Seguridad digital para pequeños negocios: cómo proteger tus cuentas, tu web y a tus clientes de estafas

Tu negocio vive en cuentas digitales: el correo de Google, la página de Facebook, el Instagram, el WhatsApp donde cierras ventas y la web donde te encuentran los turistas. Esta guía te explica, paso a paso y sin tecnicismos, cómo blindar esas cuentas, cómo reconocer las estafas que hoy apuntan a negocios peruanos y qué hacer en las primeras horas si alguien entra a tus cuentas. Al final tienes un plan de respuesta de una página y un checklist para revisar con tu equipo.

Por qué los negocios pequeños son un blanco atractivo

Es fácil pensar que los ciberdelincuentes solo buscan bancos o grandes empresas. En la práctica, un negocio pequeño suele ser más fácil de atacar: la misma persona maneja ventas, redes y pagos, las contraseñas se comparten por WhatsApp y nadie revisa los accesos desde hace años. Para quien estafa, eso es una puerta abierta.

Además, tus cuentas valen dinero aunque tu negocio sea modesto. Una página de Facebook con seguidores reales se puede usar para publicar anuncios fraudulentos con tu tarjeta, un WhatsApp robado sirve para pedir préstamos "urgentes" a tus contactos, y tu marca puede usarse para vender paquetes turísticos que nunca existieron. El daño no es solo económico: también es reputacional, porque tus clientes asociarán la estafa con tu nombre.

El punto débil casi nunca es la tecnología

La mayoría de robos de cuentas no ocurren porque alguien "hackee" un servidor, sino porque una persona entrega su contraseña o su código de verificación sin darse cuenta. Por eso esta guía combina dos cosas: configuraciones que cierran puertas (verificación en dos pasos, llaves de acceso, roles) y hábitos que te ayudan a reconocer el engaño antes de caer.

Verificación en dos pasos en Google, Meta, WhatsApp y TikTok

La verificación en dos pasos (también llamada autenticación en dos pasos o 2FA) agrega una segunda comprobación además de la contraseña. Aunque alguien consiga tu clave, no podrá entrar sin ese segundo paso, que puede ser un código, una notificación en tu celular o una llave física. Es la medida con mejor relación entre esfuerzo y protección, y deberías activarla hoy mismo en todas las cuentas del negocio.

Google (Gmail, Perfil de Empresa, YouTube, Google Ads)

Tu cuenta de Google suele ser la llave maestra: con ella recuperas otras cuentas, administras el Perfil de Empresa y manejas Google Ads. Para activar la protección, entra a myaccount.google.com, abre la sección Seguridad e inicio de sesión y, en el bloque "Cómo inicias sesión en Google", elige Activar verificación en dos pasos. Luego sigue las instrucciones en pantalla.

Google ofrece varios métodos para el segundo paso. Según su ayuda oficial, los mensajes de confirmación en tu celular (tocas "Sí" o "No") son la opción que recomienda, las llaves de seguridad físicas son la protección más fuerte contra el phishing, y los códigos por SMS o llamada son los menos seguros porque pueden interceptarse. También puedes usar una app autenticadora como Google Authenticator, que funciona sin señal.

• Activa la verificación en dos pasos en la cuenta de Google principal del negocio.
• Agrega al menos dos métodos: la notificación en el celular y una app autenticadora.
• Descarga o imprime los códigos de respaldo (son de 8 dígitos) y guárdalos en un lugar seguro fuera del celular.
• Revisa que el correo y el teléfono de recuperación estén actualizados.

Meta: Facebook e Instagram

En Meta, la seguridad de Facebook e Instagram se gestiona desde el Centro de cuentas, que encuentras en la configuración de cualquiera de las dos apps. Dentro, entra a Contraseña y seguridad y luego a Autenticación en dos pasos. Elige la cuenta que quieres proteger y el método: app de autenticación, mensaje de texto o llave de seguridad. Si tienes perfiles en ambas redes conectados al mismo Centro de cuentas, revisa que la protección esté activa en cada uno.

Ten en cuenta que tu página de Facebook depende de los perfiles personales que la administran. Si tu perfil personal no tiene la verificación en dos pasos, la página está tan expuesta como ese perfil. Lo mismo aplica a cada persona de tu equipo con acceso: la seguridad del negocio es tan fuerte como la cuenta más débil.

