🇺🇸 Read this article in English

El jueves pasado, el Departamento de Seguridad Vial y Vehículos Motorizados de Florida confirmó algo que vale la pena que cualquier dueño de negocio piense con calma. Un grupo criminal entró a los registros vehiculares del estado. No con un exploit sofisticado. No con nada de película. Entraron porque un policía tenía su acceso de trabajo guardado en su dispositivo personal, y alguien se lo robó.

Una persona. Un celular. Una contraseña en el lugar equivocado. Esa fue toda la historia.

Llevo en esto en Tucson desde 2011, y puedo decirte que casi todos los negocios pequeños que visito tienen el mismo problema. No porque alguien sea descuidado. Porque es cómodo, y nadie les dijo que no lo hicieran.

Qué pasó realmente en Florida

Las autoridades se enteraron de la brecha el 4 de septiembre. Su investigación determinó que un criminal pudo aprovechar las credenciales de un solo usuario de un departamento de policía que estaban “guardadas indebidamente en el dispositivo electrónico personal del empleado”. Ese empleado trabajaba para un departamento de policía de un pueblo pequeño a las afueras de Tampa. Lo que salió por el otro lado fueron registros vehiculares de todo el estado.

Lee esa cadena otra vez, porque ahí está lo importante. El empleado de una organización pequeña. Un dispositivo personal. Un sistema compartido. El atacante no necesitó vulnerar al estado. Solo necesitó vulnerar al eslabón más débil conectado a él.

Si eres contratista, despacho contable, clínica o compañía de títulos con un acceso a un portal de alguien más grande, tú eres el departamento de policía del pueblo pequeño en esa historia.

Por qué esto debería preocuparte más a ti que a Florida

El dispositivo no es el problema. Lo que está guardado en él, sí.

Nadie está diciendo que tu equipo no pueda usar sus propios celulares. La mayoría de los negocios pequeños no funcionarían de otra forma. El problema es lo que se va acumulando en esos teléfonos: la contraseña de QuickBooks en la app de notas, el acceso al banco guardado en un perfil personal de Chrome, la contraseña del portal del cliente en un mensaje de texto con la gerente de la oficina.

Eso es propiedad del negocio viviendo en equipo que no es tuyo, que no puedes borrar y que nunca vas a recuperar cuando esa persona se vaya. Escribimos sobre la parte del navegador en Contraseñas Guardadas: La Puerta Más Fácil a tu Negocio, y esta es la misma enfermedad con otra dirección.

Los atacantes ahora se mueven en horas, no en semanas

Aquí está lo que cambió hace poco. En un reporte de amenazas publicado el mismo día que la confirmación de Florida, Anthropic describió atacantes que usan herramientas de inteligencia artificial para buscar credenciales robadas, mapear sistemas que nunca habían visto y extraer datos. En un caso, un atacante pasó de un solo token de desarrollador robado a control administrativo total del entorno en la nube de la víctima en unas tres horas.

Tres horas. Eso es menos que una comida de trabajo. La vieja idea de que ibas a notar que algo andaba mal antes de que hubiera daño real ya no es una suposición segura.

Dónde terminan los accesos de trabajo sin que te des cuenta

Cuando hago un recorrido con un cliente nuevo, encuentro los mismos cuatro escondites casi siempre:

• La app de notas del celular personal, casi siempre titulada “contraseñas” o “trabajo”
• Una cuenta personal de Google o Apple conectada a un navegador de trabajo, sincronizando todo a la laptop de la casa
• Un mensaje de texto o WhatsApp donde alguien mandó una contraseña una vez y nadie la borró
• Un correo personal que guarda ligas para restablecer contraseñas y códigos de respaldo de MFA

Nada de eso es malintencionado. Todo eso es una brecha esperando a que se pierda un teléfono.

Qué puedes hacer esta semana

1. Haz la pregunta en voz alta. En tu próxima junta con el personal, pregunta dónde guardan sus contraseñas de trabajo. No lo conviertas en un regaño. Conviértelo en una investigación. Vas a aprender más en cinco minutos que con cualquier auditoría.
2. Dales un lugar mejor. Nadie guarda contraseñas en la app de notas porque le encante. Lo hace porque no hay alternativa. Pon un gestor de contraseñas empresarial y la app de notas se vacía sola.
3. Activa la autenticación multifactor en todo lo que se pueda. Correo, banco, contabilidad, acceso remoto. Una contraseña robada vale muy poco si todavía necesita un segundo factor. Eso sí, asegúrate de que tu gente sepa no aprobar avisos que no inició, algo que vimos en La Solicitud de Acceso que Nunca Debes Aprobar.
4. Separa la identidad de trabajo de la personal. Las cuentas de trabajo entran con perfiles de trabajo. Las cuentas personales de Google y Apple se quedan fuera de los navegadores de trabajo, y al revés también.
5. Anota quién tiene acceso a qué. Cada sistema, cada persona, cada dispositivo. Si un nombre de esa lista se fue hace seis meses, ya encontraste tu primer arreglo.
6. Confirma que tus respaldos de verdad restauran. El robo de credenciales normalmente es el paso uno. Los respaldos probados son los que deciden si el paso dos es una molestia o el fin del negocio.

Si a tu personal nunca le explicaron esto con claridad, eso es una falta de capacitación, no un problema de personas. La capacitación en concientización de seguridad es la línea más barata de toda esta lista.

En resumen

Una agencia estatal sufrió una brecha porque un empleado de un departamento pequeño guardó un acceso de trabajo en un lugar cómodo. Tu negocio funciona con el mismo arreglo ahora mismo, y probablemente hace rato que no lo revisas.

No necesitas más presupuesto para arreglar esto. Necesitas dispositivos administrados, correo filtrado, un gestor de contraseñas, MFA activado y una conversación honesta con tu equipo. Es una semana de trabajo que elimina, sin ruido, la forma más común en que le pegan a los negocios pequeños.

Atendemos a pequeñas empresas en Tucson, Marana, Oro Valley, Sahuarita y Nogales con TI administrada y ciberseguridad y soporte de emergencia 24/7. Hay más explicaciones en lenguaje sencillo como esta en nuestro blog.

Envíanos un mensaje

¿Tienes una duda sobre tu propia configuración? Mándala y yo mismo te respondo.

