≡En resumen
- INCIBE gestionó 122.223 incidentes de ciberseguridad en 2025, un 26 % más que el año anterior.
- La mayoría de ataques a webs no son dirigidos: son automáticos y buscan software desactualizado o contraseñas débiles.
- En WordPress, el riesgo principal está en plugins y temas: en 2025 concentraron casi todas las vulnerabilidades nuevas.
- Contraseñas largas, verificación en dos pasos y permisos mínimos cierran la puerta a gran parte de los accesos indebidos.
- Las copias de seguridad fuera del servidor, probadas, son lo que te permite recuperarte de un ransomware o un hackeo.
01 Qué es la seguridad web y por qué te afecta aunque tu web sea pequeña
La seguridad web engloba todo lo que haces para que tu página siga funcionando, no filtre datos y no se use para atacar a otros. Incluye el servidor, el gestor de contenidos, los plugins, las cuentas de acceso y también a las personas que trabajan con la web.
Es un error pensar que solo atacan a las grandes empresas. La mayoría de ataques a webs los lanzan programas automáticos que recorren internet buscando cualquier sitio con una versión vulnerable o una contraseña fácil. No te eligen a ti: eligen el fallo.
122.223
incidentes de ciberseguridad gestionados en España en 2025 (+26 %)
Fuente: INCIBE, Balance de Ciberseguridad 2025
25.133
casos de phishing, el método de fraude más frecuente
Fuente: INCIBE, Balance de Ciberseguridad 2025
55.411
incidentes de malware, incluidos 392 de ransomware
Fuente: INCIBE, Balance de Ciberseguridad 2025
237.028
sistemas vulnerables detectados y notificados
Fuente: INCIBE, Balance de Ciberseguridad 2025
02 Tipos de ataques informáticos más comunes
Estos son los ataques que vemos con más frecuencia contra webs de empresas y pymes. Algunos atacan a la tecnología y otros a las personas, así que la defensa tiene que cubrir los dos frentes.
| Ataque | Qué hace | Primera defensa |
|---|---|---|
| Phishing | Engaña para robar contraseñas o datos con mensajes que imitan a entidades conocidas | Formación, 2FA y verificar por otro canal |
| Ingeniería social | Manipula a una persona para que dé acceso o información | Procedimientos claros y desconfiar de la urgencia |
| Malware | Software malicioso que infecta equipos o la propia web | Actualizaciones y escaneo de archivos |
| Ransomware | Cifra tus datos y pide un rescate | Copias externas y probadas |
| DDoS | Satura el servidor con tráfico hasta tumbarlo | CDN, firewall y hosting con mitigación |
| Fuerza bruta | Prueba contraseñas en masa contra el acceso de administración | Contraseñas largas, 2FA y límite de intentos |
| Explotación de vulnerabilidades | Aprovecha fallos de plugins, temas o código propio | Actualizar, eliminar lo que no uses, WAF |
| Inyección (SQL, XSS) | Mete código malicioso a través de formularios o URLs | Validar entradas y usar software mantenido |
03 Phishing e ingeniería social: el eslabón humano
El phishing es el engaño más rentable para los atacantes porque no necesita encontrar un fallo técnico: basta con que alguien haga clic. Llega por correo, por SMS (smishing), por WhatsApp o por redes sociales, y casi siempre juega con la urgencia: una factura impagada, un paquete retenido, un acceso bloqueado. Es una forma de ingeniería social, igual que la llamada del falso técnico o el falso director que pide una transferencia urgente.
- ✓El remitente no coincide exactamente con el dominio de la empresa que dice ser.
- ✓Te meten prisa o te amenazan con consecuencias inmediatas.
- ✓El enlace, al pasar el ratón por encima, lleva a una dirección extraña.
- ✓Te piden contraseñas, códigos de verificación o datos bancarios.
- ✓Adjuntos inesperados, sobre todo comprimidos o documentos con macros.
- ✓Cambios de cuenta bancaria de un proveedor comunicados solo por email.
Un empleado recibe un correo con el logo del proveedor de hosting: «Tu dominio caducará hoy, renueva aquí». El enlace lleva a una copia del panel que roba usuario y contraseña. Con esos datos, el atacante entra en la cuenta real y cambia los DNS. La defensa: entrar siempre al panel escribiendo la dirección a mano y tener la verificación en dos pasos activada.
