Hace dos meses me llamó un cliente a las nueve de la noche. Le había llegado un mail a su tienda online: tenían capturas de su base de clientes y, si no pagaba 500 dólares en cripto, publicaban todo. Nombres, DNI, direcciones. La cara que puso no la olvido más. No era un hacker de película: era un extorsionador que le había comprado los datos a otro que los robó. Y lo primero que me preguntó fue: «¿Le pago?».
Mirá, la respuesta corta es no. La respuesta larga es más útil: acá te dejo el orden exacto de lo que tenés que hacer si te llega una amenaza así. Sin vueltas, en criollo.
Primero: respirá y no pagues nada
Lo vi mil veces. El miedo te gana y querés resolverlo ya con una transferencia. Error. Pagar no te garantiza nada. El 70% de los que pagan, vuelven a ser extorsionados, porque ya saben que mordiste el anzuelo. Y no te lo digo yo: es el patrón que se repite en todos los casos que atendí en la fintech y después como asesora.
La extorsión es un negocio. Si pagás, tu negocio pasa a ser un cajero automático para ellos.
Segundo: verificá si la amenaza es real
No todas las amenazas son ciertas. Muchas son humo: compraron una lista filtrada de mails y mandan el mismo mensaje a 10.000 personas esperando que alguna pague. Otras, lamentablemente, son reales: tienen datos tuyos que solo pudieron sacar de tu sistema.
¿Cómo saberlo? Fijate si mencionan un dato concreto que no está en tu web ni en tus redes. Si te dicen «tenemos el DNI de tus clientes» pero no te muestran ni una línea, probablemente sea humo. Si te pegan una captura real de tu base, ahí sí tenés un problema serio.
Tercero: si es real, actuá con orden
Si confirmaste que tienen datos verdaderos, el pánico no te va a ayudar. Esto es lo que hacés, en este orden:
1. Cambiá todas las contraseñas ya. Empezá por las críticas: el mail del negocio, la tienda, Mercado Pago, el banco. Si usás la misma clave en todos lados (lo vi mil veces), cambiala en todos. Y activá el doble factor en cada cuenta. Si no sabés cómo, esta guía te ordena el paso a paso.
2. Revisá dónde está la fuga. ¿Quién tenía acceso a esa base? ¿Estaba en un Excel compartido? ¿La tenía un ex empleado? ¿Alguien abrió un mail raro la semana pasada? Esto no es para echar culpas: es para saber por dónde entraron y cerrar esa puerta.
3. Sacá los dispositivos que no reconozcas. Entrá a la configuración de tus cuentas y fijate qué celulares o computadoras están conectados. Si ves uno que no es tuyo, cerrá la sesión. Acá te explico cómo hacerlo.
Cuarto: denunciá, aunque te de miedo
La denuncia no es al pedo. Suma. Si la extorsión es por WhatsApp o mail, guardá todo: capturas, mails, números. Eso es prueba. Hacé la denuncia en la fiscalía de tu provincia o en la comisaría cibernética más cercana. No te prometo que lo atrapen mañana, pero sin denuncia no hay investigación posible.
Y ojo con los que te prometen recuperar tus datos o «hackear» al extorsionador. Esa es otra estafa. La policía cibernética ya alertó sobre esta modalidad: te ofrecen salvarte y te vacían.
Quinto: preparate para la próxima
La extorsión no es un accidente: es un negocio. Y tu negocio puede ser un objetivo fácil o uno difícil. La diferencia es el orden. Si tus datos están en un Excel compartido con la clave 1234, sos presa fácil. Si tenés backups, cuentas separadas y doble factor, sos un objetivo caro y van a buscar a otro.
El dato del cliente es prestado, no tuyo. Cuando te lo roban, no perdés solo un archivo: perdés la confianza de la gente que te compró. Y eso, a veces, no se recupera.
La seguridad de una pyme no es cara, es ordenada. Sentate esta semana, 20 minutos, y hacé un inventario de qué datos tenés, dónde están y quién tiene acceso. Este checklist te ayuda a ordenarlo. No esperes a que te llegue la amenaza para pensar en esto.
¿Qué hago si el extorsionador me muestra datos reales de mis clientes?
Primero, no pagues. Segundo, cambiá todas las contraseñas y activá el doble factor en las cuentas críticas. Tercero, denunciá con las capturas como prueba. Y avisá a tus clientes si sus datos personales estuvieron expuestos: es feo, pero es lo correcto y te evita problemas legales mayores.
¿Pagar el rescate garantiza que no filtren los datos?
No. No hay ninguna garantía. Muchos que pagan vuelven a ser extorsionados porque ya demostraron que pagan. La plata no te compra silencio, te compra más extorsiones.
¿Tengo que avisar a mis clientes si filtraron sus datos?
Sí. Si la filtración es real y afecta datos personales, tenés la obligación de avisar. No es lindo, pero es lo que corresponde. Y si no sabés cómo hacerlo, buscá asesoramiento legal. Ocultarlo te puede traer problemas más grandes.
¿La policía hace algo con estas denuncias?
Sí, cada vez más. La UFECI y las fiscalías cibernéticas trabajan con estos casos. No te prometo resultados inmediatos, pero la denuncia es el primer paso y suma para armar causas más grandes contra estas bandas.
¿Cómo evito que me vuelva a pasar?
Con orden: cuentas separadas para cada persona del equipo, gestor de contraseñas, doble factor en todo, backups automáticos y capacitación básica para que nadie abra un mail raro. No es caro. Es disciplina. Capacitar a tu equipo te lleva 30 minutos y es la mejor inversión que podés hacer.
Cada negocio es distinto; tomá esto como guía y, ante un fraude o filtración en curso, contactá los canales oficiales y, si corresponde, hacé la denuncia.
Asesora de pymes, cinco años en el soporte de una fintech. Escribe sobre datos de clientes, antifraude y seguridad del negocio, en criollo.
Mas sobre Lucía Sandoval
Lucía trabajó cinco años en el soporte de una fintech, atendiendo a comercios que se comían fraudes, contracargos y cuentas hackeadas. Vio de todo, y vio que casi siempre se podía evitar. Ahora asesora a pymes y emprendedores para que protejan los datos de sus clientes y la plata del negocio sin volverse locos ni gastar una fortuna. No promete blindajes mágicos: enseña lo que de verdad mueve la aguja. Voz de Negocio Blindado, con asistencia de IA.
