🇺🇸 Read this article in English

A finales del mes pasado, una plataforma polaca de facturación llamada Fakturownia informó a sus clientes que atacantes entraron a sus servidores. La empresa atiende a más de 600,000 negocios. Según The Record, los datos expuestos incluyen detalles de cuentas de empresas, contraseñas cifradas, datos bancarios, tokens de acceso e integración, información de clientes y socios, y facturas antiguas.

Lo importante para ti es esto: ninguno de esos 600,000 negocios hizo algo mal. Le pagaron a una empresa de software para manejar sus facturas, y esa empresa fue atacada. Su información se robó de todos modos.

Eso es riesgo de proveedores, y es uno de los problemas que más se pasan por alto en las pequeñas empresas del sur de Arizona.

Eres tan seguro como tus proveedores

Piensa en cada empresa que guarda una parte de tu negocio: tu software de contabilidad, tu herramienta de facturación, tu proveedor de nómina, tu CRM, el hosting de tu sitio web, tu plataforma de correo, tu almacenamiento en la nube, incluso quien administra tus teléfonos. Cada uno guarda copias de tus datos. Cada uno tiene accesos conectados a tus otras herramientas.

Es como una casa con una excelente cerradura en la puerta principal. Puedes invertir en la cerradura, pero si le das copias de la llave a diez empresas, dependes de que las diez las cuiden bien.

Los atacantes lo saben. ¿Para qué entrar a miles de pequeños negocios uno por uno si puedes entrar a un solo proveedor y llevarte a todos a la vez?

Qué se roban realmente en el ataque a un proveedor

Los datos de tu negocio

Facturas, nombres de clientes, datos bancarios y contratos. En el caso de Fakturownia, también se incluyó información de los clientes de los negocios que usan la plataforma, no solo de los negocios. Los datos de tus clientes pueden filtrarse a través de una empresa que ni conocen.

Contraseñas y tokens de acceso

Las contraseñas cifradas robadas pueden descifrarse, sobre todo si son débiles o repetidas. Los tokens y las claves API son aún más peligrosos porque funcionan como un gafete pre-aprobado: quien tiene uno muchas veces puede entrar a sistemas conectados sin escribir una contraseña.

Datos para la siguiente estafa

Los detalles reales de una factura hacen que un correo falso se vea totalmente real. Un criminal que sabe a quién le pagas, cuánto y cuándo puede enviar un mensaje convincente de “cambiamos de cuenta bancaria”. Esto suele aparecer semanas o meses después del ataque, cuando la noticia ya se olvidó.

Por qué las pequeñas empresas se ven sorprendidas

La mayoría de los dueños con quienes hablo no pueden enumerar todas las herramientas de software que usa su equipo. Alguien abrió una prueba gratis, alguien conectó una herramienta al correo de la empresa y nadie lo anotó. Esas cuentas olvidadas no se actualizan, no se revisan y a veces todavía tienen el acceso de un ex empleado.

Luego llega un aviso de ataque y tienes que responder una pregunta sencilla: ¿qué guardamos ahí? Muchos negocios no pueden responderla.

Qué puedes hacer esta semana

1. Haz una lista de proveedores. Anota cada empresa que guarda tus datos o se conecta a tus sistemas. Revisa los estados de cuenta de tu tarjeta para encontrar suscripciones, ahí se esconden las olvidadas.
2. Marca las cinco principales. Señala las que manejan dinero, datos de clientes o de empleados. Esas se atienden primero.
3. Activa acceso fuerte en todas. Usa autenticación de varios factores en cada cuenta y una contraseña única por proveedor, guardada en un administrador de contraseñas.
4. Revisa y reduce las integraciones. Mira qué está conectado a qué. Elimina las claves API y conexiones que ya no uses, y cambia las que conserves.
5. Haz tres preguntas. ¿Qué datos tienen de nosotros?, ¿cómo nos avisarán si sufren un ataque? y ¿cómo sacamos nuestros datos si nos vamos? Un buen proveedor responde rápido.
6. Cuidado con estafas posteriores. Si un proveedor reporta un ataque, desconfía de cualquier cambio de pago hasta confirmarlo por teléfono con un número que ya tengas.
7. Ten tu propia copia. Asegúrate de que tus registros clave tengan respaldo fuera del sistema del proveedor, para que un mal día de ellos no sea un mal día tuyo.

Si tu proveedor reporta un ataque

No entres en pánico, pero tampoco lo ignores. Cambia las contraseñas de esa cuenta y de cualquier otra que use la misma. Revoca y reemplaza las claves API o apps conectadas. Busca accesos o mensajes enviados extraños. Luego avisa a tu equipo y a tus clientes si su información estuvo involucrada. Mientras más rápido cambies las claves, menos tiempo tiene un atacante para usarlas.

Lo esencial

No puedes evitar que hackeen a un proveedor. Sí puedes controlar qué guardas con él, qué tan bien protegida está la puerta a tu cuenta y qué tan rápido reaccionas cuando algo sale mal. Saber quién tiene tus datos es el primer paso, y la mayoría de los negocios no lo ha dado.

Envíanos un mensaje

¿Tienes preguntas sobre tus proveedores o quieres ayuda para empezar tu lista? Escríbenos.

Fuentes: The Record; This Week in Security.

— Nemuel Cruz, Incognito Cyber Security

🇲🇽 Leer en Español →

Late last month, a Polish invoicing platform called Fakturownia told its customers that attackers had gotten into its servers. The company serves more than 600,000 businesses. According to The Record, the exposed data includes company account details, password hashes, bank account details, login and integration tokens, customer and partner information, and older invoices.

Here is the part that matters for you: none of those 600,000 businesses did anything wrong. They paid a software company to handle their invoices, and that company got hit. Their information was stolen anyway.

That is vendor risk, and it is one of the most overlooked problems I see in small businesses around Southern Arizona.