WhatsApp y WhatsApp Business: el PIN de verificación en dos pasos

En WhatsApp la función se llama verificación en dos pasos y funciona con un PIN de seis dígitos que tú eliges. Ese PIN se pide cuando alguien intenta registrar tu número en otro teléfono, así que aunque un estafador consiga el código que llega por SMS, sin el PIN no podrá quedarse con tu cuenta. Para activarla, ve a Ajustes > Cuenta > Verificación en dos pasos > Activar, crea el PIN, confírmalo y añade un correo electrónico.

El correo es opcional, pero conviene ponerlo: según el centro de ayuda de WhatsApp, si no lo agregas y olvidas el PIN, tendrás que esperar siete días para poder restablecerlo. Para un negocio que vende por WhatsApp, una semana sin la cuenta es muchísimo tiempo. Si usas WhatsApp Business, el procedimiento es equivalente; puedes ver más sobre la configuración del canal en nuestra guía de WhatsApp Business para negocios peruanos.

TikTok

En TikTok, la opción está dentro de Ajustes y privacidad, en la sección de Seguridad (en algunas versiones aparece como "Seguridad y permisos"), donde encontrarás la verificación en 2 pasos. Los nombres exactos pueden variar según la versión de la app, así que si no la ves, busca "verificación" dentro de los ajustes. Si además usas TikTok Ads Manager, su ayuda oficial explica que también puedes activar la verificación en dos pasos allí, con código por SMS, por correo o mediante una app autenticadora.

Llaves de acceso y gestores de contraseñas

Las contraseñas tienen un problema de fondo: se pueden adivinar, robar o entregar por error en una página falsa. Las llaves de acceso (en inglés, passkeys) nacen para resolver eso. En lugar de escribir una clave, desbloqueas la cuenta con la huella, el rostro o el PIN de bloqueo de tu celular o computadora, y la llave nunca sale de tu dispositivo.

Llaves de acceso en Google

Google permite crear llaves de acceso desde myaccount.google.com/signinoptions/passkeys. Según su ayuda, no se pueden compartir ni copiar, lo que las hace mucho más resistentes al phishing, y si tienes activada la verificación en dos pasos, la llave de acceso reemplaza ese segundo paso. Funcionan, por ejemplo, en celulares con Android 9 o iOS 16 en adelante y en computadoras con versiones recientes de Windows, macOS o ChromeOS, siempre que tengas activado el bloqueo de pantalla.

Una regla importante: crea llaves de acceso solo en dispositivos que usas tú. Si la computadora de la recepción del hotel la usan tres personas, no guardes ahí la llave de tu cuenta principal.

Llaves de acceso en Meta y WhatsApp

Meta anunció en 2025 las llaves de acceso para Facebook en celulares iOS y Android, que se crean y gestionan desde el Centro de cuentas, y luego las extendió a Messenger, donde funciona la misma llave que configuraste para Facebook. Tu contraseña sigue existiendo para entrar desde dispositivos que no las admiten. Para Instagram, revisa en el Centro de cuentas si la opción ya aparece en tu cuenta, porque Meta va activando funciones de forma gradual.

WhatsApp también ofrece llaves de acceso en Android y iPhone. La opción está en Ajustes > Cuenta, con el nombre de llaves o claves de acceso según la versión. No reemplaza al PIN de verificación en dos pasos: lo ideal es tener ambos.

Gestores de contraseñas: el cuaderno que sí es seguro

Muchos negocios guardan sus claves en un cuaderno, en una nota del celular o en un chat de WhatsApp "conmigo mismo". Un gestor de contraseñas es una aplicación que guarda todas tus claves cifradas detrás de una sola contraseña maestra, genera claves largas y diferentes para cada servicio y te avisa si estás en una página que no coincide con la real. Los navegadores como Chrome y los sistemas de Apple y Android ya traen gestores integrados, y existen apps especializadas de pago y gratuitas.

• Elige un gestor y migra ahí las claves del negocio, empezando por correo, redes, banca y hosting.
• Usa una contraseña maestra larga (una frase de varias palabras es más fácil de recordar) y protege el gestor con verificación en dos pasos.
• Cambia cualquier contraseña que se repita en dos servicios: si una se filtra, no deben caer las demás.
• Borra los chats, notas y fotos donde tengas claves escritas.

