Contraseñas y accesos: el agujero más barato de tapar
La mayoría de los incidentes en empresas pequeñas no empiezan con un ataque sofisticado, sino con una contraseña compartida. Cómo ordenarlo sin complicarte la vida.
Cuando una empresa pequeña tiene un incidente de seguridad, rara vez es por un ataque sofisticado. Suele ser por algo mucho más prosaico: una contraseña que conocían seis personas, una cuenta de alguien que se fue hace dos años, o la misma clave usada en el banco y en una tienda online que sufrió una filtración.
La buena noticia es que esto es de lo más barato de arreglar.
El problema de la contraseña compartida
Casi todas las empresas pequeñas tienen una contraseña que conoce «el equipo». Funciona bien hasta que deja de funcionar:
- Nadie sabe exactamente quién la conoce.
- Cuando alguien se va, habría que cambiarla, y casi nunca se hace.
- Si pasa algo, no hay forma de saber quién hizo qué.
- Como la sabe mucha gente, acaba escrita en algún sitio: un post-it, una nota del móvil, un WhatsApp de hace tres años que sigue ahí.
No es una cuestión de desconfiar de nadie. Es que una credencial compartida no se puede retirar: una vez conocida, lo es para siempre.
Lo que hay que ordenar, por orden de importancia
1. El correo electrónico
Es la cuenta más crítica de todas, y poca gente lo tiene presente. Quien controla tu correo puede restablecer la contraseña de casi todo lo demás: el hosting, el banco, las redes sociales, el dominio.
Si solo vas a proteger bien una cosa, que sea esta.
2. El dominio
Si alguien se hace con el control de tu dominio, puede llevarse tu web y tu correo a otro sitio. Recuperarlo es lento y desagradable. Y muchas veces ni siquiera sabemos quién tiene acceso, porque se registró hace años.
3. El hosting y el panel de la web
Por razones evidentes.
4. Lo demás
Redes sociales, herramientas, plataformas de facturación. Importante, pero recuperable.
Tres medidas que valen la pena
Un gestor de contraseñas. Suena a complicación y es justo lo contrario: dejas de tener que recordar nada y cada servicio tiene una clave distinta. Hay opciones gratuitas y de pago; cualquiera es mejor que el cuaderno. Lo importante no es cuál eliges, sino que dejes de reutilizar contraseñas.
Verificación en dos pasos en lo crítico. Correo, dominio y hosting como mínimo. Es un código adicional al entrar. Añade diez segundos a tu día y convierte una contraseña robada en algo bastante inútil.
Una cuenta por persona. En lugar de una compartida. Así, cuando alguien se va, se desactiva la suya y ya está, sin tener que cambiar nada para los demás.
El repaso de cinco minutos
Hazlo una vez al año, o cada vez que alguien entre o salga del equipo:
- Entra en el panel de tu web y mira la lista de usuarios. ¿Reconoces a todos?
- ¿Hay cuentas de proveedores anteriores?
- ¿Sigue existiendo un usuario llamado
admin? - ¿Quién tiene acceso al correo de administración del dominio?
- ¿Hay alguna contraseña que use más de una persona?
Cada «sí» de esa lista es un riesgo que puedes quitar hoy mismo, gratis.
Cuando alguien deja la empresa
Es el momento donde más se falla, porque hay otras prioridades. Un pequeño protocolo ayuda:
- Desactivar, no borrar, su cuenta de usuario (borrar a veces se lleva contenido asociado).
- Cambiar cualquier contraseña que conociera y que siga siendo compartida.
- Revisar si tenía acceso al correo de administración o al dominio.
- Quitarle de las herramientas de terceros.
Hacerlo el mismo día cuesta quince minutos. Hacerlo dos años después, cuando ya nadie recuerda qué tenía, cuesta bastante más.
Si quieres que revisemos quién tiene acceso a tu web y si hay cuentas que sobran, podemos mirarlo.