Abres el correo a las 8:12, ves un aviso de acceso sospechoso, haces clic para verificarlo y a las 8:19 ya no entras ni en el email, ni en el Drive, ni en el programa de facturación. ¿Cuándo empieza realmente el ataque? No cuando te roban datos — empieza cuando descubres que tus herramientas de trabajo ya no obedecen.
Para un autónomo digital, una cuenta no es solo una cuenta. Es el centro operativo. El diseñador guarda entregas y versiones en la nube. La asesora fiscal recibe documentación sensible por correo y firma trámites con certificados y plataformas enlazadas. El consultor trabaja con calendarios, videollamadas, accesos a Notion, CRM, pasarela de cobro y almacenamiento compartido. Si una credencial cae, rara vez cae sola. Hoy casi todo está encadenado por el mismo email principal.
El giro que pilla por sorpresa a quien trabaja por su cuenta
Es fácil pensar en el phishing como un robo de contraseña y tratarlo como una incidencia técnica: cambiar la clave, recuperar acceso, seguir. El problema serio aparece cuando esa cuenta era la llave de recuperación de todas las demás. Quien entra en el correo puede resetear accesos, desactivar alertas, crear reglas para ocultar mensajes y tomar control de servicios donde ni siquiera había una brecha directa. La intrusión inicial dura minutos. La pérdida operativa puede durar días.
El golpe no se reparte igual en todos los autónomos
Caso práctico · Tres perfiles, tres formas de exposición
Copy freelance: bloqueada con tres entregas pendientes y dos clientes esperando revisiones en un Drive compartido.
Arquitecto técnico: pierde acceso a planos, licencias de software y correos con cambios de obra que tenían plazo cerrado.
Psicóloga online: aunque trabaja sola, arrastra otra exposición: agenda, historiales, videoplataforma y datos especialmente sensibles.
La factura del problema no sale solo de lo que te roban. Sale de lo que dejas de poder hacer.
Cuando el problema deja de ser tuyo y pasa a ser del cliente
Hay un punto especialmente incómodo: la pérdida de acceso a cuentas de clientes. Pasa más de lo que parece en marketing, diseño web, community management o soporte digital. El autónomo gestiona campañas en Meta o Google, administra un dominio, entra al hosting, modera un e-commerce o lleva el email corporativo del cliente. Si el atacante usa tu cuenta comprometida para tocar permisos, lanzar correos falsos o sacar información, el cliente no ve un incidente abstracto. Ve que el origen fue tu acceso profesional. Y esa conversación ya no va sobre informática. Va sobre responsabilidad.
La segunda derivada es peor. Mientras intentas recuperar cuentas, no solo dejas de facturar horas. También pierdes la posición de confianza. Un cliente que ve correos extraños enviados desde tu buzón cambia contraseñas, corta accesos y, por prudencia, mueve trabajo a otro proveedor. Ese reemplazo provisional se convierte en definitivo con una facilidad brutal. El daño reputacional en un autónomo pesa más que en una empresa grande porque casi siempre coincide con una sola marca: tu nombre.
Tres señales muy concretas que conviene revisar
Antes de que ocurra, no después
El correo actúa como llave maestra de recuperación
Para facturación, nube, banco, dominios y cuentas de clientes. Esa concentración multiplica el daño de un solo clic mal dado.
La actividad ha crecido sin comunicarlo al asegurador
Empezaste haciendo diseño y ahora administras campañas, accesos publicitarios o bases de datos ajenas. El riesgo ya no es el mismo, aunque la póliza siga igual.
Dar por hecho que la RC profesional cubre el phishing
En bastantes casos, la discusión empieza justo ahí: la RC puede no cubrir gastos forenses, recuperación de sistemas, extorsión, pérdida de beneficios por interrupción digital o gestión de brecha de datos.
Ese matiz importa más de lo que parece. El autónomo suele pensar en el ciberataque como un problema de seguridad, y en la reclamación del cliente como un problema separado. En la práctica llegan juntos. Recuperar accesos exige tiempo técnico, análisis de logs, restauración, comunicaciones, a veces asistencia legal por protección de datos, y al mismo tiempo hay un tercero que reclama por campañas paradas, pedidos no servidos o exposición de información. Cuando la protección está partida entre coberturas insuficientes o directamente ausentes, el siniestro se fragmenta y cada fragmento se vuelve más difícil de defender.
Criterio del despacho
El activo más frágil no siempre son tus datos, sino tus permisos. Un autónomo puede restaurar archivos desde una copia. Recuperar una relación de confianza con un cliente al que le comprometieron una cuenta publicitaria, un dominio o un entorno compartido a través de tus credenciales es otra historia. Y ese tipo de daño tarda mucho más en cerrar que la incidencia técnica. A veces ni se cierra.
En actividades con datos personales de clientes, el incidente puede activar obligaciones de análisis y, según el alcance, de notificación bajo RGPD. Ahí el tiempo pesa: una mala decisión en las primeras horas puede agravar tanto la sanción potencial como la reclamación civil posterior.
Punto de decisión
Si hoy te quitaran durante cuatro días el correo principal, la nube donde entregas trabajos y dos accesos de clientes que gestionas tú, ¿sabrías qué parte del perjuicio absorbería tu estructura y qué parte saldría de tu bolsillo? Existe razón objetiva para revisar tu protección si se cumplen dos o más de estas condiciones:
- Tu correo principal es la llave de recuperación de facturación, nube, banco, dominios y cuentas de clientes al mismo tiempo.
- Gestionas accesos de clientes —publicidad, hosting, dominios, e-commerce— con tus propias credenciales sin compartimentar el riesgo.
- No sabes con certeza si tu RC profesional cubriría gastos forenses, recuperación de sistemas o pérdida de beneficios por interrupción digital.
- Tu actividad ha cambiado en el último año —nuevos servicios, más acceso a datos de terceros— sin que lo hayas comunicado a tu aseguradora.
Esa pregunta suele aclarar más que cualquier resumen de coberturas, porque obliga a mirar cómo trabajas de verdad y no cómo crees que estás protegido.
Preguntas frecuentes
Si el cliente me dio sus claves y su cuenta cae a través de mi correo, ¿la responsabilidad sigue siendo mía?
Puede serlo, al menos en parte. Que el cliente te haya facilitado acceso no elimina la exigencia de custodia profesional, sobre todo si el incidente se origina en tus credenciales, tus dispositivos o tu forma de gestionar permisos. La discusión suele centrarse en trazabilidad, medidas previas y alcance del encargo.
¿Sirve de algo tener copia de seguridad si el problema fue perder el control del correo y las cuentas?
Sirve, pero no resuelve el núcleo del siniestro. La copia protege archivos; no recupera permisos, reputación ni accesos de terceros administrados desde tu identidad digital. En actividades donde gestionas cuentas de clientes, la restauración técnica es solo una parte del coste.
Un phishing bien colocado no te roba una contraseña. Te puede expulsar de tu negocio el tiempo suficiente para que otro ocupe tu sitio. El problema no nace en el mensaje fraudulento — nace en la dependencia total de un entorno sin compartimentos, algo que rara vez se revisa hasta que ya es demasiado tarde.
Soluciones relacionadas
Análisis y Optimización de Seguros
¿Sabrías qué parte del daño de un phishing absorbería tu estructura?
En Molina López Seguros analizamos riesgos, estructura aseguradora, carencias y coordinación entre pólizas. Trabajamos con más de 95 aseguradoras para encontrar la protección que realmente encaja con tu actividad, tus ingresos y tus responsabilidades reales.
Solicitar análisis profesional