Existe una idea peligrosa entre negocios pequeños: “a mí no me van a hackear, no tengo nada que robar”. La realidad es distinta. La mayoría de los ataques no escogen víctima: son automáticos, buscan puertas abiertas, y una página pequeña con una puerta abierta vale lo mismo que una grande.

Por qué atacan sitios pequeños

No es personal. Un programa recorre miles de sitios buscando fallas conocidas. Cuando encuentra una, entra. No sabe si eres una multinacional o una repostería que vende bizcochos por encargo.

Y lo que buscan casi nunca es tu información. Buscan usar tu sitio: para enviar correo basura, para redirigir a tus visitantes a otra página, o simplemente para tenerlo secuestrado.

Lo que de verdad pasa cuando entran

Estos son los tres escenarios más comunes, y ninguno tiene que ver con robar datos:

Tu página empieza a mandar correo basura. No te enteras hasta que un cliente te dice que tu correo le llegó a spam. Para entonces, tu dominio ya está en listas negras y hasta tus cotizaciones normales dejan de llegar.

Google marca tu sitio como peligroso. Quien busque tu negocio ve una pantalla roja de advertencia. Recuperar esa confianza toma semanas, aunque arregles el problema en un día.

Redirigen a tus visitantes. Alguien busca tu barbería, hace clic, y termina en una página de casino. Tú ni te enteras, porque desde tu computadora se ve normal.

Lo mínimo que debes tener

Actualizaciones al día. La gran mayoría de sitios comprometidos tenían una versión vieja de algo. No es glamoroso, pero es lo que más protege.

Contraseñas distintas para cada cosa. Si usas la misma para tu correo, tu hosting y tu web, una filtración en cualquier servicio abre las tres.

Verificación en dos pasos. Ese código que llega al celular. Es molesto, y es lo que detiene la mayoría de intentos automáticos.

Respaldos que puedas restaurar. Ojo con esto: tener respaldos no sirve si nunca probaste restaurarlos. Mucha gente descubre que su respaldo estaba roto justo el día que lo necesita.

Menos plugins. Cada extensión instalada es una puerta más. Si hay algo que no usas hace seis meses, no lo desactives: bórralo. Un plugin desactivado también puede ser vulnerable.

Cómo saber si algo ya pasa

Señales que no debes ignorar: tu sitio carga más lento sin razón, aparecen páginas que tú no creaste, hay usuarios administradores que no reconoces, o alguien te dice que ve tu web distinta a como la ves tú.

Ese último es importante: muchos ataques se esconden de quien tiene sesión iniciada. Revisa tu sitio de vez en cuando desde una ventana privada o desde el celular sin haber entrado a tu cuenta.

Qué hacer si ya pasó

No entres en pánico ni empieces a borrar cosas al azar. El orden importa: cambia todas las contraseñas (hosting, correo y web), revisa qué usuarios administradores existen, y restaura desde un respaldo anterior al problema.

Si no sabes cuándo empezó, restaurar a ciegas puede reinstalar el mismo problema. Ahí es cuando conviene que alguien lo revise antes de tocar nada.

En resumen

La seguridad de un sitio pequeño no es un proyecto grande. Son cinco hábitos: actualizar, usar contraseñas distintas, activar verificación en dos pasos, respaldar de verdad, y quitar lo que no usas.

Media hora al mes. Comparado con recuperar un sitio comprometido —y la confianza de quien te buscó y encontró una advertencia roja— es el mejor tiempo que vas a invertir.