Lo que Internet ve de su empresa: la superficie de ataque explicada

7 min de lectura · DataRoad

La superficie de ataque externa La empresa de cada uno es la suma de todo lo que cualquier persona puede ver y intentar abrir desde Internet, sin tener que entrar nunca en su oficina. La respuesta corta a la pregunta “¿qué ve la Internet de nosotros?” es casi siempre: más de lo que la administración considera. Un panel de gestión abierto, una VPN que se actualizó hace un año, un subdominio antiguo que nadie ha deshabilitado. Cada uno es una puerta.

¿Qué es exactamente la superficie de ataque?

Piensen en el edificio de la empresa. La puerta principal tiene cerradura y alarma. Pero también hay la puerta trasera y el garaje que un proveedor utilizó hace tres años. La superficie de ataque es el conjunto de todas las entradas, incluidas las olvidadas.

En el mundo digital, estas entradas son servicios vinculados a Internet. Algunos son necesarios —correo electrónico, sitio web, acceso remoto—. Otros quedaron abiertos por error o olvido.

Las cinco entradas que encontramos con más frecuencia

1. Paneles de gestión expuestos

Los routers de operador, los firewalls, los NAS (discos de red donde muchas empresas guardan archivos), las cámaras de videovigilancia y las impresoras tienen páginas de administración. Cuando se hacen accesibles desde Internet, cualquier persona puede intentar contraseñas tras contraseñas, o explotar una falla conocida en este modelo.

2. VPN y firewall desactualizados

La VPN es el túnel que permite a los empleados trabajar desde casa. Por definición, está orientada hacia Internet. Por eso, cuando un fabricante de firewalls publica una corrección de seguridad, los atacantes la estudian y empiezan a buscar equipos que aún no hayan instalado esa actualización. La CISA, la agencia de ciberseguridad de Estados Unidos, mantiene un catálogo público de vulnerabilidades que ya están siendo explotadas en la práctica — el catálogo KEV — y los equipos de acceso remoto aparecen allí con regularidad. Para las agencias federales, la norma es corregir cada nueva vulnerabilidad del catálogo en dos semanas. Es una buena medida para cualquier empresa. Explica el coste de la demora en el artículo Actualizaciones informáticas: “más tarde lo hago” sale caro.

3. Acceso remoto directo al entorno de trabajo

Abrir el entorno de trabajo remoto de Windows (RDP) directamente a Internet, “solo para que el contador pueda entrar el fin de semana”, es una de las solicitudes más frecuentes. Siempre debe utilizarse una VPN o una solución de acceso con verificación de identidad — consulte porque la VPN por sí sola ya no es suficiente.

4. Dominios y subdominios olvidados

loja.empresa.pt, teste.empresa.pt, la campaña de 2019. Cada subdominio apunta a algún sitio. Si ese sitio ha sido desactivado pero el registro se ha mantenido, un tercero puede, en ciertos casos, ocupar el dominio y ofrecer contenido con el nombre de su empresa. Y un dominio que expira por olvido conlleva tanto el sitio web como el correo electrónico — abordamos este riesgo en dominios y certificados que caducan.

5. Direcciones de correo electrónico expuestas

Los correos electrónicos del equipo aparecen en el sitio web, en LinkedIn y en filtraciones de datos de otros servicios. No es posible ocultarlos, pero sí es posible saber cuáles están más expuestos y garantizar que ninguna cuenta depende únicamente de la contraseña. El factor humano pesa: según el CNCS, cerca de la mitad de los incidentes registrados en 2025 explotaron vulnerabilidades relacionadas con las personas, con el phishing como método principal.

Cómo medir: lo que un diagnóstico externo verifica

Se mide desde fuera, como lo haría un atacante — pero con autorización y un informe al final.

Cómo cerrar: el plan en cuatro pasos

1. Inventario. Lista de IPs públicos, dominios, subdominios y dispositivos conectados a Internet, con un responsable por cada línea. Lo que no tiene dueño es lo que se olvida.
2. Cerrar por omisión. Todo lo que no necesita estar abierto se cierra. Los paneles de administración solo se pueden acceder a través de la red interna o mediante VPN. El acceso remoto siempre se realiza a través de un canal con MFA (la confirmación en el teléfono móvil además de la contraseña).
3. Actualizar lo que queda. Firewall, VPN y routers con el software del fabricante actualizado, y un plazo definido para las correcciones críticas. Los equipos que el fabricante deja de soportar se reemplazan — no hay corrección que llegue.
4. Mantener siempre un ojo en todo momento. La superficie cambia siempre que alguien instala un equipo o contrata un servicio. La verificación externa debe repetirse, como mínimo, cada mes, con alertas cuando aparezca una nueva puerta.

En DataRoad, la cortafuegos administrado, Las actualizaciones y la monitorización alarmística forman parte de los planes. IT Unlimited. No. Plan Premium, Además, la asistencia in situ está incluida, lo cual es muy útil cuando se necesita cambiar un equipo antiguo.

Un caso real: firewall y VPN en FreshDesign

FreshDesign necesitaba proteger la red de la oficina, dar acceso remoto seguro a la plantilla y no dejar de funcionar si la conexión a Internet fallaba. DataRoad instaló una firewall de nueva generación con prevención de intrusiones y informes con alertas, creó una VPN SSL para el acceso cifrado a los servidores internos y configuró dos conexiones a Internet con paso automático a la segunda si la primera caía. El mantenimiento quedó incluido en el contrato IT Unlimited: actualizaciones de firmware, ajuste de políticas y estabilidad de la VPN. Lea el caso completo en FreshDesign: firewall y acceso VPN.

La lección: acceso remoto por un único canal controlado, en un equipo que alguien actualiza por contrato — no “cuando haya tiempo”.

Preguntas frecuentes

¿Una empresa pequeña es realmente un objetivo?

Sí. La mayoría de los ataques a la superficie externa son automáticos: programas que recorren Internet en busca de un modelo de equipo con una falla conocida. El tamaño de la empresa no importa; la versión del software sí.

¿Probabilmente probar nuestra superficie de ataque podría arruinar algo?

Una verificación externa bien realizada es discreta y combinada con anticipación. No intenta penetrar en los sistemas; identifica lo que está visible y en qué versión. Los tests más intrusivos, cuando tienen sentido, se programan con la empresa.

¿Con qué frecuencia debemos comprobarlo?

Al menos una vez al mes y siempre que haya algún cambio: nuevo despacho, nueva conexión a Internet, nuevo servicio cloud o cambio de firewall. Lo ideal es una vigilancia continua con alertas.

¿El proveedor de internet no se ocupa de esto?

Normalmente no. El operador entrega la conexión y, a veces, el router. Lo que queda abierto, qué equipos están conectados y si están actualizados es responsabilidad de la empresa o de quien maneja su informática.

Mapa de la superficie de ataque externa en 5 días laborables

Realizamos un análisis de lo que la web ve de su empresa —IP, puertos, firewall, VPN, dominios, subdominios y correo electrónico— y entregamos un informe con las prioridades ordenadas por riesgo. Para empresas con más de 10 puestos · contrato de asistencia · soporte remoto, local y telefónico.

Fuentes

• CISA — Catálogo de vulnerabilidades explotadas conocidas (KEV)
• CISA — Directiva Operativa de Aplicación 22-01 (plazos de corrección)
• Lusa / DNoticias — Datos del CNCS: 3.864 incidentes en 2025, más 40%