You Are Only as Safe as Your Vendors

Think about every company that holds a piece of your business: your accounting software, your invoicing tool, your payroll provider, your CRM, your website host, your email platform, your cloud storage, even the company that manages your phones. Each one keeps copies of your data. Each one has logins that connect to your other tools.

It works like a house with a great front door lock. You can spend money on the lock, but if you hand spare keys to ten different companies, you are depending on all ten of them to keep those keys safe.

Attackers know this. Why break into thousands of small businesses one at a time when you can break into one vendor and collect all of them at once?

What Actually Gets Stolen in a Vendor Breach

Your business data

Invoices, customer names, bank details, and contracts. In the Fakturownia case, that included information about the customers of the businesses using the platform, not just the businesses themselves. Your customers’ data can leak through a company they have never heard of.

Passwords and login tokens

Stolen password hashes can be cracked, especially weak or reused passwords. Tokens and API keys are even more dangerous because they act like a pre-approved badge: whoever holds one can often get into connected systems without typing a password at all.

Details for the next scam

Real invoice details make a fake email look completely real. A criminal who knows who you pay, how much, and when can send a convincing “we changed our bank account” message. This often shows up weeks or months after the breach, long after the news cycle has moved on.

Why Small Businesses Get Caught Off Guard

Most owners I talk to cannot list every software tool their team uses. Someone signed up for a free trial, someone connected a tool to the company email, and nobody wrote it down. Those forgotten accounts do not get updated, do not get reviewed, and often still have an ex-employee’s login attached.

Then a breach notice shows up, and you have to answer a simple question: what did we put in there? Many businesses cannot answer it.

What You Can Do This Week

1. List your vendors. Write down every company that stores your data or connects to your systems. Check your credit card statements for subscriptions, since that is where the forgotten ones hide.
2. Mark the top five. Circle the ones that hold money, customer data, or employee data. Those get attention first.
3. Turn on strong sign-in everywhere. Use multi-factor authentication on each account, and give every vendor a unique password stored in a password manager.
4. Find and trim integrations. Look at what is connected to what. Remove API keys and app connections you no longer use, and rotate the ones you keep.
5. Ask three questions. What data do you hold about us, how will you tell us if you are breached, and how do we get our data out if we leave? A good vendor answers these quickly.
6. Watch for follow-up scams. If a vendor reports a breach, treat any payment change request from anyone as suspicious until you confirm it by phone using a number you already have.
7. Keep your own copy. Make sure your key records are backed up outside the vendor’s system, so one bad day on their side does not become a bad day on yours.

If Your Vendor Reports a Breach

Do not panic, and do not ignore it. Change the passwords for that account and anything that shares the password. Revoke and replace any API keys or connected apps. Check for strange logins or sent messages. Then warn your team and your customers if their information was involved. The faster you rotate the keys, the less time an attacker has to use them.

The Bottom Line

You cannot stop a vendor from being hacked. You can control what you store with them, how well their door to your account is locked, and how fast you react when something goes wrong. Knowing who holds your data is the first step, and most businesses have not taken it.

Send us a message

Have a question about your vendors or want help getting a list started? Send us a note.

Sources: The Record; This Week in Security.

— Nemuel Cruz, Incognito Cyber Security

🇺🇸 Read this article in English

Imagina esto: la contraseña de un empleado se filtra un martes. Antes de que termines tu café, otra banda de criminales ya tiene las llaves de tu correo. No días después. Segundos después. Así trabajan hoy las pequeñas empresas, y octubre, el Mes de la Concientización sobre Ciberseguridad, es buen momento para verlo con honestidad.

Los hackers ya no fuerzan la puerta. Entran con tu llave.

Un artículo reciente de Forbes sobre seguridad en pequeñas empresas reunió cifras que me llamaron la atención. El equipo Mandiant de Google encontró que el tiempo entre que un atacante logra el primer acceso y se lo entrega a un segundo grupo criminal bajó a solo 22 segundos en 2025. En 2022, esa entrega tardaba cerca de ocho horas. Piensa en una carrera de relevos donde el testigo es tu contraseña robada, y los corredores se han vuelto ridículamente rápidos.

El mismo artículo cita datos de Verizon 2026: el 96% de las víctimas de ransomware son pequeñas y medianas empresas, y en el 38% de esos casos los atacantes tenían credenciales comprometidas. En palabras sencillas, no rompieron la ventana. Usaron una llave.

Por qué tu MFA actual podría no bastar

Probablemente ya usas autenticación de varios factores, o MFA: el código por mensaje de texto o el toque de “¿Aprobar este inicio de sesión?” en tu teléfono. Bien. Manténlo. El artículo de Forbes indica que el MFA moderno reduce más de un 99% el riesgo de que roben una identidad. Pero la palabra clave es “moderno”. Los criminales han aprendido a esquivar las versiones débiles:

• Bombardeo de notificaciones: le llenan el teléfono a tu empleado con solicitudes de aprobación a las 11 de la noche hasta que un dedo cansado toca “Aprobar”.
• Páginas de inicio de sesión falsas: el empleado escribe la contraseña y el código en una copia convincente del sitio real, y el criminal usa ambos al instante. Cubrí una versión de esto en mi artículo sobre el phishing de código de dispositivo.
• Códigos por mensaje de texto: se los pueden sacar a las personas con engaños o interceptarlos.

La opción más fuerte se llama MFA resistente al phishing: llaves de acceso (passkeys) o llaves de seguridad físicas. Solo funcionan en el sitio web verdadero, así que una página falsa no tiene nada que robar. Es la diferencia entre un código que alguien puede leer por encima de tu hombro y una llave que solo abre una cerradura.