04 Malware y ransomware: por qué las copias son tu seguro
El malware es cualquier software diseñado para hacer daño: virus, troyanos, spyware o scripts que se esconden en tu web para redirigir visitas, insertar enlaces de spam o robar datos de formularios. El ransomware es su variante más dañina para una empresa: cifra los archivos y pide un rescate, a menudo con la amenaza añadida de publicar lo robado.
Pagar no garantiza recuperar nada. Lo que te saca de un ransomware es tener copias que el atacante no haya podido tocar. Si tu equipo trabaja en remoto, repasa también cómo mantener seguros los archivos cuando trabajas desde casa.
- ✓Copias automáticas diarias de archivos y base de datos.
- ✓Al menos una copia fuera del servidor y fuera de la cuenta principal.
- ✓Versiones de varios días, no solo la última.
- ✓Una restauración de prueba al menos una vez al año.
05 Ataques DDoS: cuando tumban tu web a base de tráfico
Un ataque de denegación de servicio distribuido (DDoS) no roba nada: inunda tu servidor con peticiones desde miles de dispositivos infectados (una botnet) hasta que deja de responder. Para una tienda online, cada hora caída son ventas perdidas; para un servicio online, clientes enfadados.
47,1 M
ataques DDoS mitigados por Cloudflare en 2025
Fuente: Cloudflare, DDoS Threat Report 2025 Q4
+121 %
de ataques DDoS respecto a 2024
Fuente: Cloudflare, DDoS Threat Report 2025 Q4
31,4 Tbps
pico del mayor ataque DDoS divulgado públicamente hasta esa fecha
Fuente: Cloudflare, DDoS Threat Report 2025 Q4
CDN con protección
Reparte la carga y absorbe el tráfico malicioso antes de que llegue a tu servidor.
Firewall de aplicaciones
Filtra peticiones sospechosas y limita el número de peticiones por visitante.
Hosting preparado
Un proveedor con mitigación DDoS en su red y recursos para aguantar picos.
Elegir bien el alojamiento es parte de la defensa: en nuestra guía sobre qué hosting elegir explicamos qué preguntar sobre firewall, aislamiento y copias antes de contratar.
06 Seguridad WordPress: dónde están los agujeros
WordPress en sí es un software muy revisado. El problema suele estar alrededor: plugins y temas desactualizados, abandonados o descargados de fuentes dudosas. Los datos de Patchstack sobre 2025 lo dejan claro.
11.334
vulnerabilidades nuevas en el ecosistema WordPress en 2025 (+42 %)
Fuente: Patchstack, State of WordPress Security in 2026
91 %
de ellas estaban en plugins; el 9 %, en temas
Fuente: Patchstack, State of WordPress Security in 2026
46 %
no tenían parche cuando se hicieron públicas
Fuente: Patchstack, State of WordPress Security in 2026
- ✓Actualiza núcleo, plugins y tema con regularidad, probando antes en un entorno de pruebas.
- ✓Elimina los plugins y temas que no uses: desactivados siguen siendo código en tu servidor.
- ✓Instala solo plugins mantenidos, con actualizaciones recientes y buena reputación.
- ✓Nunca uses plugins o temas premium «nulled» descargados gratis de webs no oficiales.
- ✓Cambia el usuario «admin» y da a cada persona su propio usuario con el rol mínimo.
- ✓Activa 2FA para administradores y limita los intentos de acceso.
- ✓Protege la web con un firewall de aplicaciones en el hosting o en la CDN.
Un firewall de aplicaciones web (WAF) ayuda, pero no sustituye a las actualizaciones: Patchstack observó que las defensas genéricas de los hostings solo bloquearon una parte pequeña de los ataques específicos contra WordPress. La primera línea de defensa sigue siendo no tener software vulnerable instalado.