Dar acceso al equipo sin compartir contraseñas

"Te paso mi clave para que publiques" es una de las frases más peligrosas en un negocio. Si compartes la contraseña de tu perfil, esa persona tiene acceso a todo: tus mensajes privados, tus métodos de pago y la posibilidad de cambiar el correo y dejarte fuera. Las plataformas tienen sistemas de roles justamente para que cada colaborador entre con su propia cuenta y solo vea lo que necesita.

Meta Business Suite y el portfolio comercial

En Meta, los accesos de la página, la cuenta de Instagram, la cuenta publicitaria y el WhatsApp Business conectado se organizan en un portfolio comercial (antes llamado Business Manager). Desde la configuración del negocio, en la sección Personas, puedes invitar a alguien por correo, elegir a qué activos tendrá acceso y con qué nivel: control total para quien administra todo, o acceso parcial para quien solo publica, responde mensajes o maneja anuncios. La persona invitada acepta con su propio perfil y sus propias claves.

Si trabajas con una agencia o un community manager externo, lo recomendable es darle acceso como socio o como persona con permisos limitados, nunca prestarle tu cuenta. Imagina una cevichería en Piura que contrata a un freelance para manejar sus anuncios: basta con darle acceso parcial a la cuenta publicitaria y a la página, y cuando termine el contrato, quitarle el acceso con un clic. Para entender mejor la estructura de página y accesos, revisa nuestra guía de Facebook para negocios locales.

• Asegúrate de que haya al menos dos personas de confianza con control total, para no quedarte bloqueado si una pierde su cuenta.
• Da control total solo a los dueños o socios; al resto, acceso parcial a lo que necesiten.
• Revisa la configuración de seguridad del portfolio y exige la autenticación en dos pasos a quienes tengan acceso, si la opción está disponible para tu cuenta.
• Cada vez que alguien deje de trabajar contigo, quítale el acceso el mismo día.

Perfil de Empresa en Google

El Perfil de Empresa (tu ficha en Google Maps y en la búsqueda) también permite agregar personas sin compartir contraseñas. Según la ayuda de Google, hay dos niveles: el propietario, que tiene control total y puede añadir o quitar usuarios y eliminar el perfil, y el administrador, que puede gestionar casi todo pero no puede manejar usuarios ni eliminar el perfil. Un perfil puede tener varios propietarios, aunque solo uno es el principal.

1. Entra a tu Perfil de Empresa desde business.google.com o desde la búsqueda de Google con tu cuenta.
2. Selecciona Más y luego Ajustes de Perfil de Empresa.
3. Abre Usuarios y acceso y elige Añadir.
4. Escribe el correo de la persona (debe tener su propia cuenta de Google).
5. En "Acceso", elige Propietario o Administrador y selecciona Invitar.

La persona recibirá la invitación y, cuando la acepte, tendrá acceso de inmediato. Las invitaciones que aún no se aceptan aparecen como pendientes y puedes cancelarlas. Si quieres profundizar en cómo cuidar tu ficha, tenemos una guía completa del Perfil de Empresa en Google.

Las estafas más comunes contra negocios y cómo reconocerlas

Los engaños cambian de forma, pero casi todos siguen el mismo guion: crean urgencia ("tu página será eliminada en 24 horas"), se hacen pasar por una autoridad (Meta, Google, tu banco o una entidad pública) y te piden hacer clic, entregar un código o pagar. Si aprendes a reconocer ese patrón, vas a detectar la mayoría de intentos.

Falsos avisos de "infracción de derechos de autor" o "tu página será eliminada"

Es uno de los mensajes más frecuentes entre administradores de páginas. Llega por Messenger, por correo o como comentario, con un logo parecido al de Meta, y dice que tu página infringió derechos de autor o normas comunitarias y que será desactivada si no "apelas" en un enlace. Ese enlace lleva a una página falsa que pide tu usuario, contraseña y el código de verificación. Con eso, el estafador entra, te expulsa y usa tu página.

Las advertencias reales sobre tu cuenta se revisan dentro de la propia app, no en enlaces enviados por chat. En Facebook, revisa la sección de estado o calidad de la cuenta en la configuración de tu página o en Meta Business Suite. Si allí no aparece ninguna advertencia, el mensaje es falso. Nunca escribas tu contraseña en una página a la que llegaste desde un mensaje.

Falsos soportes de Meta, Google o TikTok

Otra variante: perfiles que se presentan como "Soporte Meta Business", "Equipo de Verificación" o "Asesor de Google" y te ofrecen recuperar tu cuenta, darte la insignia de verificación o desbloquear tus anuncios. Algunos cobran por adelantado, otros piden acceso a tu cuenta. Aparecen sobre todo cuando publicas en grupos o comentas que tuviste un problema.

