Cuando una pyme empieza a cobrar por internet, por una aplicación o mediante un terminal conectado, sus cuentas de pago y los datos que las rodean se vuelven parte de la operación diaria. No hace falta construir un programa complejo para comenzar a reducir riesgos: ordenar quién accede a cada cuenta, activar autenticación multifactor, mantener los equipos actualizados y reconocer mensajes engañosos son medidas concretas y manejables.
Qué dicen los datos y qué no dicen
En su comunicado del 29 de septiembre de 2026, Mastercard informó que el 34% de las pymes encuestadas en República Dominicana dijo haber experimentado un incidente de ciberseguridad durante el último año. También reportó que el 42% afirmó que las preocupaciones de seguridad habían frenado o detenido la adopción de herramientas o pagos digitales. Son respuestas declaradas en una encuesta: no deben describirse como la proporción comprobada de todas las empresas dominicanas ni como evidencia de que una sola causa produjo una decisión empresarial.
Mastercard indica que los resultados locales se basan en 200 propietarios y directivos de pymes encuestados durante el segundo trimestre de 2026. La empresa reporta un margen de error aproximado de ±6,9% y un nivel de confianza de 95%. Esa ficha metodológica es la que comunica Mastercard; el diseño de muestreo y sus supuestos no se verificaron independientemente para este artículo. Por eso, los porcentajes sirven como contexto de lo que respondieron esas personas, no como una medición universal de prevalencia o causalidad.
Protege primero las cuentas que reciben dinero
Haz un inventario sencillo de las cuentas que pueden iniciar, aprobar o consultar cobros: banca electrónica, terminal o proveedor de pagos, tienda en línea, correo usado para recuperar accesos y servicios de facturación. Define quién es responsable de cada una y evita que varias personas compartan una misma contraseña. Cuando una persona deja de necesitar acceso, actualiza las credenciales y los métodos de recuperación desde el canal oficial del proveedor. Si conectas alguno de estos servicios con una automatización, revisa que cada acceso tenga solo el alcance necesario; consulta https://www.jarvisrd.com.do/blog/permisos-minimos-control-acceso-automatizaciones.
Activa la autenticación multifactor, también llamada MFA, en toda cuenta que la ofrezca, comenzando por banca, servicios de pago y correo de recuperación. MFA añade un segundo paso además de la contraseña; no elimina todos los riesgos, pero dificulta que una contraseña expuesta baste para entrar. Si el servicio permite elegir el método, utiliza una opción resistente al phishing cuando esté disponible y protege los códigos de recuperación fuera del alcance de personas no autorizadas.
Usa contraseñas largas y distintas para cada servicio. Un administrador de contraseñas puede ayudar a generarlas y guardarlas sin recurrir a variantes fáciles de adivinar. No reutilices la clave del correo en la cuenta bancaria o en el proveedor del terminal, y no envíes contraseñas ni códigos de MFA por chat o correo. Si un mensaje te pide compartir un código para liberar un pago, considéralo una señal de alerta y confirma la solicitud por el canal oficial que ya conoces.
Mantén los equipos al día y verifica solicitudes
Instala las actualizaciones de seguridad del teléfono, computadora, navegador, sistema de punto de venta y aplicaciones utilizadas para cobrar. Activa las actualizaciones automáticas cuando sea apropiado y confirma que los equipos de trabajo no dependan de software obsoleto. Las guías de CISA señalan que el software desactualizado puede contener fallas aprovechables; NIST también recomienda priorizar actualizaciones y parches regulares.
El phishing suele intentar que alguien entregue credenciales, abra un archivo o siga un enlace bajo presión. Desconfía de avisos inesperados sobre pagos retenidos, cambios urgentes de cuenta bancaria o supuestas verificaciones de proveedor. Antes de abrir un enlace, revisa cuidadosamente quién lo envía y la dirección del sitio; si la petición implica cambiar datos de cobro o devolver dinero, verifica por un segundo canal conocido, como llamar al número que ya figura en tu contrato y no al incluido en el mensaje sospechoso.
Acordar una regla breve para reportar mensajes extraños ayuda a actuar con rapidez. El personal debe saber a quién avisar si abrió un enlace o entregó credenciales, sin temor a ocultarlo por vergüenza. Si ocurre, usa los canales oficiales para cambiar la contraseña y revocar sesiones, informa al proveedor financiero pertinente y registra qué cuenta pudo quedar expuesta. No respondas al remitente ni compartas información adicional mientras verificas el incidente.
Una guía práctica, no una norma dominicana
CISA resume cuatro medidas básicas para empresas: formación contra phishing, contraseñas fuertes, MFA y actualización del software. NIST SP 1300 ofrece una guía rápida para pequeñas empresas y su Marco de Ciberseguridad 2.0 se describe expresamente como orientación voluntaria. Son recursos estadounidenses útiles como referencia práctica; no deben presentarse como legislación, regulación ni requisito obligatorio de República Dominicana.
Consulta las recomendaciones de CISA en https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business y la guía NIST en https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1300.pdf. Para revisar el contexto de la encuesta local y sus limitaciones, consulta el comunicado de Mastercard en https://www.mastercard.com/news/latin-america/es/sala-de-prensa/comunicados-de-prensa/pr-es/2026/septiembre/estudio-de-mastercard-revela-que-la-ciberseguridad-se-consolida-como-un-factor-clave-para-el-crecimiento-de-las-pymes-en-republica-dominicana/.
Elige una cuenta crítica y aplica primero MFA; luego asegúrate de que la contraseña sea única y que el dispositivo reciba actualizaciones. Después, comparte con el equipo un procedimiento simple para verificar cambios de pago y reportar mensajes sospechosos. Son controles básicos que pueden adaptarse al tamaño de la empresa, sin prometer que eliminen el riesgo ni sustituir el asesoramiento técnico o legal que requiera cada operación.