Protege los momentos que más importan

No puedes vigilar cada clic de tu equipo, ni deberías intentarlo. En cambio, el artículo sugiere elegir una lista corta de acciones donde un extraño te costaría dinero de verdad. Para la mayoría de las oficinas pequeñas la lista se ve así:

• Cambiar una contraseña o el correo de recuperación
• Agregar un nuevo administrador
• Exportar tu lista de clientes
• Cambiar datos de pago o de banco
• Crear reglas de reenvío en un buzón de correo

Para esas cinco, pide una verificación extra, como volver a iniciar sesión o una llamada a un número conocido, en lugar de molestar a la gente por cada cosa pequeña. Con demasiados avisos, las personas aprenden a aceptarlos todos sin leer.

No olvides tus herramientas de IA

Muchos negocios agregaron asistentes de IA este año, y algunos actúan dentro de sesiones ya iniciadas: leen correos, abren archivos, llenan formularios. El consejo del artículo es directo. Revisa cada herramienta de IA que hayas activado y pregunta a cada proveedor qué puede hacer dentro de una sesión iniciada y quién más puede acceder a ella. Si nadie sabe responder, esa es tu respuesta.

Qué puedes hacer esta semana

1. Activa el MFA en todas partes. Empieza con correo, banco, nómina y tu software de contabilidad.
2. Cambia las cuentas de dueño y administrador a passkeys o llaves de seguridad. Son las cuentas que más quieren los criminales.
3. Activa la coincidencia de números si tu aplicación la ofrece, para que un toque ciego en “Aprobar” no funcione.
4. Anota tus cinco acciones de riesgo y decide qué verificación extra necesita cada una.
5. Haz una lista de tus herramientas de IA y pregunta a los proveedores quién puede ver dentro de una sesión iniciada.
6. Refuerza la defensa de tu correo. Un buen filtro de spam y virus detiene muchos correos que roban credenciales antes de que alguien los vea.
7. Capacita a tu equipo en 15 minutos. Nuestra capacitación de concientización en ciberseguridad enseña a reportar una solicitud de aprobación extraña en lugar de tocarla.

La conclusión

No puedes evitar que se filtre cada contraseña. Sí puedes lograr que una contraseña robada no sirva de nada. Un MFA fuerte, una lista corta de acciones protegidas y unas cuantas preguntas honestas a tus proveedores de software harán más que cualquier herramienta de monitoreo sofisticada. Si quieres ayuda para saber en qué punto estás, nuestras soluciones de ciberseguridad para pequeñas empresas y la protección de endpoints cubren esto, y encontrarás más consejos en lenguaje sencillo en nuestro blog.

Envíanos un mensaje

Fuente: Forbes: Small Business Security Now Depends On What Happens After Login (cifras de Mandiant y Verizon según se citan allí).

— Nemuel Cruz, Incognito Cyber Security

🇲🇽 Leer en Español →

Picture this: an employee’s password leaks on a Tuesday. By the time you finish your coffee, a different criminal gang already owns the keys to your email. Not days later. Seconds later. That is the world small businesses are working in right now, and October, Cybersecurity Awareness Month, is a good time to look at it honestly.

Hackers do not break in anymore. They log in.

A recent Forbes piece on small business security pulled together some numbers that stuck with me. Google’s Mandiant team found that the time between an attacker getting initial access and handing it to a second criminal group dropped to just 22 seconds in 2025. In 2022, that handoff took about eight hours. Think of it like a relay race where the baton is your stolen password, and the runners have gotten very, very fast.

The same article cites Verizon’s 2026 data: 96% of ransomware victims are small and midsize businesses, and in 38% of those cases the attackers had compromised credentials. In plain English, they did not smash a window. They used a key.

Why your current MFA might not be enough

You probably already use multi-factor authentication, or MFA: the text code or the “Approve this sign-in?” tap on your phone. Good. Keep it. The Forbes article notes that modern MFA cuts the risk of identity compromise by more than 99%. But “modern” is the key word. Criminals have learned to work around the weak versions:

• Push bombing: they spam your employee with approval requests at 11 p.m. until one tired thumb taps “Approve.”
• Fake login pages: the employee types the password and the code into a convincing copy of the real site, and the criminal uses both instantly. I covered a version of this in my post on device-code phishing.
• Text-message codes: these can be tricked out of people or intercepted.

The stronger option is called phishing-resistant MFA: passkeys or physical security keys. They only work on the real website, so there is nothing for a fake page to steal. It is the difference between a code someone can read over your shoulder and a key that only fits one lock.

Protect the moments that matter most

You cannot watch every click your team makes, and you should not try. Instead, the article suggests picking a short list of actions where a stranger doing them would cost you real money. For most small offices that list looks like this:

• Changing a password or recovery email
• Adding a new administrator
• Exporting your client list
• Changing payment or bank details
• Creating forwarding rules on a mailbox

For those five, ask for an extra check, such as a fresh sign-in or a call-back to a known phone number, instead of nagging people about every little thing. Too many prompts and people learn to click through them all.

Do not forget your AI tools

Many businesses added AI assistants this year, and some of those tools act inside logged-in sessions: reading email, opening files, filling in forms. The article’s advice is blunt. Review every AI tool you have turned on, and ask each vendor what it can do inside a signed-in session and who else can reach it. If nobody can answer, that is your answer.

What you can do this week

1. Turn on MFA everywhere. Start with email, banking, payroll, and your accounting software.
2. Switch your owner and admin accounts to passkeys or security keys. Those are the accounts criminals want most.
3. Turn on number matching if your app offers it, so a blind “Approve” tap does not work.
4. Write down your five risky actions and decide what extra check each one needs.
5. List your AI tools and ask vendors who can see inside a signed-in session.
6. Tighten your email defenses. Good spam and virus filtering stops many credential-stealing emails before anyone sees them.
7. Train your team in 15 minutes. Our cybersecurity awareness training teaches people to report an odd approval request instead of tapping it.

The bottom line

You cannot stop every password from leaking. You can make a stolen password useless. Strong MFA, a short list of guarded actions, and a few honest questions to your software vendors will do more than any fancy monitoring tool. If you want help sorting out where you stand, our small business cyber security solutions and endpoint protection cover this, and you can find more plain-English tips on our blog.

