En agosto media España baja la persiana, y las pymes más que nadie. Lo que no baja el ritmo son los sistemas. El correo sigue recibiendo, la tienda sigue cobrando, el acceso remoto sigue escuchando. Esa asimetría, empresa a medio gas y tecnología a pleno funcionamiento, es exactamente lo que un atacante necesita.
Conviene decirlo sin dramatismo. La ventaja del verano no es técnica. Los ataques de agosto no son más sofisticados que los de marzo. Lo que cambia es el tiempo de reacción. La persona que habría notado el cargo raro está en la playa. La decisión de apagar un sistema espera a que alguien de dirección conteste el teléfono. Y el informático externo que os atiende también tiene vacaciones. Quien entra en un sistema en agosto dispone de algo que escasea el resto del año, días enteros sin que nadie mire.
El contexto de fondo no da tregua. El INCIBE gestionó 122.223 incidentes de ciberseguridad en 2025, un 26 % más que el año anterior. El fraude online es la categoría en plena escalada, con 45.445 casos, un 19 % más. La curva sube todos los años. Lo único que baja en agosto es vuestra capacidad de responder a ella.
En agosto no aumentan los ataques sofisticados. Aumenta el tiempo que nadie mira.
La respuesta razonable para una pyme no es contratar vigilancia veinticuatro horas. Es cerrar antes de cerrar, dejar los accesos como se deja la oficina, con las luces apagadas y una llave localizable. Bastan cuatro comprobaciones y una mañana.
- Una guardia con nombre. Si salta algo el 15 de agosto, ¿a quién se llama? Una persona, un suplente y sus teléfonos en un papel que todo el mundo sepa encontrar. Sin esto, lo demás llega tarde.
- Doble factor en el correo y en los accesos remotos. El correo es la puerta por la que entra casi todo engaño, y en verano se lee desde el móvil y con prisa. Si la contraseña sola abre, ese es el arreglo de esta semana.
- Las cuentas de quien ya no está. Las salidas de junio y julio son el clásico de agosto, personas que ya no trabajan en la empresa y siguen pudiendo entrar. Repasad las bajas recientes y comprobad que sus accesos se cerraron de verdad, también los de proveedores.
- Acceso remoto mínimo. Lo que nadie va a usar en agosto, apagado. Y el acceso permanente de vuestro proveedor informático, convertido en acceso cuando se le llama. Es la diferencia entre una puerta cerrada y una entornada.
Nada de esta lista pide presupuesto ni conocimientos técnicos. Pide media mañana y saber quién puede entrar en vuestra empresa, que es una pregunta de negocio, no de informática. Si al repasarla descubrís que esa lista no existe, ese es el verdadero hallazgo del verano. Para empezar a ponerle remedio hemos preparado una guía básica con su checklist de altas y bajas, Quién puede entrar en tu empresa.
La exposición de agosto no se decide en agosto. Se decide el día antes de cerrar, en una lista de cuatro puntos que cabe en una pizarra. El año que viene, esa lista ya estará hecha.