— Nemuel Cruz, Incognito Cyber Security

🇲🇽 Leer en Español →

Last Thursday, the Florida Department of Highway Safety and Motor Vehicles confirmed something a lot of small business owners should sit with for a minute. A cybercrime group got into state motor vehicle records. Not through a zero-day. Not through some Hollywood hack. They got in because one police officer had his work login sitting on his personal device, and somebody stole it.

One person. One phone. One set of credentials in the wrong place. That was the whole story.

I have been doing this in Tucson since 2011, and I can tell you that almost every small business I walk into has the same problem. Not because anybody is careless. Because it is convenient, and nobody ever told them not to.

What actually happened in Florida

Officials found out about the breach on September 4. Their investigation determined that a criminal was able to take advantage of a single police department user’s credentials that were “improperly housed on the employee’s personal electronic device.” That employee worked for a small-town police department outside Tampa. The data that came out the other end was state-level motor vehicle records.

Read that chain again, because it is the part that matters. A small organization’s employee. A personal device. A shared system. The attacker did not need to breach the state. They only needed to breach the weakest person connected to it.

If you are a contractor, a CPA firm, a clinic, or a title company with a portal login into somebody bigger, you are the small-town police department in that story.

Why this should worry you more than it worries Florida

The device is not the problem. What is stored on it is.

Nobody is saying your team cannot use their own phones. Most small businesses could not function otherwise. The problem is what quietly accumulates on those phones: the QuickBooks password in a notes app, the bank login saved in a personal Chrome profile, the client portal password in a text thread with the office manager.

That is business property living on hardware you do not own, cannot wipe, and will never get back when that person leaves. We wrote about the browser side of this in Saved Passwords: The Easiest Way Into Your Business, and this is the same disease with a different address.

Attackers now move in hours, not weeks

Here is the part that changed recently. In a threat report published the same day as the Florida confirmation, Anthropic described attackers using AI tools to scan for stolen credentials, map systems they had never seen before, and pull data out. In one case an attacker went from a single stolen developer token to full administrative control of a victim’s cloud environment in about three hours.

Three hours. That is shorter than a lunch meeting. The old assumption that you would notice something was wrong before real damage happened is no longer a safe assumption.

Where work logins quietly end up

When I do a walkthrough for a new client, I find the same four hiding places almost every time:

• The notes app on a personal phone, usually titled “passwords” or “work stuff”
• A personal Google or Apple account signed into a work browser, syncing everything to a home laptop
• A text or WhatsApp thread where somebody sent a credential once and nobody ever deleted it
• A personal email inbox holding password reset links and MFA backup codes

None of that is malicious. All of it is a breach waiting for a lost phone.

What you can do this week

1. Ask the question out loud. In your next staff meeting, ask where people keep their work passwords. Do not make it a scolding. Make it a fact-finding mission. You will learn more in five minutes than from any audit.
2. Give them somewhere better. Nobody keeps passwords in a notes app because they love it. They do it because there is no alternative. Put a business password manager in place and the notes app empties out on its own.
3. Turn on multi-factor authentication everywhere it will go. Email, banking, accounting, remote access. A stolen password is worth very little if it still needs a second factor. Just make sure your people know not to approve prompts they did not trigger, which we covered in The Login Request You Should Never Approve.
4. Separate work identity from personal identity. Work accounts sign in with work profiles. Personal Google and Apple accounts stay off work browsers, and vice versa.
5. Write down who has access to what. Every system, every person, every device. If a name on that list left six months ago, you found your first fix.
6. Confirm your backups actually restore. Credential theft is usually step one. Tested backups are what decide whether step two is an inconvenience or an extinction event.

If your staff has never had this explained to them plainly, that is a training gap, not a people problem. Security awareness training is the cheapest line item on this whole list.

The bottom line

A state agency got breached because one employee at one small department kept a work login somewhere convenient. Your business runs on the same arrangement right now, and you probably have not looked in a while.

You do not need a bigger budget to fix this. You need managed devices, filtered email, a password manager, MFA turned on, and one honest conversation with your team. That is a week of work that quietly removes the most common way small businesses get hit.

We serve small businesses across Tucson, Marana, Oro Valley, Sahuarita and Nogales with managed IT and cybersecurity and 24/7 emergency support. More plain-English breakdowns like this one are on our blog.

Send us a message

Have a question about your own setup? Send it over and I will answer it personally.

— Nemuel Cruz, Incognito Cyber Security

🇺🇸 Read this article in English

La mayoría de los dueños con los que hablo imaginan un robo cuando piensan en una fuga de datos. Alguien con capucha, adivinando contraseñas, entrando a la fuerza. Esa es la versión de película. La versión que yo veo en el sur de Arizona es mucho más silenciosa y bastante más vergüenza: nadie entró a la fuerza. Un archivo se compartió con “cualquiera que tenga el enlace” hace tres años, y ahí sigue, abierto en internet.

Una investigación publicada este mes lo explica mejor que yo. Una firma de seguridad revisó datos de configuración en la nube de 3,000 organizaciones que usan las plataformas de Amazon, Microsoft y Google. Los controles de acceso débiles aparecieron en entre el 80% y el 98% de las cuentas, según el proveedor. No hablamos de unas cuantas empresas descuidadas. Hablamos de casi todas.

El problema no son los hackers. Son las configuraciones.

“Mala configuración” es una palabra técnica para algo muy común: un interruptor que se activó por comodidad y nunca se volvió a apagar. Tu equipo necesitaba enviar una propuesta grande a un cliente, entonces alguien activó el acceso público. Funcionó. Todos siguieron con su día. El interruptor se quedó encendido.

Esto importa más que antes porque los criminales dejaron de adivinar contraseñas y empezaron a buscar puertas abiertas. Sale más barato rastrear internet en busca de archivos expuestos que atacar a una empresa de frente. Si tus cotizaciones, tu nómina o tus contratos se pueden abrir sin iniciar sesión, nunca vas a recibir una alerta. No hay alarma para una puerta que tú dejaste abierta a propósito.

Tres formas en que se filtran archivos sin que nadie entre por la fuerza

El enlace que nunca expira

En Microsoft 365, Google Drive y Dropbox, la forma más rápida de compartir algo es un enlace público. Es un solo clic, y por defecto ese enlace casi nunca tiene fecha de vencimiento. El proyecto termina, la relación con el cliente termina, el empleado que lo creó se va — y el enlace sigue funcionando.