Send us a message

Source: Forbes: Small Business Security Now Depends On What Happens After Login (Mandiant and Verizon figures as cited there).

— Nemuel Cruz, Incognito Cyber Security

🇺🇸 Read this article in English

Una pregunta rápida: ¿cuántas computadoras de tu oficina siguen usando Windows 10? Si tuviste que detenerte a contarlas, sigue leyendo. El 13 de octubre llega una segunda fecha límite de Microsoft, y afecta tanto a tus PCs como al Office que tu equipo usa todos los días.

Qué pasa exactamente el 13 de octubre

Windows 10 perdió su soporte regular en octubre de 2025. Desde entonces, los negocios que querían seguir recibiendo parches de seguridad tuvieron que pagar por las Actualizaciones de Seguridad Extendidas, conocidas como ESU. Piensa en ESU como pagarle a un mecánico para mantener en la calle una camioneta vieja después de que el fabricante dejó de hacer refacciones. Funciona, pero solo mientras sigas pagando, y la cuenta sube cada año.

Según la propia documentación de Microsoft, el primer año de cobertura ESU para negocios termina este octubre. El año uno costó $61 por equipo. El año dos cuesta $122 por equipo y el año tres, $244.

La trampa: no puedes saltarte un año

ESU es acumulativo. Si nunca te inscribiste y decides hacerlo ahora, Microsoft indica que también debes pagar el año uno. Son aproximadamente $183 por computadora antes de recibir un solo parche del año dos. Para una oficina con 15 PCs viejas, eso es cerca de $2,750, y seguirías usando equipos que ya están al límite.

Office 2021 tiene su propia fecha

Ese mismo día, Microsoft termina el soporte de Office LTSC 2021. No más correcciones, no más actualizaciones de seguridad. Si tu equipo usa la versión de pago único de Office 2021, Word, Excel y Outlook se vuelven un blanco fácil al día siguiente.

Por qué importa más de lo que parece

A los hackers les encanta el software sin soporte. Cada falla nueva que se descubre después de la fecha se queda abierta para siempre, y los criminales saben exactamente qué negocios siguen usando versiones viejas. No necesitan ser ingeniosos. Solo esperan a que aparezca un hueco nuevo y buscan en internet las oficinas que nunca lo parcharon.

Los riesgos para un pequeño negocio son muy prácticos:

• Ransomware: las PCs sin parches son una entrada común. Si leíste mi artículo sobre por qué el equipo que “se instala y se olvida” atrae a los atacantes, esta es la misma historia.
• Seguro cibernético: muchas aseguradoras preguntan si usas software sin soporte. Una respuesta equivocada, o un reclamo negado, puede costar mucho más que computadoras nuevas.
• Programas que dejan de funcionar: tu contabilidad, tus sistemas del negocio y tus herramientas de seguridad también dejarán de dar soporte a Windows viejo.

Qué puedes hacer esta semana

1. Cuenta tus computadoras. Haz una lista de cada PC, incluida la de la oficina de atrás que nadie recuerda, y anota si usa Windows 10 o Windows 11.
2. Revisa cuáles pueden actualizarse. La mayoría de las computadoras compradas en los últimos cuatro o cinco años pueden pasar a Windows 11 sin costo. Las más viejas quizá no califiquen.
3. Encuentra tu versión de Office. Abre cualquier aplicación de Office, ve a Archivo y luego Cuenta. Si dice Office 2021 o LTSC 2021, ponla en tu lista de actualización.
4. Decide: actualizar, reemplazar o pagar ESU. ESU es un puente corto, no un plan. Reemplazar una PC de cinco años suele costar menos que dos años más de parches.
5. Protege lo que aún no puedes reemplazar. Las máquinas viejas que deban quedarse tienen que estar aísladas, contar con buena protección de endpoints y nunca guardar la única copia de algo.
6. Verifica tus respaldos. Antes de cualquier actualización, confirma que tus respaldos de datos seguros realmente se restauran.
7. Avisa a tu equipo. Las actualizaciones cambian cómo se ven las pantallas, y a los estafadores les encanta eso. Un repaso rápido de concientización y un buen filtro de spam y virus ayudan a frenar correos falsos de “actualiza ahora”.

En resumen

El 13 de octubre no es una fecha de desastre. Tus computadoras no dejarán de funcionar. Lo que cambia es que Microsoft deja de arreglar problemas nuevos y los atacantes siguen encontrándolos. Un pequeño negocio que planea esto ahora paga un costo predecible y único. Quien espera paga más, y a veces paga después de una brecha. Si quieres ver el panorama completo, nuestra página de soluciones de ciberseguridad para pequeños negocios muestra cómo lo manejamos con nuestros clientes, y puedes leer más consejos en lenguaje sencillo en nuestro blog.

Envíanos un mensaje

Fuentes: Microsoft Learn: programa ESU de Windows 10; Microsoft Lifecycle: fin de soporte de Office LTSC 2021.

— Nemuel Cruz, Incognito Cyber Security

🇲🇽 Leer en Español →

Quick question: how many computers in your office are still running Windows 10? If you just paused to count, keep reading. A second Microsoft deadline lands on October 13, and it affects both your PCs and the Office software your team uses every day.

What actually happens on October 13

Windows 10 officially lost regular support in October 2025. Since then, businesses that wanted to keep getting security patches had to pay for something called Extended Security Updates, or ESU. Think of ESU like paying a mechanic to keep an old truck on the road after the manufacturer stopped making parts. It works, but only as long as you keep paying, and the bill goes up every year.

According to Microsoft’s own documentation, the first year of business ESU coverage ends this October. Year one cost $61 per device. Year two costs $122 per device, and year three costs $244.

The catch: you cannot skip a year

ESU is cumulative. If you never enrolled and decide to sign up now, Microsoft says you have to pay for year one too. That is roughly $183 per computer before you get a single year-two patch. For an office with 15 older PCs, that is close to $2,750, and you would still be running unsupported-by-default hardware.