07 Contraseñas, 2FA y accesos del equipo
Muchos hackeos empiezan con una contraseña reutilizada que se filtró en otro servicio. Las recomendaciones actuales del NIST estadounidense (SP 800-63B, revisión 4, de 2025) han cambiado lo que se consideraba buena práctica: priorizan la longitud frente a las combinaciones raras y desaconsejan obligar a cambiar la contraseña cada cierto tiempo si no hay indicios de que se haya comprometido.
| Antes se pedía | Ahora se recomienda |
|---|---|
| Mínimo de 8 caracteres con símbolos obligatorios | Al menos 15 caracteres si la contraseña es el único factor |
| Cambiarla cada 90 días | Cambiarla solo si hay indicios de que se ha filtrado |
| Reglas de composición complejas | Frases largas, sin reglas forzadas, comprobadas contra listas de contraseñas filtradas |
| Solo contraseña | Contraseña más un segundo factor (app, llave física o passkey) |
08 Seguridad en aplicaciones a medida: el OWASP Top 10
Si tu web es una aplicación propia (un área de clientes, un portal de reservas, un SaaS), no dependes de plugins, pero la seguridad pasa a estar en tu código. La referencia del sector es el OWASP Top 10, la lista de los riesgos más críticos en aplicaciones web, actualizada en 2025. Trabajar con un equipo de desarrollo web a medida que la aplique desde el diseño evita la mayoría de estos fallos.
| Código | Riesgo |
|---|---|
| A01 | Control de acceso roto |
| A02 | Configuración de seguridad incorrecta |
| A03 | Fallos en la cadena de suministro de software |
| A04 | Fallos criptográficos |
| A05 | Inyección |
| A06 | Diseño inseguro |
| A07 | Fallos de autenticación |
| A08 | Fallos de integridad de software o datos |
| A09 | Fallos de registro y alertas de seguridad |
| A10 | Mala gestión de condiciones excepcionales |
09 Cómo proteger tu página web: plan en ocho pasos
No necesitas un departamento de ciberseguridad para tener una web razonablemente protegida. Con estos pasos cubres los ataques que más daño hacen a una pyme:
-
1
Inventario
Anota qué webs, dominios, plugins, cuentas y proveedores tienes, y quién tiene acceso a cada cosa.
-
2
Actualizaciones
Define quién actualiza qué y cada cuánto, con un entorno de pruebas para lo crítico.
-
3
Accesos
Contraseñas largas y únicas, gestor de contraseñas, 2FA y un usuario por persona con permisos mínimos.
-
4
Copias
Regla 3-2-1 y una restauración de prueba al año.
-
5
Hosting y firewall
Proveedor con aislamiento, firewall de aplicaciones y protección DDoS.
-
6
HTTPS y cabeceras
Certificado SSL activo, redirección a HTTPS y cabeceras de seguridad configuradas.
-
7
Dominio protegido
Bloqueo de transferencia, 2FA en el registrador y renovación automática.
-
8
Formación
Una sesión al año con el equipo sobre phishing y buenas prácticas.
El dominio es la pieza que más se olvida en los planes de seguridad. Si quieres revisar cómo protegerlo desde el primer día, tienes los pasos en nuestra guía para comprar un dominio web.
Preguntas frecuentes
Mantén todo actualizado, usa contraseñas largas con verificación en dos pasos, elimina plugins que no uses, ten copias fuera del servidor y trabaja con un hosting que filtre el tráfico malicioso. Con eso cubres la mayoría de ataques automáticos.
Phishing, malware y ransomware, ataques DDoS, fuerza bruta contra accesos, explotación de plugins o software vulnerable e inyección de código. En España, según INCIBE, el malware y el fraude online fueron los incidentes más numerosos en 2025.
No por sí mismo. El núcleo tuvo muy pocas vulnerabilidades en 2025; el riesgo está en plugins y temas desactualizados o de mala calidad. Un WordPress bien mantenido es tan seguro como cualquier otra plataforma.
Cifra la comunicación entre el navegador y el servidor, lo cual es imprescindible, pero no protege frente a plugins vulnerables, contraseñas débiles o malware. Es una capa más, no la solución completa.
Como mínimo a diario en webs que cambian a menudo, y con más frecuencia en tiendas online con muchos pedidos. Lo importante es guardarlas fuera del servidor y comprobar que se pueden restaurar.
Las autoridades desaconsejan pagar: no garantiza recuperar los datos y financia a los atacantes. Aísla los equipos, restaura desde copias limpias y pide ayuda; en España puedes llamar a la línea 017 de INCIBE.
Un segundo control además de la contraseña, como un código de una app, una llave física o una passkey. Aunque roben tu contraseña, sin ese segundo factor no pueden entrar.
Fuentes consultadas
Sobre el autor
Germán Gutiérrez
Development Manager en appyweb
Dirige el equipo de desarrollo de appyweb: aplicaciones web y móviles, SaaS, integraciones y arquitectura de software.
Ver perfil en LinkedIn ↗