Ten presente que el soporte de las plataformas se solicita desde sus centros de ayuda oficiales y desde dentro de la app. Google advierte en su ayuda que nunca te pedirá tu contraseña ni tus códigos de verificación por correo, teléfono o SMS. Si alguien que dice ser de una plataforma te pide eso, ya sabes que es un estafador.

Códigos de verificación de WhatsApp robados

El robo de WhatsApp más común funciona así: el estafador intenta registrar tu número en su teléfono, a ti te llega un SMS con un código de seis dígitos, y enseguida te escribe alguien (a veces desde el número de un contacto ya robado) diciendo que te lo envió "por error" o que es para un sorteo, una encuesta o una entrega. Si se lo das, se queda con tu cuenta y empieza a pedir dinero a tus clientes y familiares.

La defensa tiene dos partes. Primero, nunca compartas el código de registro de WhatsApp con nadie, sin excepciones: ese código solo sirve para activar tu número en un teléfono. Segundo, activa el PIN de verificación en dos pasos, que es la barrera que impide que el código robado sea suficiente.

Suplantación de tu marca

A veces el problema no es que entren a tu cuenta, sino que creen otra igual. Es frecuente en turismo: una página copia las fotos y el nombre de una agencia de Cusco, ofrece el tour a Machu Picchu más barato y pide un adelanto por Yape. El cliente paga, nadie aparece, y luego te escribe a ti indignado.

• Busca tu nombre de negocio en Facebook, Instagram, TikTok y Google de vez en cuando para detectar copias.
• Denuncia los perfiles falsos desde la opción de reportar suplantación de cada plataforma, indicando que se hacen pasar por tu negocio.
• Publica en tus redes oficiales cuáles son tus únicos canales y números de pago, y fíjalo en tu perfil.
• Pide a tus clientes que confirmen siempre en tu web o en tu número oficial antes de pagar.
• Si tu marca es importante para el negocio, evalúa registrarla en Indecopi: facilita reclamar ante plataformas y autoridades.

Phishing por correo y SMS

El phishing es el engaño que busca que entregues datos haciéndote creer que hablas con una entidad conocida. Llega como un correo de "tu banco" con un problema en tu cuenta, un SMS de una supuesta empresa de envíos con un paquete retenido, una supuesta multa o un aviso de suspensión de tu dominio web. El objetivo siempre es que hagas clic en un enlace y escribas tus claves o los datos de tu tarjeta.

• Desconfía de la urgencia: plazos de horas, amenazas de bloqueo o premios inesperados.
• Revisa el remitente y el enlace real antes de tocar (mantén presionado en el celular para ver la dirección).
• No entres a tu banco ni a tus redes desde enlaces: escribe la dirección o abre la app oficial.
• Si el mensaje dice venir de una entidad, confírmalo por sus canales oficiales, no por los datos del mismo mensaje.

Pagos por Yape, Plin y transferencias: confirma antes de entregar

Los comprobantes falsos son un problema muy peruano porque los pagos con billeteras digitales son parte del día a día en bodegas, restaurantes, ferias artesanales y servicios de delivery. La modalidad es simple: el "cliente" te muestra una captura de pantalla, una constancia generada con una aplicación falsa o una imagen editada, y se lleva el producto antes de que revises. A veces lo hacen por teléfono: piden un pedido grande, mandan la supuesta constancia por WhatsApp y envían a un motorizado a recogerlo de inmediato.

Lo que recomienda Yape

Voceros de Yape han insistido en una idea básica: lo que vale es que el dinero haya entrado a tu cuenta, no lo que te muestren en otra pantalla. Sus recomendaciones, recogidas en notas de prensa, incluyen revisar el pago en la sección de movimientos de tu propia app, verificar fecha, hora, monto y nombre, tener activas las notificaciones con sonido y no aceptar excusas como "no se actualiza" o "ya te va a llegar en unos minutos", porque los yapeos llegan al instante.

Desde abril de 2025, Yape incorporó además un código de seguridad de tres dígitos en los yapeos entre personas: quien paga lo ve en su pantalla de confirmación y quien recibe lo ve en la notificación y en el detalle del movimiento. Si ambos coinciden, el pago es real. Según el anuncio, aplica a yapeos entre personas naturales desde Yape hacia otro número afiliado a Yape, así que no lo tomes como única comprobación en todos los casos. El centro de seguridad de Yape también recuerda que, si te roban el celular, puedes llamar a la línea 1820 para pedir el bloqueo de tus cuentas.