Office 2021 has its own deadline

On the same day, Microsoft ends support for Office LTSC 2021. No more bug fixes, no more security updates. If your team uses the one-time-purchase version of Office 2021, Word, Excel, and Outlook become a soft target the day after.

Why this matters more than it sounds

Hackers love end-of-life software. Every new flaw found after the deadline stays open forever, and criminals know exactly which businesses are still running old versions. They do not need to be clever. They just wait for a newly discovered hole and scan the internet for offices that never patched it.

The risks for a small business are very practical:

• Ransomware: unpatched PCs are a common way in. If you have read my post on why set-it-and-forget-it gear attracts attackers, this is the same story.
• Cyber insurance: many carriers ask whether you run unsupported software. A wrong answer, or a denied claim, can cost far more than new computers.
• Software that stops working: your accounting, line-of-business, and security tools will eventually drop support for old Windows too.

What you can do this week

1. Count your computers. List every PC, including the back-office one nobody thinks about, and note whether it runs Windows 10 or Windows 11.
2. Check which PCs can upgrade. Most computers bought in the last four or five years can move to Windows 11 for free. Older ones may not qualify.
3. Find your Office version. Open any Office app, go to File, then Account. If it says Office 2021 or LTSC 2021, put it on your upgrade list.
4. Decide: upgrade, replace, or pay for ESU. ESU is a short bridge, not a plan. Replacing a five-year-old PC is usually cheaper than two more years of patches.
5. Protect what you cannot replace yet. Old machines that must stay should be isolated, have good endpoint protection, and never hold your only copy of anything.
6. Verify your backups. Before any upgrade, confirm your secure data backups actually restore.
7. Warn your team. Upgrades change how screens look, and scammers love that. A quick awareness refresher and solid spam and virus filtering help stop fake “update now” emails.

The bottom line

October 13 is not a disaster date. Your computers will not stop working. What changes is that Microsoft stops fixing new problems, and attackers keep finding them. A small business that plans this now pays a predictable, one-time cost. One that waits pays more, and sometimes pays after a breach. If you want the bigger picture, our small business cyber security solutions page shows how we handle this for clients, and you can always browse more plain-English tips on our blog.

Send us a message

Sources: Microsoft Learn: Windows 10 ESU program; Microsoft Lifecycle: Office LTSC 2021 end of support.

— Nemuel Cruz, Incognito Cyber Security

🇺🇸 Read this article in English

El 22 de septiembre, CISA e investigadores de seguridad confirmaron que hackers estaban entrando activamente a firewalls y equipos de acceso remoto de dos de las marcas más grandes en seguridad empresarial — Check Point y F5 — usando fallas para las que los fabricantes ya habían publicado parches. Los atacantes no estaban forzando cerraduras. Estaban entrando por puertas que llevaban meses sin cerrarse con llave.

Probablemente usted no tenga equipo Check Point o F5. La mayoría de los negocios con los que trabajo en el sur de Arizona no lo tienen. Pero la historia detrás de este ataque es la misma que se repite en redes más pequeñas cada semana, y vale la pena tomarse cinco minutos para entender por qué.

Qué Pasó Exactamente

CISA agregó cuatro vulnerabilidades a su catálogo de Vulnerabilidades Explotadas Conocidas la semana pasada, incluyendo dos fallas de Check Point y una en el sistema de acceso BIG-IP de F5. Dos obtuvieron una puntuación perfecta de 10 sobre 10 en la escala de severidad de la industria — un atacante que encuentra un dispositivo sin actualizar puede tomar control total de él de forma remota, sin contraseña y sin que nadie dentro del negocio haga clic en nada. Desde ahí, tienen un camino directo hacia el resto de la red.

Por Qué Esto Importa Aunque Nunca Haya Oído de Estos Productos

La marca no es lo importante. El patrón sí: un fabricante descubre una falla, publica una solución y emite una advertencia — y días después ocurren ataques reales porque muchos negocios nunca instalaron la actualización. No importa si el dispositivo es un firewall empresarial de $40,000 dólares o un router de $150 comprado en una tienda grande. Si está conectado a internet y no está actualizado, es un blanco con el nombre de su negocio escrito encima.

El Verdadero Problema No Es el Software — Es el Silencio

Esto es lo que veo una y otra vez con los dueños de negocio: nadie decidió dejar de actualizar. Simplemente nunca hizo ruido. Su punto de venta, su router, la laptop de su contadora — ninguno suena una alarma cuando una actualización lleva meses de retraso. Todo parece funcionar bien, hasta que deja de funcionar. Los atacantes cuentan con que “sigue funcionando” y “sigue siendo seguro” se sientan como lo mismo, cuando en realidad no se parecen en nada.

El Software Viejo Tiene una Fecha de Caducidad Silenciosa

El software que llegó al final de su vida útil — una versión vieja de Windows, una plataforma de punto de venta antigua, un plugin que nadie ha tocado en años — deja de recibir parches de seguridad por completo. Se siguen descubriendo vulnerabilidades nuevas, pero el fabricante ya no envía la solución. Ese software no se vuelve más seguro por quedarse quieto; se vuelve más peligroso cada mes que se ignora, porque es la puerta que ya nadie vigila. Si alguna computadora de su oficina todavía usa un sistema operativo que su fabricante dejó de soportar, eso es lo primero que vale la pena revisar esta semana — nuestros recursos de concientización en ciberseguridad explican cómo detectarlo.

Qué Buscan Realmente los Hackers

Cuando una vulnerabilidad como estas se hace pública, herramientas de escaneo automatizado recorren internet buscando dispositivos sin actualizar en cuestión de horas, no semanas. No es un hacker eligiendo su negocio en particular — es un script revisando millones de direcciones, y no le importa qué tan grande sea usted. Un negocio pequeño con un firewall sin actualizar es tan visible como una empresa grande, y a menudo un blanco más fácil porque nadie revisa los registros.