La cuenta que sobrevivió al empleado

Cuando alguien se va, casi todas las pequeñas empresas se acuerdan de apagar el correo. Muchas menos se acuerdan de la carpeta compartida, del portal de contabilidad, de la aplicación de sincronización que sigue instalada en una laptop personal. He auditado negocios donde una persona que se fue hace dos años todavía podía abrir la carpeta financiera de la empresa desde su casa.

Todos son administradores

Esta casi siempre es accidental. Es más rápido darle acceso total a un empleado nuevo que averiguar qué necesita en realidad. Multiplica eso por cinco años de contrataciones, y ahora una sola contraseña robada abre todos tus archivos en lugar de una sola carpeta.

Por qué vale una hora de tu semana

Los grupos de ransomware cambiaron su modelo de negocio. Antes sólo bloqueaban tus archivos y pedían dinero. Ahora primero copian tus datos, luego los bloquean, y después amenazan con publicar lo que se llevaron. Un buen respaldo te devuelve la operación — y deberías tener respaldos probados y fuera del sitio — pero un respaldo no “despublica” tu lista de clientes.

Eso cambia las cuentas. Una carpeta filtrada no es sólo un dolor de cabeza técnico. Es una llamada a cada cliente que esté en esa carpeta. Y rara vez empieza con algo dramático: en la mayoría de estos casos los atacantes simplemente usaron credenciales que ya estaban expuestas. Es el mismo patrón del que escribí cuando la brecha de un proveedor puso en riesgo los datos de sus clientes — el punto débil fue un acceso que nadie estaba vigilando.

Qué puedes hacer esta semana

1. Saca tu reporte de archivos compartidos. Tanto Microsoft 365 como Google Workspace permiten que un administrador liste cada archivo compartido públicamente. Córrelo una vez. A la mayoría de los dueños les sorprende lo que aparece.
2. Elimina los enlaces públicos que ya no necesitas. Todo lo que sea más viejo que un proyecto terminado debería cambiar a “sólo personas específicas”. Configura los enlaces nuevos para que expiren en 30 días.
3. Escribe una lista de salida de cinco líneas. Correo, carpeta compartida, software de contabilidad, gestor de contraseñas, equipo de la empresa devuelto. Cinco líneas le ganan a una política perfecta que nadie sigue.
4. Cuenta tus administradores. Un negocio con diez empleados no necesita seis administradores. Necesita dos, y los demás reciben sólo lo que su trabajo requiere.
5. Dedica quince minutos a tu equipo. Muéstrales la diferencia entre “compartir con María” y “compartir con cualquiera”. Una capacitación corta en concientización de seguridad previene más fugas que cualquier producto que yo te pueda vender.

En resumen

No necesitas un presupuesto de seguridad más grande para arreglar esto. Necesitas una tarde y a alguien dispuesto a revisar. Los negocios que salen lastimados no son los que tienen tecnología débil — son aquellos donde nadie revisó nunca quién sigue teniendo las llaves. Suma protección de dispositivos y filtrado de correo encima de permisos limpios, y habrás cerrado las puertas que los atacantes sí usan.

Si prefieres no andar buscando entre menús de administrador, se entiende. Para eso estamos. Hay más guías en lenguaje sencillo en nuestro blog.

¿Quieres el panorama completo para proteger tu empresa? Empieza por nuestras soluciones de ciberseguridad para pequeñas empresas.

Envíanos un mensaje

¿Tienes una pregunta sobre tu configuración en la nube, o quieres una segunda opinión sobre quién tiene acceso a qué? Mandámela y te respondo personalmente.

— Nemuel Cruz, Incognito Cyber Security

🇲🇽 Leer en Español →

Most owners I talk to picture a break-in when they think about a data leak. Someone in a hoodie, cracking a password, forcing their way in. That’s the movie version. The version I actually see in Southern Arizona is quieter and a lot more embarrassing: nobody broke in at all. A file was shared with “anyone with the link” three years ago, and it’s been sitting open on the internet ever since.

New research out this month makes the point better than I can. A security firm reviewed cloud misconfiguration data from 3,000 organizations across Amazon, Microsoft, and Google’s cloud platforms. Weak access controls showed up in 80% to 98% of accounts, depending on the provider. That is not a handful of careless companies. That is nearly everybody.

The problem isn’t hackers. It’s settings.

“Misconfiguration” is a technical word for something very ordinary: a switch that got flipped for convenience and never got flipped back. Your team needed to send a big proposal to a client, so somebody turned on public sharing. It worked. Everyone moved on. The switch stayed on.

The reason this matters more than it used to is that criminals have stopped guessing passwords and started looking for open doors. It is cheaper to scan the internet for exposed files than it is to attack a business head-on. If your quotes, payroll records, or client contracts are reachable without a login, you never get an alert. There is no alarm for a door you left unlocked on purpose.

Three ways files leak without anyone breaking in

The link that never expires

In Microsoft 365, Google Drive, and Dropbox, the fastest way to share something is a public link. It’s one click, and by default that link usually has no expiration date. The project ends, the client relationship ends, the employee who created it leaves — and the link keeps working.

The account that outlived the employee

When someone leaves, most small businesses remember to turn off email. Far fewer remember the shared drive, the accounting portal, the file-sync app still installed on a personal laptop. I have audited businesses where a person who left two years earlier could still open the company’s financial folder from home.

Everybody is an administrator

This one is almost always accidental. It’s faster to give a new hire full access than to figure out what they actually need. Multiply that by five years of hiring, and now a single stolen password opens every file you own instead of one folder.

Why this is worth an hour of your week

Ransomware crews changed their business model. They used to just lock your files and demand payment. Now they copy your data first, then lock it, then threaten to publish what they took. Good backups still get you running again — and you should absolutely have tested, off-site backups — but backups don’t un-publish your client list.

That changes the math. A leaked folder isn’t just an IT headache. It’s a phone call to every customer in that folder. And it rarely starts with anything dramatic: in most of these cases the attackers simply used credentials that were already exposed. It’s the same pattern I wrote about when a vendor breach put client data at risk — the weak point was access nobody was watching.