Una rutina de caja a prueba de vouchers falsos

1. No entregues el producto ni confirmes la reserva hasta ver el pago en tu propia app de Yape, Plin o de tu banco.
2. Revisa que coincidan monto, nombre de quien paga y hora.
3. Pide el código de seguridad cuando aplique y compáralo con el de tu notificación.
4. Para pedidos por teléfono o WhatsApp, no envíes el delivery hasta confirmar el ingreso, aunque el cliente presione.
5. En transferencias bancarias interbancarias, recuerda que pueden tardar según el tipo de operación: espera a ver el abono en tu cuenta antes de liberar el servicio.
6. Si tienes personal en caja, dale un celular del negocio con notificaciones activas o una forma de consultarte rápido, para que no dependa de capturas.

Un ejemplo hipotético: una tienda de artesanías en Arequipa recibe un pedido de S/ 350 por WhatsApp, el comprador manda la "constancia" y dice que su primo pasará en diez minutos. La regla del negocio es clara: sin abono visible en la app, no sale nada. Si el pago es real, aparecerá en segundos; si no aparece, te ahorraste la pérdida.

Seguridad de tu página web

Si tienes una web propia, sobre todo en WordPress, también es una puerta de entrada. Las webs desactualizadas son atacadas de forma automática por programas que buscan versiones con fallos conocidos, sin importar si tu negocio es grande o pequeño. Una web comprometida puede mostrar publicidad engañosa, redirigir a tus visitantes a sitios de estafa o quedar marcada como peligrosa en los navegadores.

Actualizaciones de WordPress, plugins y temas

WordPress aplica automáticamente las actualizaciones menores y de seguridad del núcleo en la mayoría de instalaciones, pero las versiones principales, los plugins y los temas suelen requerir que hagas clic en actualizar desde el panel, en la sección Actualizaciones. La documentación oficial recomienda hacer una copia de seguridad antes de actualizar, para poder restaurar el sitio si algo falla.

• Revisa las actualizaciones pendientes al menos una vez por semana o activa las automáticas para plugins de confianza.
• Elimina plugins y temas que no uses: cada uno es código que puede tener fallos.
• Instala plugins solo desde el directorio oficial o de desarrolladores conocidos; nunca versiones "pro gratis" descargadas de sitios dudosos.
• Usa contraseñas únicas y verificación en dos pasos para el panel de WordPress, el hosting y el dominio.
• Crea usuarios con rol de editor o autor para quien solo publica contenido, en lugar de darle el rol de administrador.

Copias de seguridad y HTTPS

Una copia de seguridad es tu seguro de vida digital. Lo recomendable es tener copias automáticas (muchos hostings las incluyen, y también existen plugins para eso) y guardar una copia fuera del mismo servidor, por ejemplo en tu nube. Prueba de vez en cuando que la copia realmente se puede restaurar: una copia que nunca probaste es una suposición.

El HTTPS (el candado en la barra del navegador) cifra la información entre tu web y tus visitantes, y es indispensable si tienes formularios de reserva o contacto. La mayoría de hostings lo ofrecen con certificados gratuitos. Si estás armando o renovando tu sitio, en nuestra guía para crear la página web de tu negocio explicamos cómo elegir hosting, dominio y plataforma pensando también en la seguridad.

Qué hacer si te hackean: recuperación y plan de respuesta

Si notas cambios que no hiciste (publicaciones extrañas, correo o teléfono modificados, anuncios que no creaste, mensajes de clientes preguntando por un préstamo que pediste), actúa rápido. Las primeras horas importan, porque el atacante intentará cambiar los datos de recuperación para que no puedas volver a entrar.

Rutas oficiales de recuperación

Usa siempre las páginas oficiales y desconfía de cualquier "experto" que te escriba ofreciendo recuperar tu cuenta a cambio de dinero. Muchas de esas ofertas son una segunda estafa sobre la primera.

