Seguridad, Equipo y Configuración
Ciberseguridad para comercios: backups, contraseñas, 2FA y estafas
Guía práctica de ciberseguridad para el dueño de un comercio: backups 3-2-1, contraseñas y accesos del equipo, verificación en dos pasos, phishing y las estafas más comunes, con un plan de un fin de semana.
Verificado: 16 de octubre de 2026.
Cuando se habla de seguridad en un comercio, casi todo el mundo piensa en persianas, alarmas y cámaras. Pero hoy el negocio también vive en una notebook, un celular, una cuenta de mail y, con suerte, un sistema de gestión en la nube. Si alguien te roba la clave de tu correo, si un virus cifra la compu de la caja o si se rompe el disco donde guardabas todo, el daño puede ser tan grande como el de un robo en el local. La buena noticia es que para un comercio chico no hace falta un área de sistemas: alcanza con cinco hábitos bien armados. Esta guía te los explica con ejemplos concretos y te deja un plan para hacerlo en un fin de semana.
Por qué un comercio chico también es un blanco
Hay un mito peligroso: "a mí no me van a atacar, soy un kiosco". Los ataques masivos no eligen a la víctima, mandan miles de mensajes iguales y se quedan con el que cae. Un comercio tiene justo lo que buscan: acceso a cuentas bancarias, a billeteras virtuales, a datos de clientes y a la clave fiscal. Y suele tener menos defensas que una empresa grande. Los problemas más comunes son siempre los mismos:
- Cuentas de mail o redes sociales robadas por una contraseña débil o repetida.
- Mensajes falsos que se hacen pasar por un banco, una billetera, un courier o un organismo público.
- Una computadora que se rompe, se pierde o se infecta, y no hay copia de lo que tenía adentro.
- Un empleado que se va y sigue teniendo acceso a todo.
Hábito 1: backups con la regla 3-2-1
Un backup es una copia de tus datos que te permite volver a trabajar si algo sale mal. La regla más usada en el mundo, y fácil de recordar, es la 3-2-1:
- 3 copias de lo que no podés perder (la original más dos copias).
- 2 tipos de soporte distintos, por ejemplo la compu y un disco externo, o la compu y la nube.
- 1 copia fuera del local, para que un robo, un incendio o una inundación no se lleven todo junto.
Un ejemplo concreto para un comercio con una planilla de precios, fotos de productos y documentos de proveedores:
- La carpeta de trabajo vive en la computadora del local (copia 1).
- Una vez por semana, copiás esa carpeta a un disco externo que guardás en tu casa, no en el local (copia 2, otro soporte, otro lugar).
- Además, una carpeta sincronizada en un servicio de nube con tu cuenta personal protegida con verificación en dos pasos (copia 3).
Dos errores clásicos: dejar el disco externo siempre enchufado a la compu, porque un virus que cifra archivos también cifra el disco conectado; y nunca probar que el backup funcione. Una vez por trimestre, abrí un archivo de la copia y fijate que se lea bien. Una copia que no se puede restaurar no es una copia.
Si tu sistema de gestión y facturación está en la nube, tus ventas, clientes y comprobantes ya no dependen del disco de la caja: si se rompe la compu, entrás desde otra y seguís. Igual conviene que exportes de vez en cuando listados clave (productos, clientes, saldos) a una planilla propia. Es un buen complemento, no un reemplazo del criterio 3-2-1 para tus archivos.
Hábito 2: contraseñas que no se pueden adivinar ni repetir
La contraseña sigue siendo la puerta de entrada a casi todo. Reglas simples que funcionan:
- Largas mejor que complicadas. Una frase de cuatro o cinco palabras sin relación entre sí es mucho más difícil de adivinar que "Comercio2026!" y más fácil de recordar.
- Una distinta para cada cuenta importante. Si usás la misma en todos lados, el robo de una sola te abre todas las puertas.
- Un gestor de contraseñas. Es una aplicación que guarda todas tus claves detrás de una sola contraseña maestra. Hay opciones gratuitas y de pago; lo importante es que la contraseña maestra sea larga y que no la uses en ningún otro lado.
- Nada de papelitos pegados al monitor ni claves en un grupo de WhatsApp.
Priorizá las cuentas críticas: el mail principal (es la llave para resetear todo lo demás), el home banking y las billeteras virtuales, el acceso a ARCA con tu clave fiscal, el sistema de facturación y las redes sociales del negocio.
Hábito 3: verificación en dos pasos (2FA) en todo lo que importe
La verificación en dos pasos agrega una segunda comprobación además de la contraseña: un código que llega a una aplicación autenticadora, una notificación en tu celular o una llave física. Aunque alguien robe tu clave, sin ese segundo paso no entra. Activala, como mínimo, en:
- Tu cuenta de mail principal.
- Tus cuentas bancarias y billeteras virtuales.
- Las redes sociales y el WhatsApp Business del comercio.
- El sistema de gestión y cualquier servicio donde esté disponible.
Preferí una aplicación autenticadora antes que el código por SMS: los mensajes pueden desviarse si alguien logra duplicar tu línea. Y guardá los códigos de recuperación que te dan al activarla, en un lugar seguro y fuera de la compu.
Hábito 4: accesos del equipo, con el mínimo necesario
Cuando tenés empleados, la seguridad también es organización. Tres reglas:
- Un usuario por persona. Nada de compartir el mismo usuario entre cajeros: si pasa algo, no sabés quién fue.
- Permisos según el rol. El cajero no necesita ver costos ni borrar ventas; quien repone mercadería no necesita cobrar. Dar el mínimo acceso para el trabajo de cada uno reduce errores y fraudes internos.
- Baja inmediata cuando alguien se va. Armate una lista de verificación: usuario del sistema, WhatsApp del negocio, redes, mail compartido, llaves y claves del wifi.