What you can do this week

1. Pull your sharing report. Microsoft 365 and Google Workspace both let an admin list every file shared publicly. Run it once. Most owners are genuinely surprised by what comes back.
2. Kill the public links you don’t need. Anything older than a finished project should be switched to named-people-only. Set new links to expire in 30 days by default.
3. Write a five-line offboarding checklist. Email, shared drive, accounting software, password manager, company device returned. Five lines beats a perfect policy nobody follows.
4. Count your administrators. A business with ten employees does not need six admins. It needs two, and everyone else gets what their job requires.
5. Spend fifteen minutes with your team. Show them the difference between “share with Maria” and “share with anyone.” Short, practical security awareness training prevents more leaks than any product I can sell you.

The bottom line

You do not need a bigger security budget to fix this. You need an afternoon and someone willing to look. The businesses that get hurt aren’t the ones with weak technology — they’re the ones where nobody ever checked who still has the keys. Layer in endpoint protection and email filtering on top of clean permissions, and you’ve closed the doors attackers actually use.

If you’d rather not go digging through admin menus yourself, that’s fair. It’s what we do. More plain-English guidance is on our blog.

Want the bigger picture on protecting your company? Start with our small business cyber security solutions.

Send us a message

Have a question about your cloud setup, or want a second opinion on who has access to what? Send it over and I’ll answer personally.

— Nemuel Cruz, Incognito Cyber Security

🇺🇸 Read this article in English

La mayoría de las estafas buscan tu contraseña. Esta se salta ese paso por completo. Le pide a tu empleado que instale un programa — y después el atacante simplemente se sienta frente al teclado.

Los investigadores de ANY.RUN han estado siguiendo una campaña de phishing que ya abarca 46 países, y Estados Unidos es el principal objetivo con cerca del 45% de la actividad observada. Los correos son comunes a propósito: un aviso fiscal, una factura vencida, una actualización de envío, un PDF compartido. Al hacer clic, lo que llega a la computadora no es un virus. Es una herramienta de soporte remoto real y con licencia comercial — ScreenConnect, ConnectWise, LogMeIn Rescue. El mismo tipo de software que mi equipo usa para reparar tu laptop sin cruzar todo Tucson.

Por eso mismo funciona.

Por qué tu antivirus no interviene

El software es genuinamente legítimo

Son productos firmados, pagados y legales que usan departamentos de TI en todo el mundo. Tu antivirus no tiene una firma con qué compararlo ni motivo para levantar la mano. Bloquear toda la categoría rompería el soporte legítimo del que depende tu negocio. Por eso la protección de endpoints que solo pregunta «¿este archivo es conocido como malo?» deja pasar esto sin problema. Lo que importa es lo que un programa hace después de instalarse, no cómo se llama.

Una vez que corre, parece un día normal de trabajo

Una sesión remota a media tarde no es sospechosa. Es martes. Siempre hay alguien arreglando algo. El atacante no está rompiendo tu firewall; está entrando por una puerta que tu negocio dejó abierta a propósito para TI. Y no se queda quieto — los investigadores encontraron que el 94% de la infraestructura de la campaña estuvo activa un solo día y luego desapareció, lo que hace casi inútil bloquearla por dirección.

Cómo se ve esto en un negocio pequeño

Esta es la versión que me preocupa. Tu contadora recibe un correo sobre una factura supuestamente vencida. Lo abre, le aparece un aviso para instalar un visor y poder leer el documento, y hace clic en sí — porque ha dicho que sí a cien avisos inofensivos antes. Diez minutos después, alguien que nunca ha visto está mirando su pantalla.

A esas alturas no necesitan robar ninguna contraseña. Ella ya está dentro del portal del banco, del sistema contable y del correo. Están dentro de una sesión en la que todo ya confía. De ahí pasan a cambiar instrucciones de transferencia, leer el historial de correos para aprender cómo habla tu empresa sobre dinero, o preparar en silencio un ataque de ransomware para la semana siguiente — que es el momento en que tus respaldos seguros dejan de ser una línea en una factura y pasan a ser el negocio entero.

La regla que detiene casi todo esto

Nadie legítimo te va a contactar de la nada para pedirte que instales software de acceso remoto.

Nosotros no. Microsoft tampoco. Ni tu banco, ni el proveedor de tu impresora, ni el IRS. El soporte de TI real es algo que tú solicitaste, de una empresa con la que ya trabajas, a un número que ya tenías. Si llega una solicitud de acceso remoto que nadie pidió — correo, ventana emergente, llamada o mensaje de texto — la respuesta es no, siempre. Después verificas llamando a la empresa a un número que tú mismo busques, no el que viene en el mensaje.

Es el mismo instinto detrás de la solicitud de acceso que nunca debes aprobar: si tú no lo iniciaste, no lo apruebes.

Lo que puedes hacer esta semana

1. Di la regla en voz alta en tu próxima junta. «Nunca te vamos a mandar un correo pidiéndote que instales software remoto. Si alguien lo hace, es falso, y me avisas.» Dos frases. Esa es toda la capacitación.
2. Anota qué herramientas remotas usan de verdad. Si tu soporte de TI usa una herramienta específica, todos deberían saber su nombre. Cualquier otra cosa que aparezca en pantalla es una señal de alerta, no un misterio que resolver en silencio.
3. Quita los permisos de administrador de las cuentas del día a día. Si tu contadora no puede instalar software sin ti, este ataque muere en el aviso. Es el cambio de mayor valor de esta lista y no cuesta nada.
4. Refuerza la entrada. Un buen filtrado de spam y virus elimina la mayoría de estos anzuelos antes de que alguien tenga que decidir. No puedes hacer clic en lo que nunca llegó.
5. Acuerden cómo se verifica el dinero. Cualquier cambio en datos de transferencia, cuentas bancarias o instrucciones de pago se confirma con una llamada a un número conocido. Sin excepciones, sin importar quién parezca estar pidiéndolo.
6. Dale permiso a tu gente de equivocarse. El empleado que dice «creo que le di clic a algo» en los primeros diez minutos te ahorra una semana caretsísima. La capacitación continua en seguridad funciona porque vuelve normal el hablar a tiempo.

En resumen

Este ataque no le gana a tu tecnología. Le gana a una costumbre — la de decir que sí a un aviso porque decir que sí es como transcurre el día normalmente. La solución no es un firewall más grande. Es una regla clara que todos en tu edificio conozcan, más el trabajo aburrido de limitar quién puede instalar qué.