• Facebook: entra a facebook.com/hacked desde un navegador y sigue los pasos para indicar que tu cuenta fue comprometida.
• Instagram: Instagram tiene una página dedicada en instagram.com/hacked con opciones según tu caso; también puedes iniciar el proceso desde la pantalla de inicio de sesión de la app.
• Google: usa accounts.google.com/signin/recovery. Google aconseja hacerlo desde un dispositivo, navegador y lugar habituales, y responder la mayor cantidad de preguntas posible.
• WhatsApp: vuelve a registrar tu número en tu teléfono con el código SMS; si el atacante activó un PIN, la ayuda de WhatsApp explica los plazos para restablecerlo. Avisa a tus contactos por otro medio que no respondan pedidos de dinero.
• TikTok: usa las opciones de problemas de inicio de sesión de la app y el centro de ayuda oficial de TikTok.

Denunciar y reportar en Perú

Además de recuperar la cuenta, es útil dejar constancia. El Estado peruano tiene en gob.pe un servicio para reportar incidentes de seguridad digital al Centro Nacional de Seguridad Digital, que también pueden usar ciudadanos y empresas privadas mediante un formulario en línea, adjuntando capturas como evidencia. Si hubo pérdida de dinero, extorsión o suplantación, presenta una denuncia ante la Policía Nacional (en una comisaría o en la división especializada en delitos de alta tecnología) o ante el Ministerio Público. Guarda capturas, enlaces, números y fechas antes de que el estafador borre su rastro.

Tu plan de respuesta de una página

Escribe este plan antes de necesitarlo, imprímelo y déjalo en un lugar donde todo el equipo sepa encontrarlo. Cuando pasa un incidente, nadie piensa con claridad, y tener los pasos escritos ahorra tiempo y errores.

1. Contactos clave: quién es el responsable de decidir, quién maneja redes, quién da soporte de la web (hosting o desarrollador) y el contacto de tu banco.
2. Inventario de cuentas: lista de cuentas del negocio, con qué correo se abrió cada una y quiénes tienen acceso (sin anotar contraseñas).
3. Primeros 30 minutos: intentar entrar y cambiar contraseña, cerrar sesiones abiertas en otros dispositivos, revisar correo y teléfono de recuperación.
4. Si no puedes entrar: usar la ruta oficial de recuperación de cada plataforma, desde un dispositivo que ya hayas usado antes.
5. Dinero: revisar cuentas publicitarias y métodos de pago, quitar tarjetas vinculadas y avisar al banco si hubo cargos.
6. Comunicar: mensaje breve en tus otros canales para tus clientes: qué cuenta está comprometida y que no paguen ni respondan pedidos desde ella.
7. Evidencia y denuncia: capturas con fecha, reporte al Centro Nacional de Seguridad Digital y denuncia policial si corresponde.
8. Después: revisar qué falló, activar la verificación en dos pasos donde faltaba y actualizar este plan.

Protección de datos de tus clientes: Ley 29733

Si guardas nombres, teléfonos, correos, DNI o pasaportes de huéspedes, direcciones de entrega o historiales de compra, manejas datos personales, y en Perú eso está regulado por la Ley N.º 29733, Ley de Protección de Datos Personales. El reglamento vigente se aprobó con el Decreto Supremo N.º 016-2024-JUS, publicado a fines de noviembre de 2024, y entró en vigencia a fines de marzo de 2025.

Qué significa para un negocio pequeño

En lo cotidiano, la ley te pide recoger solo los datos que necesitas, informar a tus clientes para qué los usas, pedir su consentimiento cuando corresponda (por ejemplo, para enviarles promociones) y protegerlos con medidas de seguridad razonables. Una hoja de cálculo con los pasaportes de todos tus turistas, compartida por enlace público, es justamente lo que no debería existir.

El nuevo reglamento también regula los incidentes de seguridad. Según análisis publicados por especialistas, el responsable debe notificar a la Autoridad Nacional de Protección de Datos Personales dentro de las 48 horas de conocer un incidente que pueda afectar los derechos de los titulares de los datos, y documentar lo ocurrido y las medidas adoptadas; si el incidente es digital, también puede corresponder reportarlo al Centro Nacional de Seguridad Digital. Además, el reglamento introduce la figura del oficial de datos personales con plazos escalonados según el tamaño de la empresa. Como los detalles y plazos de cada obligación dependen de tu caso, consulta la norma en gob.pe o a un especialista antes de tomar decisiones.

• Haz una lista de qué datos de clientes guardas, dónde (celular, Excel, sistema de reservas, correo) y quién puede verlos.
• Elimina lo que no necesitas, como fotos de documentos de huéspedes de hace años.
• Protege las carpetas compartidas: nada de enlaces abiertos a "cualquier persona con el enlace".
• Agrega en tu web y formularios un texto claro sobre el uso de los datos.
• Incluye en tu plan de respuesta qué hacer si se filtran datos de clientes.

