Hay una idea muy instalada en los negocios pequeños: "a mí no me van a atacar, no soy una empresa grande". Es exactamente al revés. A una PYME no la atacan por ser grande: la atacan porque es fácil. No tiene departamento de TI, la contraseña es la misma para todo y el WhatsApp del negocio está en el celular personal del dueño.
La buena noticia es que la mayoría de los ataques que golpean a negocios en Costa Rica no son sofisticados. Se aprovechan de descuidos, y los descuidos se corrigen. Empecemos por lo que más vemos.
Las estafas que más golpean a negocios en Costa Rica
Estafas por SINPE Móvil: el comprobante falso
El cliente "paga", manda la captura de pantalla del SINPE Móvil y se lleva el producto. La captura está editada: el dinero nunca entró.
Cómo evitarlo: nunca entregue por una captura. Confirme el ingreso en la aplicación de su banco, no en la imagen que le mandan. Si hay mucho movimiento, designe a una sola persona que confirme pagos antes de despachar.
La estafa del SINPE equivocado: "me equivoqué de número"
Llega un depósito, o una captura de uno, y enseguida un mensaje pidiendo que devuelva la plata porque fue un error. A veces el depósito ni existió; otras veces sí existió y después se revierte.
Cómo evitarlo: no devuelva nada por su cuenta. Revise en su banco que el ingreso sea real y consulte con el banco cómo proceder. Una persona honesta que se equivocó puede esperar a que el banco lo resuelva.
El robo del WhatsApp del negocio
Alguien escribe haciéndose pasar por un contacto o por soporte técnico y pide que le reenvíe "un código de seis dígitos que le llegó por error". Ese código es el de verificación de WhatsApp. Con él, se quedan con la cuenta y le escriben a todos sus clientes pidiendo plata a su nombre.
Cómo evitarlo: ese código no se comparte nunca, con nadie. Y active la verificación en dos pasos de WhatsApp, un PIN propio, para que aunque consigan el código, no puedan entrar.
El correo del proveedor que "cambió de cuenta"
Llega un correo que parece de un proveedor conocido avisando que cambió su cuenta bancaria y que los próximos pagos van a otra. El correo es falso, o el del proveedor fue hackeado. El pago se va a los estafadores.
Cómo evitarlo: cualquier cambio de cuenta bancaria se confirma llamando al proveedor a un número que ya tenía, nunca al que viene en el mismo correo.
El mensaje que se hace pasar por el banco
Un correo o mensaje con el logo de su banco avisa de un "movimiento sospechoso" o una "cuenta bloqueada" y lo manda a un enlace para verificar. La página es una copia perfecta que se roba su usuario y contraseña.
Cómo evitarlo: nunca entre al banco desde un enlace que le mandaron. Escriba la dirección usted mismo o use la aplicación oficial. Los bancos no piden contraseñas por mensaje.
Si su negocio tiene página en WordPress
Además de las estafas, la página web también se ataca. En octubre de 2026 se conoció una falla grave en PHP, el lenguaje con el que funciona WordPress, que se corrige actualizando el servidor. Le explicamos cómo revisarlo en la falla de PHP que encontró la IA: qué hacer si su página usa WordPress.
Las diez medidas mínimas
No hace falta un presupuesto de empresa grande. Con esto cierra la mayoría de las puertas:
- Verificación en dos pasos en todo lo importante: correo, banco, WhatsApp, redes sociales y el panel de su sitio web. Es la medida que más ataques frena, por lejos.
- Una contraseña distinta para cada servicio, guardadas en un gestor de contraseñas. Si se filtra una, no caen todas.
- Cuentas separadas para cada persona. Nada de una sola cuenta compartida por todo el equipo: si alguien se va, no hay forma de cerrarle el acceso sin cambiarlo todo.
- Quitar accesos el mismo día que alguien deja la empresa. Correo, sistemas, redes, el WhatsApp del negocio.
- Respaldos que estén fuera de la oficina, y probar de vez en cuando que se pueden recuperar. Un respaldo que nunca se probó no es un respaldo.
- Actualizar el sistema operativo, el celular y, sobre todo, su sitio web y sus complementos. Los sitios en WordPress desactualizados son de los blancos más fáciles que existen.
- Confirmar pagos en el banco, nunca por capturas de pantalla.
- Confirmar cambios de cuenta bancaria por teléfono, a un número que ya tenía.
- Una red de wifi aparte para clientes, separada de la que usan las computadoras del negocio.
- Proteger su dominio contra la suplantación de correo. Hay tres registros técnicos (SPF, DKIM y DMARC) que evitan que alguien mande correos haciéndose pasar por su empresa. Casi ninguna PYME los tiene bien configurados.
Su sitio web también es una puerta
Un sitio hackeado no solo se cae: puede empezar a mandar spam a su nombre, redirigir a sus visitantes a páginas de estafa o quedar marcado por Google como peligroso, lo que hunde su posicionamiento de un día para otro.
Lo mínimo para un sitio de negocio:
- HTTPS, el candado del navegador.
- Actualizaciones al día del sistema y de cada complemento, y borrar los que no se usan.
- Contraseñas fuertes y verificación en dos pasos en el panel de administración.
- Respaldos automáticos guardados fuera del mismo servidor.
- Que nadie tenga acceso de administrador si no lo necesita.
Los sitios estáticos, sin base de datos que consultar en cada visita, tienen mucha menos superficie de ataque, y es una de las razones por las que los usamos cuando el proyecto lo permite.
Si ya le pasó
Actuar rápido limita el daño:
- WhatsApp robado: reinstale WhatsApp con su número para recuperar la cuenta, y avise de inmediato a sus clientes por otros medios que no respondan pedidos de dinero.
- Datos bancarios comprometidos: llame al banco de inmediato para bloquear.
- Contraseñas expuestas: cámbielas desde un dispositivo que sepa que está limpio, empezando por el correo, porque desde el correo se recupera todo lo demás.
- Fraude consumado: guarde las capturas, los números y los comprobantes, y presente la denuncia ante el OIJ.
La seguridad es un hábito, no una compra
Ningún producto lo protege si la contraseña está pegada en un papel junto a la computadora o si alguien reenvía el código de WhatsApp. La mayor parte de la seguridad de una PYME está en que el equipo conozca estas estafas y sepa qué no hacer. Una reunión de media hora contándoles este artículo protege más que muchos programas.
Si quiere que revisemos la seguridad de su sitio o que lo mantengamos actualizado, en desarrollo web está cómo lo construimos con la seguridad desde el inicio, y en el plan de mantenimiento cómo lo cuidamos después.