Si ahora mismo no sabes quién puede instalar software en tus computadoras, vale la pena averiguarlo esta semana y no después de que alguien haga clic. Hay más explicaciones en lenguaje sencillo como esta en nuestro blog.

Envíanos un mensaje

¿Tienes una pregunta sobre algo de este artículo, o quieres una segunda opinión sobre cómo están configurados tus sistemas? Mándala y te respondo personalmente.

— Nemuel Cruz, Incognito Cyber Security

🇲🇽 Leer en Español →

Most scams are after your password. This one skips that step completely. It asks your employee to install a program — and then the attacker simply sits down at the keyboard.

Researchers at ANY.RUN have been tracking a phishing campaign that now spans 46 countries, and the United States is the top target at roughly 45% of the activity they observed. The emails are unremarkable on purpose: a tax notice, a past-due invoice, a shipping update, a shared PDF. Click through, and what lands on the machine is not a virus. It is a real, commercially licensed remote support tool — ScreenConnect, ConnectWise, LogMeIn Rescue. The same category of software my team uses to fix your laptop without driving across Tucson.

That is exactly why it works.

Why your antivirus sits this one out

The software is genuinely legitimate

These are signed, paid, above-board products used by IT departments everywhere. Your antivirus has no signature to match and no reason to raise its hand. Blocking the whole category outright would break the legitimate support your business depends on. This is why endpoint protection that only asks “is this file known to be bad?” will wave this straight through. What matters is what a program does after it is installed, not what it is called.

Once it is running, it looks like a normal workday

A remote session in the middle of the afternoon is not suspicious. It is Tuesday. Somebody is always fixing something. The attacker is not smashing through your firewall; they are walking through a door your business deliberately left unlocked for IT. And they do not stay put — researchers found 94% of the campaign’s hosting infrastructure was live for a single day and then vanished, which makes blocking it by address close to useless.

What this looks like in a small business

Here is the version I worry about. Your bookkeeper gets an email about an invoice that is supposedly past due. She opens it, gets a prompt to install a viewer so she can read the document, and clicks yes — because she has clicked yes to a hundred harmless prompts before. Ten minutes later, someone she has never met is watching her screen.

They do not need to steal a password at that point. She is already signed into the bank portal, the accounting system, and email. They are inside a session that everything already trusts. From there it is changing wire instructions, reading the email history to learn how your company talks about money, or quietly preparing a ransomware deployment for the following week — which is the moment your secure backups stop being a line item on an invoice and start being the entire business.

The one rule that stops almost all of it

Nobody legitimate will ever contact you out of the blue and ask you to install remote access software.

Not us. Not Microsoft. Not your bank, your printer vendor, or the IRS. Real IT support is something you asked for, from a company you already work with, at a number you already had. If a request for remote access shows up unsolicited — email, popup, phone call, or text — the answer is no, every single time. Then you verify by calling the company back on a number you look up yourself, not one from the message.

It is the same instinct behind the login request you should never approve: if you did not start it, do not approve it.

What you can do this week

1. Say the rule out loud at your next staff meeting. “We will never email you and ask you to install remote software. If anyone does, it is fake, and you come tell me.” Two sentences. That is the whole training.
2. Write down which remote tools you actually use. If your IT support uses one specific tool, everyone should know its name. Anything else appearing on a screen is a red flag, not a mystery to be solved quietly.
3. Take local admin rights away from day-to-day accounts. If your bookkeeper cannot install software without you, this attack dies at the prompt. This is the single highest-value change on the list, and it costs nothing.
4. Tighten the front end. Good spam and virus filtering strips out most of these lures before anyone has a decision to make. You cannot click what never arrives.
5. Agree on how you verify money. Any change to wire details, bank accounts, or payment instructions gets confirmed by a phone call to a known number. No exceptions, no matter who appears to be asking.
6. Give people permission to be wrong. The employee who says “I think I clicked something” in the first ten minutes saves you a very expensive week. Ongoing security awareness training works because it makes speaking up normal.

The bottom line

This attack does not beat your technology. It beats a habit — the habit of saying yes to a prompt because saying yes is how the day usually goes. The fix is not a bigger firewall. It is one clear rule that everyone in your building knows, plus the boring groundwork of limiting who can install what.

If you are not sure who can install software on your machines right now, that is worth finding out this week rather than after somebody clicks. More plain-English breakdowns like this one are on our blog.

Send us a message

Have a question about something in this article, or want a second opinion on how your systems are set up? Send it over and I will get back to you personally.

— Nemuel Cruz, Incognito Cyber Security

🇺🇸 Read this article in English

Son las 10:40 de la noche de un martes. Tu gerente de oficina está en el sofá con la tele encendida. Su teléfono vibra: ¿Aprobar inicio de sesión? Ella no intentó entrar a nada, así que toca Rechazar. Treinta segundos después vibra otra vez. Y otra. Para el aviso número doce ya está cansada, algo molesta y medio convencida de que el sistema está fallando. Toca Aprobar solo para que pare.

Ese es el ataque completo. Sin malware. Sin código sofisticado. Alguien ya tenía su contraseña y simplemente la agotó.

Tiene nombre y vale la pena conocerlo: fatiga de MFA, también llamado bombardeo de avisos. Microsoft contó unos 382,000 de estos ataques en un solo periodo de doce meses. Cerca del uno por ciento terminó con alguien tocando Aprobar. El uno por ciento suena a nada hasta que sacas la cuenta sobre 382,000.

Cómo funciona el ataque en realidad

La autenticación multifactor (MFA) es ese segundo paso que agregaste para que una contraseña robada no fuera suficiente por sí sola. Normalmente ese segundo paso es un aviso en el teléfono: te pregunta si el acceso realmente eres tú, y tú tocas sí o no.

Los atacantes no pueden romper eso. Así que ni lo intentan. En vez de eso, toman una contraseña que ya robaron y presionan el botón de acceso una y otra vez, lo cual envía un aviso nuevo al teléfono de tu empleada cada vez. Quince avisos. Cuarenta avisos. Avisos a las dos de la mañana. No están tratando de engañar a tu tecnología. Están tratando de agotar a una persona.