Hablamos de los conceptos básicos de seguridad de router y firewall en una publicación reciente en nuestro blog, y esta noticia es un buen recordatorio de por qué importa: estos dispositivos están en la puerta de entrada de toda su red. Un firewall comprometido no solo expone una computadora — puede darle a un atacante un punto de apoyo hacia todo lo conectado detrás de él, incluyendo sus respaldos, los datos de sus clientes y su software de contabilidad.

Cómo se Ve Esto en un Negocio Pequeño

El patrón es el mismo si el blanco es un sistema hospitalario o un negocio de cinco personas: un atacante encuentra el dispositivo sin actualizar, entra en silencio y observa antes de hacer algo ruidoso — ransomware semanas después, o robo silencioso de datos de clientes e información bancaria. Para cuando usted nota que algo anda mal, a menudo ya tuvieron acceso por un tiempo. Por eso los respaldos seguros y probados y la protección de endpoints en capas importan tanto como la puerta de entrada misma.

Qué Puede Hacer Esta Semana

1. Haga una lista de todo lo que está expuesto a internet. Firewall, router, VPN, herramientas de escritorio remoto, cualquier dispositivo con una página de acceso pública. Si no sabe qué hay en esa lista, ese es el primer vacío que hay que cerrar.
2. Active las actualizaciones automáticas donde sea posible. Para los sistemas que no pueden actualizarse automáticamente sin riesgo, asigne a alguien — usted, su personal o su proveedor de TI — para revisarlos cada mes, no “eventualmente”.
3. Retire todo lo que ya llegó al final de su vida útil. El software que ya no recibe actualizaciones de seguridad debe reemplazarse o aislarse de la red, no solo usarse con cuidado.
4. Pida a quien administra su red un reporte del estado de las actualizaciones. Una simple respuesta de “cuándo se actualizó esto por última vez” para cada dispositivo le dice más que cualquier presentación de ventas.
5. Agregue una revisión recurrente de 15 minutos a su calendario. Una vez al mes, alguien revisa si hay actualizaciones pendientes en sus sistemas clave. Es aburrido, y es una de las formas más económicas de evitar una semana muy cara.

En Resumen

Los hackers no están innovando con ataques como estos — están aprovechando que actualizar el software es trabajo invisible sin recompensa inmediata, así que siempre se pospone para la próxima semana. Los negocios más afectados casi nunca son los que tienen las defensas más débiles en el papel; son aquellos donde nadie tenía claramente la responsabilidad de mantener esas defensas al día. Ese es un vacío que puede cerrar esta semana sin gastar un centavo en equipo nuevo.

Conozca nuestras soluciones de ciberseguridad para pequeñas empresas, incluyendo el filtrado de spam y virus que detiene muchos de estos ataques antes de que lleguen a un dispositivo que necesite actualización.

Envíenos un Mensaje

— Nemuel Cruz, Incognito Cyber Security

🇲🇽 Leer en Español →

On September 22, CISA and security researchers confirmed hackers were actively breaking into firewalls and remote-access equipment from two of the biggest names in business security — Check Point and F5 — using flaws the vendors had already published patches for. Attackers weren’t picking locks. They were walking through doors left unlocked for months.

You probably don’t run Check Point or F5 gear. Most businesses I work with in Southern Arizona don’t. But the story behind this attack is the same one that plays out on smaller networks every week, and it’s worth five minutes to understand why.

What Actually Happened

CISA added four vulnerabilities to its Known Exploited Vulnerabilities catalog last week, including two Check Point flaws and one in F5’s BIG-IP access system. Two scored a perfect 10 out of 10 on the industry’s severity scale — an attacker who finds an unpatched device can take total remote control of it, no password and no click required from anyone inside the business. From there, they have a direct path into the rest of the network.

Why This Matters Even If You’ve Never Heard of These Products

The brand isn’t the point. The pattern is: a vendor discovers a flaw, releases a fix, and publishes a warning — and real-world attacks follow within days because so many businesses never applied the update. It doesn’t matter whether the device is a $40,000 enterprise firewall or a $150 router from a big-box store. If it’s connected to the internet and unpatched, it’s a target with your business’s name on it.

The Real Problem Isn’t the Software — It’s the Silence

Here’s what I see over and over with business owners: nobody decided to skip patching. It just never made noise. Your point-of-sale system, your router, your bookkeeper’s laptop — none of them ring a bell when an update is overdue. Everything looks fine, right up until it isn’t. Attackers count on the fact that “still running” and “still safe” feel like the same thing, when they’re not even close.

Old Software Has a Quiet Expiration Date

Software that’s reached end-of-life — an old Windows version, a legacy point-of-sale platform, a plugin nobody’s touched in years — stops receiving security fixes entirely. New vulnerabilities keep getting discovered, but the vendor is no longer sending fixes. That software doesn’t get safer by sitting still; it gets more dangerous every month it’s ignored, because it’s the one door nobody’s watching. If any office machine is still running an operating system your vendor has stopped supporting, that’s the first thing worth checking this week — our cybersecurity awareness resources walk through how to spot it.

What Hackers Are Actually Looking For

When a vulnerability like these goes public, automated scanners sweep the internet for unpatched devices within hours, not weeks. It’s not a hacker picking your business specifically — it’s a script checking millions of addresses, and it doesn’t care how big you are. A small business with an unpatched firewall is just as visible as a Fortune 500 company, and often an easier target because nobody’s watching the logs.

We covered basic router and firewall hygiene in a recent post on our blog, and this news is a good reminder why it matters: these devices sit at the front door of your entire network. A compromised firewall doesn’t just expose one computer — it can give an attacker a foothold into everything behind it, including your backups, customer records, and accounting software.

How This Plays Out for a Small Business

The pattern holds whether the target is a hospital or a five-person shop: an attacker finds the unpatched device, gets in quietly, and looks around before doing anything noisy — ransomware weeks later, or quietly siphoned customer and banking data. By the time you notice, they’ve often had access for a while. That’s why secure, tested backups and layered endpoint protection matter as much as the front door itself.

