En mayo de 2024, Europol coordinó la operación más grande de la historia contra botnets: confiscaron más de 800 servidores en 17 países y desmantelaron infraestructura que había infectado millones de dispositivos. La mayoría de esos servidores no pertenecían a organizaciones criminales. Eran servidores de hosting compartido donde convivían sitios web de empresas completamente normales, que no tenían idea de lo que alojaban junto a ellos.
Si tu sitio web corporativo está en un plan de hosting compartido de bajo costo, esa es tu situación hoy. No teórica. Actual.
El debate sobre ciberseguridad en empresas B2B chilenas se concentra en el lugar equivocado: firewalls, antivirus, contraseñas seguras. Todo eso importa. Pero el vector de riesgo más frecuente para un sitio web corporativo no es un ataque dirigido a tu empresa. Es la infraestructura donde vive ese sitio.
El problema que nadie explica: el hosting compartido como riesgo sistémico
Cuando una empresa contrata un plan de hosting “económico” — esos que parten en 3 o 4 dólares mensuales — su sitio web comparte un servidor físico con cientos de otros sitios. Eso incluye tiendas online de dudosa procedencia, sitios abandonados hace años, proyectos personales sin actualizar y, con cierta frecuencia estadística, sitios que ya fueron comprometidos por malware.
El problema no es la proximidad digital en abstracto. El problema es concreto: cuando un sitio vecino en ese servidor es infectado y el proveedor de hosting no lo detecta a tiempo, el malware puede propagarse lateralmente. Los motores de búsqueda como Google detectan esto a nivel de IP de servidor. Si varios sitios en esa IP son marcados como maliciosos, todos los sitios de esa IP pueden recibir advertencias de seguridad en los navegadores, caer en listas negras o perder posicionamiento de forma abrupta.
En 2023, el equipo de PTW documentó el caso de una empresa de servicios industriales en la Región Metropolitana cuyo sitio apareció marcado como “peligroso” en Chrome durante 11 días. La empresa no había sido hackeada directamente. Un sitio en el mismo servidor compartido fue infectado con phishing, y la IP quedó en lista negra. El sitio corporativo de la empresa simplemente estaba en el lugar equivocado. El costo no fue solo reputacional: durante esos 11 días, cualquier prospecto que intentara acceder desde Chrome veía una pantalla roja de advertencia antes de llegar al sitio.
El hosting no es solo un commodity técnico
El mercado chileno de hosting tiende a tratarlo como si fuera. El criterio de compra habitual es precio y espacio en disco. Eso tiene sentido para un blog personal o un proyecto piloto. No tiene sentido para el sitio web de una empresa que usa ese dominio en sus propuestas comerciales, en su firma de correo y como primer punto de validación cuando un prospecto la investiga antes de una reunión.
Un sitio corporativo B2B tiene una función específica: construir credibilidad y dar información suficiente para que un prospecto confirme que vale la pena avanzar en la conversación. Si ese sitio está caído, lento o marcado como inseguro en el momento preciso en que alguien lo consulta, el daño no aparece en ningún reporte. Simplemente no hay reunión.
Cómo evaluar la seguridad real de tu sitio web corporativo
La buena noticia es que hay señales claras que cualquier gerente puede revisar sin conocimiento técnico profundo. El protocolo básico no requiere contratar a nadie.
Checklist de diagnóstico inicial para empresas B2B:
-
Revisa el certificado SSL. Entra a tu sitio desde Chrome o Firefox. ¿Ves un candado en la barra de direcciones? Haz clic en él. ¿El certificado está vigente y a nombre de tu dominio? Un SSL vencido no solo es un riesgo de seguridad — es una señal visible de descuido para cualquier visitante.
-
Verifica el tipo de hosting que tienes. Revisa el contrato o consulta a quien administra el sitio. ¿Es hosting compartido, VPS o servidor dedicado? El compartido es el más riesgoso para un sitio corporativo activo. El VPS (servidor privado virtual) ya ofrece aislamiento significativo.
-
Consulta el historial de tu IP. Herramientas como MXToolbox o Google Safe Browsing (transparencyreport.google.com) permiten verificar si tu dominio o IP aparecen en listas negras. Es gratuito y toma dos minutos.