De dónde salió la contraseña

Esta es la parte que los dueños pasan por alto. Un ataque de bombardeo de avisos significa que alguien ya tiene una contraseña que funciona en tu negocio. Salió de un correo de phishing, de una contraseña reutilizada que se filtró en la brecha de otra empresa, o de malware que copió en silencio los accesos guardados en un navegador. Sobre esto último escribí hace poco en Contraseñas Guardadas: La Puerta Más Fácil a tu Negocio, y es el origen más común que veo en casos reales.

Así que un aviso inesperado nunca es solo una molestia. Es una alarma de humo.

Por qué funciona con buenos empleados

Quiero ser claro en algo, porque los dueños terminan enojados con la persona equivocada después de que esto pasa. La empleada que toca Aprobar no es descuidada. Es una persona normal a la que interrumpen en su casa, una y otra vez, con un sistema que le dijeron que era confiable.

Nadie le enseñó qué significa una ráfaga de avisos inesperados. Nadie le dijo a quién llamar a las 10:40 de la noche. El aviso no dice alguien en otro país está usando tu contraseña en este momento. Solo dice ¿Aprobar inicio de sesión?, el mismo mensaje amable al que le da sí cada mañana.

Ese vacío es un problema de capacitación, no de carácter, y se resuelve en unos veinte minutos. Nuestra capacitación en conciencia de seguridad para empresas cubre exactamente este escenario, porque es el que sigue cayendo.

Lo que cuesta cuando funciona

Una vez que el atacante está dentro de una cuenta legítima, la mayoría de tus defensas dejan de verlo como atacante. Está dentro. Lee correos. Observa cómo se pagan tus facturas. Encuentra tu almacenamiento de archivos y tu sistema de nómina.

La versión famosa de esto fue Uber, donde un contratista recibió unos cuarenta avisos en treinta minutos, finalmente aprobó uno y entregó las llaves de los sistemas internos. Pero esto no es un problema de empresas grandes que luego gotea hacia abajo. La misma táctica se usó contra una cadena grande de tiendas, y los atacantes terminaron desplegando ransomware en cerca de mil sucursales. Nada de esta técnica requiere un objetivo grande. Requiere una persona cansada con un teléfono.

Lo que puedes hacer esta semana

1. Activa la coincidencia de números. En vez de un toque de sí o no, la pantalla de acceso muestra un número de dos dígitos y tu empleada tiene que escribirlo en el teléfono. Un toque a ciegas ya no sirve, porque la pantalla del atacante no está frente a tu empleada. CISA recomienda esto específicamente si aún no puedes pasar a un MFA más fuerte. En Microsoft 365 y Google Workspace es una configuración, no una compra.
2. Dale a tu equipo una sola frase que recordar. Si aparece un aviso y tú no acabas de intentar entrar, recházalo y avisa. Esa es toda la regla. Díganla en la próxima junta de personal y pónganla por escrito.
3. Trata cada aviso inesperado como una contraseña robada. No basta con rechazarlo y seguir. Esa contraseña ya está quemada. Cámbiala ese mismo día, en todos los lugares donde se haya reutilizado.
4. Asegúrate de que alguien conteste a las 10:40 de la noche. Tu equipo necesita un número al cual llamar cuando esto pasa fuera de horario. Si no lo tienes, para eso existen nuestras soluciones de seguridad para pequeñas empresas y nuestra línea de emergencia 24/7.
5. Acorta el camino hacia la contraseña. Menos contraseñas robadas significa menos de estos ataques. Un buen filtrado de spam y virus detiene el correo de phishing, y la protección de endpoints detiene el malware que cosecha los accesos guardados.

Una más, menos urgente pero que vale la pena planear: si pasa lo peor y alguien sí logra entrar, tener respaldos de datos seguros ya probados es la diferencia entre una mala semana y un negocio cerrado.

En resumen

El MFA sigue valiendo la pena. Detiene la gran mayoría de los ataques, y jamás le diría a un cliente que lo apague. Pero la versión que la mayoría de las pequeñas empresas está usando — toca sí, toca no — se diseñó pensando en la comodidad, y los atacantes encontraron la costura.

Activar la coincidencia de números no te cuesta nada más que unos minutos en un menú de configuración. Decirle a tu equipo la regla de una sola frase no te cuesta absolutamente nada. Entre esas dos cosas, cierras una puerta que muchos negocios están dejando abierta de par en par.

Si no estás seguro de cómo está configurado tu MFA en este momento, es una respuesta justa, y es algo rápido de revisar. Hay más artículos prácticos como este en nuestro blog.

Envíanos un mensaje

¿Preguntas sobre este artículo o quieres que revisemos tu configuración? Escríbenos y te respondemos.

— Nemuel Cruz, Incognito Cyber Security

🇲🇽 Leer en Español →

It is 10:40 on a Tuesday night. Your office manager is on the couch with the TV on. Her phone buzzes: Approve sign-in? She did not try to sign in to anything, so she taps Deny. Thirty seconds later it buzzes again. Then again. By the twelfth buzz she is tired, a little annoyed, and half convinced the system is glitching. She taps Approve just to make it stop.

That is the entire attack. No malware. No clever code. Somebody already had her password, and they simply outlasted her.

It has a name, and it is worth knowing: MFA fatigue, sometimes called push bombing. Microsoft counted roughly 382,000 of these attacks in a single twelve-month stretch. About one percent of them ended with somebody tapping Approve. One percent sounds like nothing until you run the math on 382,000.

How the attack actually works

Multi-factor authentication is the second step you added so a stolen password alone would not be enough. Usually that second step is a push notification: your phone asks if the login is really you, and you tap yes or no.

Attackers cannot break that. So they do not try. Instead they take a password they already stole and hammer the login button over and over, which sends a fresh approval request to your employee’s phone every time. Fifteen requests. Forty requests. Requests at two in the morning. They are not trying to trick your technology. They are trying to exhaust a human being.

Where the password came from in the first place

This is the part owners miss. A push bombing attack means someone already has a working password for your business. It came from a phishing email, a reused password exposed in somebody else’s breach, or malware that quietly scraped the logins saved in a browser. I wrote about that last one recently in Saved Passwords: The Easiest Way Into Your Business, and it is the most common source I see in real cases.