También cambiá la clave del wifi del local si un ex empleado la conocía, y mantené la red de los clientes separada de la red donde están la caja y las computadoras: la mayoría de los routers hoy permiten una red de "invitados".
Hábito 5: reconocer el phishing y las estafas más comunes
El phishing es un mensaje falso que imita a una entidad conocida para que hagas clic en un enlace, descargues un archivo o entregues una clave. Es, por lejos, la forma más común de que te roben una cuenta. Las señales de alerta:
- Urgencia o amenaza: "tu cuenta será bloqueada en 24 horas", "tenés una deuda pendiente".
- Pedido de datos sensibles: claves, códigos que te llegaron por SMS, datos de la tarjeta.
- Remitente o enlace raro: un dominio que se parece al real pero tiene letras de más o de menos.
- Adjuntos inesperados: facturas, "comprobantes de pago" o "notificaciones" que no esperabas.
Un ejemplo para tener presente: según ARCA, el organismo no solicita clave fiscal ni datos personales por correo electrónico, no pide pagos por redes sociales o teléfono y sus comunicaciones oficiales llegan al Domicilio Fiscal Electrónico. Si recibís un mail que dice ser de ARCA, no abras los enlaces ni los adjuntos y reenviá el mensaje a [email protected] para su análisis. Podés leer más en la página oficial de ARCA para evitar estafas.
Las estafas que más se ven en comercios
| Estafa | Cómo funciona | Cómo defenderte |
|---|---|---|
| Falso comprobante de transferencia | El cliente te muestra una captura de una transferencia que nunca se acreditó. | Confirmá siempre el ingreso en tu app del banco o billetera, no en la captura. |
| Falso pedido grande por mail o WhatsApp | Un "cliente" pide mucha mercadería y manda un comprobante o un enlace de pago trucho. | Despachá recién cuando el dinero figure acreditado en tu cuenta. |
| Suplantación de proveedor | Te escriben "cambiamos de cuenta bancaria" y te piden pagar a otro CBU. | Confirmá el cambio llamando al número que ya tenías, nunca al del mensaje. |
| Falso aviso de ARCA, banco o courier | Un mensaje con un enlace para "regularizar" algo y robarte la clave. | No hagas clic; entrá tipeando vos la dirección oficial. |
| Código por WhatsApp | Alguien conocido (con la cuenta robada) te pide un código que te llegó por SMS. | Nunca compartas códigos de verificación, con quien sea. |
| Factura o CAE falsos | Te mandan una factura que parece válida pero no existe en ARCA. | Constatala en el servicio oficial; mirá nuestra guía de facturas y CAE falsos. |
Qué hacer si ya pasó
Si sospechás que te robaron una cuenta o hiciste clic donde no debías, el orden importa:
- Cambiá la contraseña de esa cuenta desde un dispositivo de confianza y cerrá todas las sesiones abiertas.
- Cambiá también el mail asociado si pudo estar comprometido, y activá la verificación en dos pasos.
- Avisá al banco o billetera si hay movimientos o datos de pago involucrados, para bloquear tarjetas o cuentas.
- Revisá qué cambió: reglas de reenvío en el mail, permisos nuevos, dispositivos desconocidos conectados.
- Avisá a tus clientes y proveedores si desde tu cuenta se mandaron mensajes raros, así no caen en la trampa.
- Restaurá desde el backup si hubo archivos cifrados o borrados.
Si hubo un perjuicio económico, juntá capturas y comprobantes y consultá cómo hacer la denuncia en tu jurisdicción; cuanto antes, mejor.
Plan de fin de semana: 6 pasos para blindar tu comercio
- Sábado a la mañana (1 hora): activá la verificación en dos pasos en tu mail, home banking y billeteras.
- Sábado (1 hora): instalá un gestor de contraseñas y cambiá las claves de las cinco cuentas más críticas.
- Sábado (1 hora): armá el backup 3-2-1 de tu carpeta de trabajo y hacé la primera copia.
- Domingo (30 minutos): revisá quién tiene acceso a qué y dá de baja a quien ya no trabaja con vos.
- Domingo (30 minutos): reuní al equipo y repasá las cinco señales de phishing de arriba.
- Domingo (15 minutos): poné una alarma trimestral en el calendario para probar el backup y revisar accesos.
Preguntas frecuentes
¿Con qué frecuencia tengo que hacer el backup?
Depende de cuánto podés perder. Si tus ventas ya quedan registradas en un sistema en la nube, con una copia semanal de tus archivos de trabajo suele alcanzar. Si trabajás con planillas que cambian todos los días, automatizá una copia diaria a la nube.
¿Es seguro guardar mis datos en la nube?
Un servicio serio de nube suele estar más protegido que la compu de un local, con copias redundantes y control de accesos. El eslabón débil casi siempre es tu contraseña, por eso la verificación en dos pasos es clave.
¿Qué hago si recibo un mail que dice ser de ARCA?
No abras enlaces ni adjuntos. Entrá a ARCA escribiendo vos la dirección y revisá tu Domicilio Fiscal Electrónico. Si es sospechoso, reenvialo a [email protected].
¿Un antivirus alcanza?
Ayuda, pero no es suficiente. La mayoría de los robos de cuentas no usan virus: engañan a la persona. Backups, contraseñas únicas, 2FA y criterio ante mensajes raros pesan más.
Cómo ayuda tu sistema de gestión
Un sistema en la nube con usuarios y permisos por rol te resuelve dos de los cinco hábitos: tus datos no dependen de una sola computadora y cada persona del equipo ve solo lo que necesita. Si querés probarlo, empezá tu prueba gratis de 1 mes en YoFacturo.