What You Can Do This Week

1. List everything facing the internet. Firewall, router, VPN, remote desktop tools, any device with a public login page. If you don’t know what’s on that list, that’s the first gap to close.
2. Turn on automatic updates wherever you can. For systems that can’t auto-update safely, put someone — you, staff, or your IT provider — in charge of checking monthly, not “eventually.”
3. Retire anything past end-of-life. Software that no longer gets security updates needs to be replaced or isolated from the network, not just used carefully.
4. Ask whoever manages your network for a patch status report. A simple “when was this last updated” answer for every device tells you more than any sales pitch.
5. Put a recurring 15-minute review on your calendar. Once a month, someone checks for pending updates on your key systems. It’s boring, and it’s one of the cheapest ways to avoid a very expensive week.

Bottom Line

Hackers aren’t breaking new ground with attacks like these — they’re exploiting the fact that patching is invisible work with no immediate reward, so it keeps getting pushed to next week. The businesses hit hardest usually aren’t the ones with the weakest defenses on paper; they’re the ones where nobody was clearly responsible for keeping those defenses current. That’s a gap you can close this week without spending a dime on new equipment.

Take a look at our small business cybersecurity solutions, including spam and virus filtering that catches a lot of these attacks before they ever reach a device that needs patching.

Send us a message

— Nemuel Cruz, Incognito Cyber Security

🇺🇸 Read this article in English

La semana pasada vi a un cliente escribir “cómo contacto al departamento de fraude de mi banco” en una herramienta de búsqueda con IA. La respuesta que recibió se veía perfecta: un resumen limpio, un número de teléfono, hasta el formato del número de caso que debía tener a la mano. Solo que el número no era del banco. Era de un estafador que había pasado meses asegurándose de que las herramientas de IA lo encontraran primero.

Esto no es una hipótesis. Investigadores de seguridad acaban de documentar una campaña activa en la que los atacantes inundan internet con páginas falsas de soporte, reseñas y PDFs diseñados específicamente para que ChatGPT, Google AI Overviews, Gemini y Perplexity los tomen como respuesta. Aerolíneas, bancos y sitios de viaje como Delta, Chase, Bank of America y Airbnb ya han tenido números falsos de soporte aparecer en respuestas de IA. Todavía nadie ha probado que los pequeños negocios estén siendo el blanco de la misma forma, pero la técnica no distingue el tamaño de la empresa que está suplantando, y tus clientes usan las mismas herramientas de IA que los clientes de tu banco.

Cómo funciona realmente el “envenenamiento de búsquedas con IA”

Los buscadores tradicionales clasificaban páginas según enlaces y reputación, lo que hacía difícil manipularlos de la noche a la mañana. Los chatbots de IA funcionan distinto: resumen el contenido que parece más relevante y confiable en el momento, tomado de un grupo de fuentes mucho más amplio y que cambia más rápido.

La estrategia del atacante

Los investigadores llaman a esta técnica GEO — Generative Engine Optimization, o optimización para motores generativos — el primo, en la era de la IA, del viejo spam de SEO. En lugar de perseguir el ranking de Google, los atacantes escriben contenido pensado específicamente para cómo lo “lee” la IA: la frase exacta que escribiría un cliente (“número de servicio al cliente de Delta”), formato de preguntas y respuestas, y el número falso repetido varias veces para reforzarlo. Lo publican en todos lados a la vez — reseñas de Yelp, páginas de Google Sites, GitHub Pages, Blogger, descripciones de YouTube, incluso sitios comprometidos de universidades y gobiernos — para que al menos algunas copias queden indexadas y aparezcan en las respuestas.

Por qué funciona tan bien

Cuando una herramienta de IA te da una respuesta segura y bien formateada, no viene con un enlace que puedas pasar el cursor por encima ni una URL que puedas revisar en busca de errores, como sí pasa con un resultado normal de Google. Estás confiando en el resumen de la IA tal cual. Eso es exactamente la confianza que este engaño busca explotar — y es la misma razón por la que hemos estado advirtiendo a nuestros clientes sobre páginas de inicio de sesión falsas que parecen reales.

Por qué esto te importa aunque no seas Chase ni Delta

Aquí se juntan dos riesgos para el dueño de un pequeño negocio. Primero, tu propio personal busca constantemente números de soporte de proveedores y bancos: la empresa de nómina, la aseguradora, el proveedor de software, el procesador de pagos. Si alguna de esas búsquedas alguna vez termina en un número falso, alguien de tu equipo podría entregar credenciales de una cuenta o un código de un solo uso pensando que habla con una línea de soporte legítima. Así es como en realidad empieza gran parte del robo de credenciales — no con un hackeo dramático, sino con una llamada telefónica que se siente completamente normal.

Segundo, si alguna vez suplantan el nombre y el contacto de soporte de tu propio negocio de esta manera, un cliente podría terminar dando su tarjeta o los datos de su cuenta a alguien que se hace pasar por ti. Eso es un problema de reputación que no verás venir hasta que un cliente te llame confundido por un cargo que tú nunca hiciste.

Qué puedes hacer esta semana

1. Deja de confiar en números de teléfono que te da la IA para cualquier tema financiero. Consigue el número en el reverso de tu tarjeta, en la factura del proveedor, o escribiendo tú mismo la URL real de la empresa en el navegador — nunca del resumen de un chatbot.
2. Dile a tu equipo, en palabras simples, esta misma semana. Dos minutos en tu próxima reunión hacen más que una política que nadie lee. Si esto te suena nuevo, nuestra capacitación de concientización en ciberseguridad cubre exactamente este tipo de engaño en un lenguaje que tu personal sí va a recordar.
3. Busca el nombre de tu propio negocio junto con “número de teléfono” o “servicio al cliente” en ChatGPT, Gemini y un par más. Si algo se ve raro, mejor que lo sepas tú antes que un cliente.
4. Guarda en favoritos las páginas reales de soporte de tus proveedores — banco, nómina, aseguradora, software clave — para que nadie en tu equipo tenga que buscarlas bajo presión.
5. Asegúrate de que tu protección de endpoints realmente esté vigilando el siguiente paso de este engaño — herramientas de acceso remoto y malware para robar credenciales que un “agente de soporte” convence a la víctima de instalar. Para eso existe la protección de endpoints.