-
Revisa cuándo fue la última actualización del CMS. Si tu sitio corre en WordPress, Joomla u otro gestor de contenido, la versión desactualizada es la principal puerta de entrada para ataques automatizados. Los bots no buscan empresas específicas — escanean internet en busca de versiones vulnerables conocidas.
-
Confirma quién tiene acceso administrativo. ¿Hay ex-empleados o ex-agencias con credenciales activas? ¿El usuario administrador se llama “admin”? ¿Las contraseñas se cambian periódicamente?
-
Pregunta por los backups. ¿Cada cuánto se hace un respaldo del sitio? ¿Dónde se almacena ese respaldo? Si la respuesta es “no sé” o “en el mismo servidor”, hay un problema.
Qué distingue un hosting adecuado para empresas B2B
No se trata de pagar más por marketing. Se trata de entender qué características técnicas reducen efectivamente el riesgo.
Un proveedor de hosting adecuado para un sitio corporativo B2B debería ofrecer, como mínimo: aislamiento de cuentas (que lo que ocurra en otros sitios del servidor no afecte el tuyo), monitoreo activo de malware con alertas, backups automáticos diarios en ubicación separada, soporte técnico con tiempo de respuesta definido y garantía de uptime por escrito (idealmente 99.9% o superior).
En Chile, hay proveedores locales e internacionales que cumplen estos estándares. El criterio no es la marca — es revisar que el contrato especifique estas condiciones explícitamente. Si el contrato no menciona nada de esto, el proveedor no tiene obligación de cumplirlo.
El argumento que resuelve la discusión interna
En muchas empresas B2B, la conversación sobre hosting termina en el área de administración o TI con un argumento simple: “está funcionando, no toquemos nada”. Es un argumento comprensible. También es incompleto.
“Está funcionando” describe el estado del sitio hoy, en este momento, cuando nadie lo está atacando. No describe su resiliencia ante un incidente. Y los incidentes de seguridad web no avisan.
El costo de remediar un sitio comprometido — limpiar malware, salir de listas negras, recuperar posicionamiento perdido, gestionar la comunicación con clientes que recibieron la advertencia — supera con holgura el costo anual de estar en infraestructura adecuada desde el principio. Un proceso de recuperación de lista negra con Google puede tomar entre dos semanas y dos meses, dependiendo de la severidad del incidente y la rapidez de respuesta.
Hay otro argumento que pocas empresas consideran: el impacto en el SEO técnico. Google usa HTTPS como señal de ranking desde 2014. Más relevante aún: si tu sitio aparece en listas negras de seguridad, el impacto en la autoridad de dominio puede tardar meses en revertirse, incluso después de resolver el problema técnico. Un sitio con cinco años de trabajo SEO acumulado puede perder posiciones significativas por un incidente de seguridad que duró días.
La responsabilidad que recae en quien administra el sitio
Un punto que genera confusión frecuente: muchas empresas asumen que la seguridad del sitio es responsabilidad exclusiva del proveedor de hosting. Legalmente y en la práctica, no funciona así.
El proveedor de hosting es responsable de la infraestructura. La seguridad de la aplicación — el CMS, los plugins, el código del sitio, las credenciales de acceso — es responsabilidad de quien administra el sitio. Si WordPress está desactualizado, eso no es un problema del servidor. Es un problema de gestión.
Esto significa que tener buen hosting resuelve una parte del problema. La otra parte requiere mantención activa: actualizaciones periódicas, revisión de accesos, monitoreo de rendimiento y respaldo verificado. No es una tarea de una sola vez — es una práctica continua.
En empresas B2B donde el sitio web fue construido hace dos o tres años y desde entonces nadie lo revisa técnicamente, ambos problemas suelen coexistir: infraestructura inadecuada y aplicación desactualizada. Es la combinación que convierte un sitio corporativo en blanco fácil para ataques automatizados que no buscan a tu empresa en particular — simplemente encuentran la puerta abierta.
Si al revisar este checklist encontraste más de dos puntos sin respuesta clara, el sitio de tu empresa tiene exposición real. El paso lógico siguiente es hacer un diagnóstico que cubra tanto la base técnica como la infraestructura: prendetuweb.cl/diagnostico. No es una auditoría de alarma — es entender exactamente en qué estado está tu activo digital antes de que el problema lo defina por ti.