos suficientes para invertir en procesos permanentes de capacitación sobre seguridad digital.

Medidas al alcance de cualquier empresa

Pese al panorama, los especialistas enfatizaron que mejorar la ciberseguridad no necesariamente implica realizar grandes inversiones económicas.

Entre las principales recomendaciones figuran activar la autenticación multifactor en todas las cuentas, capacitar periódicamente al personal para identificar intentos de fraude, mantener respaldos actualizados de la información, instalar oportunamente las actualizaciones de sistemas y aplicaciones, establecer protocolos para responder a incidentes y utilizar contraseñas robustas y diferentes para cada servicio.

Los expertos insistieron en que estas prácticas reducen significativamente la posibilidad de sufrir un ataque y permiten minimizar el impacto en caso de que ocurra un incidente.

“La ciberseguridad no es un producto que se compra una vez; es una práctica continua que debe formar parte de la gestión diaria de cualquier organización”, indicó Rolando Rojas, al insistir en la necesidad de que las pequeñas empresas incorporen la protección digital como parte de su estrategia de crecimiento y sostenibilidad.