Lo esencial

Las herramientas de IA son genuinamente útiles, y no te estoy diciendo a ti ni a tu equipo que dejen de usarlas. Pero trata un número de teléfono o enlace de contacto generado por IA como tratarías un nombre desconocido en el identificador de llamadas: útil como punto de partida, no algo para actuar sin verificarlo primero. Los negocios que caen en esto no son descuidados — simplemente están ocupados, y ocupado es justo con lo que cuenta este engaño.

Si quieres una segunda opinión sobre cómo tu equipo manejaría algo así — o si tu filtrado de spam y phishing y tu protección de respaldo de datos actuales detectarían lo que viene después de un engaño como este — para eso están nuestras soluciones de ciberseguridad para pequeños negocios. Trabajamos con dueños de pequeños negocios en todo el sur de Arizona en este tipo de situaciones todos los días.

Puedes encontrar más artículos como este, explicados en lenguaje sencillo, en nuestro blog.

Envíanos un mensaje

¿Preguntas sobre esto o sobre cualquier otro tema de seguridad en tu negocio? Escríbenos y te responderemos.

— Nemuel Cruz, Incognito Cyber Security

🇲🇽 Leer en Español →

Last week I watched a client type “how do I contact my bank’s fraud department” into an AI search tool. The answer that came back looked perfect — a clean summary, a phone number, a case number format to have ready. Only the number wasn’t the bank’s. It belonged to a scammer who had spent months making sure AI tools would find it first.

This isn’t a hypothetical. Security researchers just documented an active campaign where attackers flood the web with fake support pages, reviews, and PDFs built specifically to get picked up by ChatGPT, Google AI Overviews, Gemini, and Perplexity. Airlines, banks, and travel sites like Delta, Chase, Bank of America, and Airbnb have all had fake support numbers surface in AI answers. Nobody’s proven small businesses are being targeted the same way yet — but the technique doesn’t care what size company it’s impersonating, and your customers are using the same AI tools your bank’s customers are.

How “AI search poisoning” actually works

Search engines used to rank pages based on links and reputation, which made them hard to game overnight. AI chatbots work differently — they summarize whatever content looks most relevant and authoritative in the moment, pulled from a much wider, faster-moving pool of sources.

The attacker’s playbook

Researchers call this technique GEO — Generative Engine Optimization — the AI-era cousin of old-school SEO spam. Instead of chasing Google rankings, attackers write content specifically for how AI reads it: exact phrasing a customer would type (“Delta customer service phone number”), question-and-answer formatting, and the fake number repeated several times for emphasis. They post it everywhere at once — Yelp reviews, Google Sites pages, GitHub Pages, Blogger, YouTube descriptions, even compromised university and government websites — so at least a few copies get indexed and surfaced.

Why it works so well

When an AI tool gives you a confident, well-formatted answer, it doesn’t come with a link you can hover over or a URL you can eyeball for typos, the way a Google search result does. You’re trusting the AI’s summary at face value. That’s exactly the trust the scam is built to exploit — and it’s the same reason we’ve been warning clients about fake login pages that look real.

Why this matters even if you’re not Chase or Delta

Two risks stack up here for a small business owner. First, your own staff searches for vendor and bank support numbers constantly — payroll processor, insurance carrier, software vendor, merchant services. If any of those searches ever routes through a scam number, someone on your team could hand over account credentials or a one-time passcode believing they’re talking to a legitimate support line. That’s how a lot of credential theft actually starts — not a dramatic hack, but a normal-feeling phone call.

Second, if your own business’s name and support contact ever get impersonated this way, a customer could end up giving their card or account information to someone pretending to be you. That’s a reputation problem you won’t see coming until a customer calls you confused about a charge you never made.

What you can do this week

1. Stop trusting AI-provided phone numbers for anything financial. Get the number from the back of your card, the vendor’s invoice, or by typing the company’s actual URL into your browser — not from a chatbot summary.
2. Tell your team, in plain language, this week. A two-minute heads-up in your next huddle does more than a policy nobody reads. If it sounds unfamiliar, our cybersecurity awareness training covers exactly this kind of scam in language your staff will actually remember.
3. Search your own business name plus “phone number” or “customer service” in ChatGPT, Gemini, and a couple of others. If anything looks off, you want to know before a customer does.
4. Bookmark your real vendor support pages — bank, payroll, insurance, key software — so nobody on your team has to search for them under pressure.
5. Make sure endpoint protection is actually watching for the next step of this scam — remote-access tools and credential-stealing malware that a “support agent” talks a victim into installing. That’s exactly what endpoint protection is built to catch.

The bottom line

AI tools are genuinely useful, and I’m not telling you or your team to stop using them. But treat an AI-generated phone number or contact link the way you’d treat an unfamiliar name on caller ID: helpful as a starting point, not something to act on without a second check. The businesses that get burned by this aren’t careless — they’re just busy, and busy is exactly what this scam is counting on.

If you want a second set of eyes on how your team handles this kind of thing — or whether your current spam and phishing filtering and backup protection would catch what comes after a scam like this succeeds — that’s exactly what our small business cybersecurity solutions are built for. We work with small business owners across Southern Arizona on exactly this kind of thing every day.

You can find more plain-English breakdowns like this one on our blog.

Send us a message

Questions about this or anything else in your security setup? Send us a note and we’ll get back to you.

— Nemuel Cruz, Incognito Cyber Security