Errores frecuentes y checklist de seguridad

Errores que vemos una y otra vez

• Usar la misma contraseña para el correo, Facebook y la banca.
• Abrir todas las cuentas del negocio con el correo personal de un empleado que luego se va.
• Tener un solo administrador en la página de Facebook o en el Perfil de Empresa.
• Dejar la verificación en dos pasos solo por SMS, sin códigos de respaldo.
• Entregar productos con una captura de Yape o Plin como única prueba.
• Hacer clic en avisos de "infracción" o "verificación" que llegan por Messenger.
• Pagar a supuestos "recuperadores de cuentas" que escriben por redes.
• No actualizar WordPress ni sus plugins durante meses y no tener copias de seguridad.
• Guardar documentos de clientes en carpetas compartidas sin control.

Checklist para revisar este mes

• Verificación en dos pasos activa en Google, Facebook, Instagram, WhatsApp y TikTok.
• Códigos de respaldo de Google guardados fuera del celular.
• PIN de WhatsApp creado y correo de recuperación agregado.
• Llaves de acceso creadas en tus dispositivos personales donde estén disponibles.
• Gestor de contraseñas en uso y contraseñas repetidas cambiadas.
• Accesos del equipo revisados en Meta Business Suite y en el Perfil de Empresa; exempleados retirados.
• Al menos dos personas de confianza con control total en cada plataforma.
• Regla de caja: sin abono visible en la app, no se entrega.
• Canales oficiales y números de pago publicados y fijados en tus redes.
• WordPress, plugins y temas actualizados, con copia de seguridad probada y HTTPS activo.
• Plan de respuesta de una página impreso y conocido por el equipo.
• Inventario de datos de clientes hecho y datos innecesarios eliminados.

No necesitas hacerlo todo en un día. Una buena forma de avanzar es dedicar una hora a la semana: la primera semana, verificación en dos pasos en todo; la segunda, gestor de contraseñas y accesos del equipo; la tercera, web y copias de seguridad; la cuarta, datos de clientes y plan de respuesta. En un mes tu negocio estará mucho mejor protegido que la mayoría, y eso, para quien busca víctimas fáciles, es razón suficiente para pasar de largo.

Preguntas frecuentes

Fuentes

• Ayuda de Google: Activar la verificación en dos pasos
• Ayuda de Google: Iniciar sesión con una llave de acceso
• Ayuda de Google: Recuperar tu cuenta de Google
• Ayuda de Perfil de Empresa en Google: Gestionar usuarios del perfil
• Centro de ayuda de WhatsApp: Cómo usar la verificación en dos pasos
• Meta: Introducing Passkeys on Facebook for an Easier Sign-In
• Centro de ayuda de Instagram: Autenticación en dos pasos
• Facebook: Recuperar una cuenta comprometida
• TikTok for Business: Acerca de la verificación en 2 pasos en TikTok Ads Manager
• Yape: Centro de seguridad
• Agencia Andina: Yape lanza código de seguridad para protección de transferencias falsas
• gob.pe: Reportar incidentes de seguridad digital
• gob.pe: Decreto Supremo N.º 016-2024-JUS
• LexLatin: Perú reforma su régimen de protección de datos personales
• WordPress.org: Updating WordPress

Sigue leyendo

Gestión

Atención al cliente por WhatsApp, redes y correo: cómo responder rápido, resolver quejas y fidelizar

Ordena tus canales de atención, responde rápido con plantillas, maneja quejas públicas y cumple con el Libro de Reclamaciones y la protección de datos en el Perú.

21 min de lecturaGoogle y SEO

Cómo crear un blog que atraiga clientes: estrategia de contenidos para negocios en Perú

Guía práctica para que tu negocio peruano publique artículos que respondan las dudas de tus clientes antes de comprar, con calendario editorial, 24 temas de ejemplo y checklist.

23 min de lecturaGoogle y SEO

Cómo mostrar tus productos en Google: Merchant Center, fichas gratuitas y Shopping para tiendas en Perú

Qué superficies de Google aplican a tiendas en el Perú, cómo configurar Merchant Center y tu feed, marcar tus productos con datos estructurados y evitar rechazos.

27 min de lectura