Superficie de ataque externa: lo que internet ve de su empresa

Porque los ataques no eligen nombres, eligen versiones de software. Hay robots que recorren internet sin parar en busca de equipos con fallos conocidos.

• Ritmo de explotación CISA, la agencia estadounidense de ciberseguridad, publica el catálogo KEV con los fallos ya utilizados en ataques reales y obliga a las agencias federales a corregir cada nueva entrada en dos semanas.
• Tendencia en Portugal En 2025, el CERT.PT contabilizó 3.864 incidentes, un aumento del 40% respecto a 2024, según el CNCS.
• Factor humano Cerca de la mitad de esos incidentes explotó a personas, con el phishing como método dominante.

Es un canal numerado por el que un equipo acepta conexiones desde fuera. El puerto de la web debe estar abierto. El de la consola de administración del firewall, no.

Imagine el edificio de la empresa: entrada principal cerrada con llave y alarma, pero un garaje lateral que un proveedor dejó abierto hace años. Existen motores de búsqueda que catalogan cada día todos los puertos abiertos del mundo. El atacante no le busca a usted; filtra el catálogo y le encuentra.

• Consolas de equipos Routers del operador, firewalls, NAS, cámaras e impresoras con la página de gestión accesible desde fuera, a merced de intentos de contraseña en serie o de fallos del modelo.
• Acceso remoto sin actualizar La VPN existe para estar orientada hacia fuera. En cuanto un fabricante publica un parche, los atacantes lo analizan y persiguen a quien no lo ha aplicado; los equipos de acceso remoto aparecen con frecuencia en el catálogo KEV. Descubra por qué dejar las actualizaciones para después sale caro.
• RDP publicado Abrir el escritorio remoto de Windows para facilitarle la vida a un contable es una de las invitaciones más buscadas. Exija un canal con verificación de identidad; explicamos por qué una VPN aislada ha dejado de ser suficiente.
• Subdominios huérfanos Direcciones como prueba.empresa.com o la de una campaña antigua siguen apuntando a destinos apagados, que un tercero a veces puede reutilizar con la marca de la empresa. Un dominio que caduca arrastra web y correo; vea el riesgo de dominios y certificados caducados.
• Direcciones de correo públicas Están en la web, en LinkedIn y en filtraciones de otros servicios. No se pueden borrar, pero sí mapear, y ninguna cuenta debe depender solo de una contraseña.

Lo mismo que vería un atacante, con autorización previa e informe por escrito.

1. Inventariar: cada IP, dominio y equipo expuesto tiene un responsable. Sin responsable, queda olvidado.
2. Cerrar: todo lo que no tiene motivo para estar abierto se cierra; consolas solo por red interna o VPN; acceso remoto solo con MFA.
3. Corregir: firmware de firewall, VPN y routers al día, con plazo fijo para parches críticos; el equipo sin soporte del fabricante se sustituye.
4. Vigilar: cada nueva conexión o servicio cambia el mapa; verificación externa al menos mensual y alerta automática ante cualquier puerto nuevo.

DataRoad, por contrato. El firewall gestionado, los parches y la monitorización con alertas forman parte de los servicios gestionados IT Unlimited. En IT Unlimited Premium hay además asistencia presencial incluida, decisiva cuando hay que retirar un equipo obsoleto.

En 11 años, DataRoad nunca ha sufrido un incidente de seguridad.

Con un único camino de entrada, actualizado por contrato. El objetivo era blindar la oficina, dar al equipo acceso remoto cifrado y mantener el trabajo si caía internet.

• Perímetro Firewall de nueva generación con prevención de intrusiones e informes con alertas.
• Acceso VPN SSL hasta los servidores internos.
• Continuidad Dos circuitos de internet con conmutación automática.
• Mantenimiento Firmware, ajuste de reglas y estabilidad de la VPN dentro de IT Unlimited.

Detalles en el caso FreshDesign.

En 5 días laborables mapeamos IP, servicios, firewall, VPN, dominios, subdominios y correo, y le entregamos las prioridades ordenadas por riesgo. Solicite propuesta sin compromiso.

Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico. Llame al +351 211 459 950 * o escriba a sales@dataroad.pt.

*Llamada a la red fija portuguesa.

• Catálogo KEV de CISA
• Directiva BOD 22-01 de CISA, plazos de corrección
• Lusa/DNoticias: cifras del CNCS para 2025