La respuesta corta: Los agentes de IA han hecho que hackear sea barato y automático, así que los atacantes ya no necesitan escoger a quién atacar. Lo prueban todo. La buena noticia es que lo básico sigue funcionando: verificación en dos pasos, software actualizado, menos cuentas y llaves olvidadas, y una regla de devolver la llamada para cualquier pedido de dinero.
¿Qué pasó este mes?
En octubre, investigadores de seguridad encontraron a un hacker usando agentes de IA autónomos para entrar a sitios web de empresas. Según Reuters y la firma de investigación NorForge, los agentes atacaron más de 1,200 sitios y lograron entrar a sitios de más de 100 empresas, incluyendo nombres conocidos como Deere, SharkNinja y Cummins.
Lo que llamó la atención no fue un tipo de ataque nuevo. Fue lo poco que costó. Reuters informó que las instrucciones que recibieron los agentes eran apenas una indicación corta, y los investigadores estimaron que el atacante gastó unos $5,000 en uso de IA, más o menos $50 por cada sitio al que logró entrar. Los agentes hicieron el resto solos, día y noche.
No fue el único caso. Fortune informó sobre una ola más amplia de ataques con ayuda de IA este mes, incluyendo uno contra bancos en Corea del Sur que expuso datos de unas 68,000 personas.
¿Por qué le debería importar a un pequeño negocio?
Durante años, muchos dueños de pequeños negocios pensaron que los hackers tenían objetivos más grandes. En parte era cierto: el tiempo de un atacante experto era caro, así que lo usaba en empresas grandes.
Los agentes de IA cambian esa cuenta. Cuando un ataque cuesta unos pocos dólares y corre sin que nadie lo supervise, vale la pena probarlo contra todos. En esta campaña, los agentes entraron por puntos débiles comunes: código viejo en el sitio web, un formulario para subir archivos que nadie quitó, una configuración mal hecha. Eso existe en los sitios de pequeños negocios por lo menos tan seguido como en los grandes.
¿Cómo protejo mi negocio?
Nada de esto requiere un equipo de seguridad. La mayor parte es una tarde de limpieza y algunos hábitos.
1. Activa la verificación en dos pasos donde importa
Empieza por tu correo, porque con él se pueden restablecer todas las demás contraseñas. Después tu banco, el acceso a tu sitio web, tu proveedor de dominio, tu CRM y tus herramientas de pago. Usa una app de autenticación o una llave de acceso (passkey) cuando puedas; los códigos por mensaje de texto son mejor que nada, pero más fáciles de robar.
2. Mantén tu sitio web y sus plugins actualizados, y borra lo que no uses
Los agentes de esta campaña buscaban código viejo y piezas olvidadas: plugins desactualizados, formularios viejos para subir archivos, páginas de prueba que nadie borró. Actualiza la plataforma de tu sitio y sus plugins, y borra lo que no estés usando. Cada pieza sin uso es una puerta que nadie está vigilando.
3. Usa un administrador de contraseñas y deja de compartir accesos
Una contraseña larga y diferente para cada cuenta, guardada en un administrador de contraseñas. Si tu equipo comparte un mismo acceso para algo, dale a cada persona su propia cuenta, así puedes quitarle el acceso a una persona sin cambiarlo para todos.
4. Ordena las llaves que conectan tus herramientas
Si tu CRM se conecta con tu calendario, tus formularios con tu correo y tu sitio web con tu procesador de pagos, cada conexión funciona con una llave o un acceso. En esta campaña, los investigadores encontraron cientos de llaves y contraseñas robadas en los datos del atacante, y algunas todavía funcionaban. Haz una lista corta de qué está conectado con qué, quita las conexiones que ya no usas y nunca pegues llaves en correos, documentos compartidos o chats.
5. Quita el acceso a quienes ya no trabajan contigo
Empleados que se fueron, contratistas viejos, el diseñador web de hace tres años. Revisa quién todavía tiene acceso a tu correo, sitio web, CRM y banco, y quita a quien no lo necesite hoy.
6. Verifica cualquier pedido de dinero devolviendo la llamada
La IA no solo entra a sitios web. El FBI ha advertido que los criminales usan IA para escribir correos de phishing convincentes y clonar voces para autorizar pagos. Hazlo regla: cualquier pedido para enviar dinero, cambiar datos bancarios o compartir una contraseña se verifica llamando a la persona a un número que ya tienes. Una palabra clave con tu equipo también funciona.
7. Haz copias de seguridad de lo que no puedes perder
Listas de clientes, facturas, tu sitio web. Guarda una copia reciente en un lugar separado del original y comprueba por lo menos una vez que de verdad puedes restaurarla.
8. Cuidado con lo que pegas en herramientas de IA
Las herramientas de IA son útiles, y nosotros trabajamos con ellas todos los días. Pero la información de tus clientes, las contraseñas y las llaves no van en un chatbot gratuito. Usa cuentas de negocio con configuraciones de datos claras y deja los datos sensibles fuera de tus indicaciones.
¿Por dónde empiezo esta semana?
Si solo haces tres cosas: activa la verificación en dos pasos en tu correo, actualiza o borra los plugins viejos de tu sitio web y pon la regla de devolver la llamada con tu equipo. Eso cubre las formas más comunes de entrar.
En resumen
La IA no inventó nuevas formas de entrar. Hizo que las formas de siempre fueran tan baratas que se pueden probar contra todos. Eso significa que los negocios afectados no serán los más grandes, sino los que se saltaron lo básico.
Cuando configuramos automatización de procesos o un CRM para un negocio, cada conexión nueva es una llave más que cuidar. Si no tienes claro qué está conectado con qué en tu negocio, eso es algo que revisamos en una auditoría gratuita.
Fuentes: The Hacker News, 20 de octubre de 2026 (citando a Reuters y NorForge); Fortune, 21 de octubre de 2026; FBI San Francisco.