So a stray approval prompt is never just an annoyance. It is a smoke alarm.

Why it works on good employees

I want to be clear about something, because owners get angry at the wrong person after this happens. The employee who taps Approve is not careless. She is a normal person being interrupted at home, repeatedly, by a system she was told to trust.

Nobody trained her on what a burst of unexpected prompts means. Nobody told her who to call at 10:40 at night. The prompt does not say somebody in another country is using your password right now. It just says Approve sign-in? — the same friendly message she taps yes to every morning.

That gap is a training problem, not a character problem, and it is fixable in about twenty minutes. Our security awareness training for business covers exactly this scenario, because it is the one that keeps landing.

What it costs when it works

Once an attacker is inside a legitimate account, most of your defenses stop seeing them as an attacker. They are logged in. They read email. They watch how your invoices get paid. They find your file storage and your payroll system.

The famous version of this was Uber, where a contractor got about forty prompts in thirty minutes, finally approved one, and handed over the keys to internal systems. But this is not a big-company problem that trickles down. The same playbook was run against a major retailer, and the attackers finished by deploying ransomware across roughly a thousand store locations. Nothing about the technique requires a large target. It requires one tired person with a phone.

What you can do this week

1. Turn on number matching. Instead of a yes/no tap, the login screen shows a two-digit number and your employee has to type it into the phone. A blind tap no longer works, because the attacker’s screen is not in front of your employee. CISA specifically recommends this if you cannot move to stronger MFA yet. In Microsoft 365 and Google Workspace this is a setting, not a purchase.
2. Give your team one sentence to remember. If a prompt shows up and you did not just try to log in, deny it and tell someone. That is the whole rule. Say it at your next staff meeting and put it in writing.
3. Treat every surprise prompt as a stolen password. Do not just deny it and move on. That password is burned. Change it that day, everywhere it was reused.
4. Make sure someone answers at 10:40 at night. Your team needs a number to call when this happens after hours. If you do not have one, that is precisely what our small business security service and 24/7 emergency line exist for.
5. Shorten the path to the password. Fewer stolen passwords means fewer of these attacks. Good spam and virus filtering stops the phishing email, and endpoint protection stops the malware that harvests saved logins.

One more, less urgent but worth planning: if the worst happens and someone does get in, tested secure data backups are the difference between a bad week and a closed business.

The bottom line

MFA is still worth having. It stops the overwhelming majority of attacks, and I would never tell a client to turn it off. But the version most small businesses are running — tap yes, tap no — was designed for convenience, and attackers found the seam.

Switching on number matching costs you nothing but a few minutes in a settings menu. Telling your team the one-sentence rule costs you nothing at all. Between those two, you close a door that a lot of businesses are leaving wide open.

If you are not sure what your MFA is set to right now, that is a fair answer, and it is a quick thing to check. More practical write-ups like this one are on our blog.

Send us a message

Questions about this article, or want us to take a look at your setup? Send us a note and we will get back to you.

— Nemuel Cruz, Incognito Cyber Security

🇺🇸 Read this article in English

La semana pasada, una empresa de la que la mayoría de los dueños de negocios nunca ha oído hablar tuvo que avisarle a 9.5 millones de personas que les robaron su información privada. La empresa se llama Aesto Health y está en Birmingham, Alabama. No atienden pacientes. No operan una clínica. Venden software que ayuda a los consultorios médicos a mover expedientes viejos cuando cambian de sistema o compran otra práctica.

Los atacantes entraron al entorno de nube de Amazon de esa empresa y se llevaron nombres, números de Seguro Social, historiales médicos, registros de facturación y datos de seguros de pacientes de más de veinte organizaciones de salud distintas. Esas veinte organizaciones no hicieron nada mal. Sus contraseñas estaban bien. Sus firewalls estaban bien. Simplemente le entregaron datos a un proveedor, que es algo que todo negocio del mundo hace todos los días.

Esa es la parte que quiero que consideres, porque también aplica a tu negocio.

Tus proveedores tienen tus datos en este momento

Tómate sesenta segundos y cuenta. Tu empresa de nómina tiene los números de Seguro Social de tus empleados. Tu contador tiene los datos de tu banco. Tu aplicación de citas tiene tu lista de clientes. Tu agencia de marketing tiene tu base de correos. Tu CRM tiene cada nota que escribiste sobre un cliente. Tu almacenamiento de archivos tiene tus contratos firmados.

La mayoría de los dueños con los que me siento aquí en Tucson pueden nombrar tres proveedores de memoria. Cuando de verdad revisamos juntos el estado de cuenta de la tarjeta, el número real casi siempre está entre quince y cuarenta.

Tus clientes no le llaman al proveedor

Esta es la verdad incómoda de una brecha de proveedor: tus clientes no saben ni les importa quién es tu proveedor de software. Ellos le dieron su información a ti. Cuando salga la carta de notificación, tu nombre es el que van a recordar, y tu teléfono es el que va a sonar.

Los reguladores y tu aseguradora tampoco

Si trabajas en salud, finanzas o derecho, casi siempre sigues siendo responsable por los datos que le entregaste a alguien más. Y si tienes un seguro cibernético, espera que la aseguradora te pregunte qué revisión hiciste de ese proveedor antes de compartir cualquier cosa. “Supuse que eran seguros” no es una respuesta que pague un reclamo.

Esto ya no es un caso raro

El Informe de Investigaciones de Brechas de Datos 2026 de Verizon encontró que un tercero estuvo involucrado en el 48% de todas las brechas, casi el doble que el año anterior. Los investigadores que siguen estos incidentes también encontraron que, por cada proveedor que sufre una brecha, en promedio cinco empresas que dependen de él quedan expuestas públicamente.

Dicho claro: una de las formas que más crece para que te hackeen en 2026 es no ser hackeado en absoluto, y simplemente hacer negocios con alguien que sí lo fue.

Lo que puedes hacer esta semana

1. Arma la lista. Abre los estados de cuenta del banco y de la tarjeta de los últimos doce meses y anota cada suscripción de software y cada proveedor de servicios que pagas. Esa lista es tu superficie de riesgo real, y a casi todos los dueños les sorprende lo larga que es.
2. Marca quién guarda lo delicado. Señala cada proveedor que maneja expedientes de clientes, registros de empleados o información bancaria. Esos son los que importan. Los demás pueden esperar.
3. Hazles tres preguntas a los que marcaste. ¿Exigen autenticación de múltiples factores en mi cuenta? ¿Mis datos están cifrados donde los guardan? ¿Qué tan rápido me avisan si sufren una brecha? Pregúntalo por correo para tener las respuestas por escrito.
4. Apaga lo que ya no usas. Esa prueba gratuita que abandonaste hace dos años todavía tiene tus datos y probablemente todavía tiene un acceso activo. Cancélala y pide por escrito que borren lo que guardan.
5. Decide a quién vas a llamar. Si un proveedor te escribe un martes por la tarde para avisarte que perdió tus datos, ¿a quién le llamas primero? ¿A tu abogado? ¿A tu corredor de seguros? ¿A nosotros? Decídelo ahora, mientras nada está en llamas.

Dónde se conecta esto con todo lo demás

El riesgo de proveedores no es un problema aparte. Está justo al lado de lo básico que manejamos todos los días para nuestros clientes pequeños. Una buena protección de dispositivos evita que un atacante use un acceso robado de un proveedor para extenderse a tus computadoras. Los respaldos seguros de datos hacen que sigas teniendo tus registros aunque un proveedor pierda los suyos. Un buen filtrado de spam y virus atrapa la ola de phishing que siempre viene después de una brecha grande, cuando los criminales usan los datos robados para sonar convincentes. Y la capacitación en conciencia de seguridad evita que tu personal se convierta en el eslabón débil de la cadena de otro.

Es la misma lección de la brecha de actualizaciones sobre la que escribí la semana pasada, y la misma de casi todo lo que publico en nuestro blog: el mantenimiento aburrido es lo que te mantiene fuera de los titulares.

En resumen

No puedes auditar a un proveedor de nube como lo hace una empresa Fortune 500, y no deberías intentarlo. Pero sí puedes saber exactamente quién tiene tus datos, hacerles unas cuantas preguntas puntuales por escrito, y dejar de alimentar con información a empresas que ya no usas. Eso es una tarde de trabajo, y te pone por delante de la mayoría de los negocios de tu tamaño.

Envíanos un mensaje

¿Tienes dudas sobre algún proveedor, o quieres una segunda opinión sobre un contrato antes de firmarlo? Mándalo y te respondo personalmente.

— Nemuel Cruz, Incognito Cyber Security

🇲🇽 Leer en Español →

Last week a company most small business owners have never heard of had to tell 9.5 million people that their private information was stolen. The company is Aesto Health, based in Birmingham, Alabama. They do not treat patients. They do not run a clinic. They sell software that helps medical practices move old patient records around when they switch systems or buy another practice.

Attackers got into that company’s Amazon cloud environment and walked away with names, Social Security numbers, medical histories, billing records and insurance details belonging to patients at more than twenty different healthcare organizations. Those twenty organizations did nothing wrong. Their passwords were fine. Their firewalls were fine. They simply handed data to a vendor, which is something every business on earth does every single day.

That is the part I want you to sit with, because it applies to your business too.

Your vendors are holding your data right now

Take sixty seconds and count. Your payroll company has your employees’ Social Security numbers. Your bookkeeper has your bank details. Your scheduling app has your customer list. Your marketing agency has your email database. Your CRM has every note you ever wrote about a client. Your file storage has your signed contracts.

Most owners I sit down with here in Tucson can name three vendors off the top of their head. When we actually walk through the credit card statement together, the real number is usually somewhere between fifteen and forty.

Your customers do not call the vendor

Here is the uncomfortable truth about a vendor breach: your customers do not know and do not care who your software provider is. They gave their information to you. When the notification letter goes out, your name is the one they remember, and your phone is the one that rings.

Neither do regulators or your insurance carrier

If you work in healthcare, finance, or law, you are usually still responsible for data you handed to somebody else. And if you carry cyber insurance, expect the carrier to ask what due diligence you performed on that vendor before you shared anything. “I assumed they were secure” is not an answer that pays a claim.

This is not a rare event anymore

Verizon’s 2026 Data Breach Investigations Report found that a third party was involved in 48% of all breaches, roughly double the share from the year before. Researchers tracking these incidents also found that for every vendor that gets breached, an average of five downstream companies are publicly exposed along with it.

Put plainly: one of the fastest growing ways to get hacked in 2026 is to not get hacked at all, and simply do business with somebody who did.

What you can do this week

1. Build the list. Open your bank and credit card statements for the last twelve months and write down every software subscription and service provider you pay. That list is your real risk surface, and most owners are genuinely surprised by how long it is.
2. Mark who holds the sensitive material. Star every vendor that touches customer records, employee records, or banking information. Those are the ones that matter. The rest can wait.
3. Ask the starred vendors three questions. Do you require multi-factor authentication on my account? Is my data encrypted where you store it? How quickly will you notify me if you are breached? Ask by email so you have the answers in writing.
4. Shut off what you stopped using. That trial you abandoned two years ago still has your data and probably still has an active login. Cancel it, and ask them in writing to delete what they hold.
5. Decide who you would call. If a vendor emails you on a Tuesday afternoon to say they lost your data, who is your first call? Your attorney? Your insurance broker? Us? Decide that now, while nothing is on fire.

Where this connects to everything else

Vendor risk is not a separate problem. It sits right next to the basics we handle for our small business clients every day. Solid endpoint protection stops an attacker from using a stolen vendor login to spread onto your computers. Reliable secure data backups mean you still have your records even when a vendor loses theirs. Good spam and virus filtering catches the wave of phishing that always follows a big breach, when criminals use the stolen details to sound convincing. And security awareness training keeps your staff from becoming the weak link in somebody else’s supply chain.

It is the same lesson as the patching gap I wrote about last week, and the same lesson in most of what I publish on our blog: the boring maintenance work is what keeps you out of the headlines.

The bottom line

You cannot audit a cloud provider the way a Fortune 500 company does, and you should not try. But you can know exactly who holds your data, ask them a few pointed questions in writing, and stop feeding information to companies you no longer use. That is an afternoon of work, and it puts you ahead of most businesses your size.

Send us a message

Have a question about a vendor you are not sure about, or want a second opinion on a contract before you sign it? Send it over and I will get back to you personally.

— Nemuel Cruz, Incognito Cyber Security