Ciberseguridad para pymes en Costa Rica: estafas comunes, cómo protegerse y dónde denunciar
Las estafas que más golpean a los negocios en Costa Rica, cómo proteger contraseñas, WhatsApp y respaldos, y qué hacer y dónde denunciar si su empresa es víctima, según el MICITT y el OIJ.
- Publicado el
- Lectura
- 5 min de lectura
- Fuentes oficiales
- 12 fuentes citadas
En esta guía
- 01La respuesta corta
- 02Las estafas más comunes contra negocios
- 03Cómo evitar el comprobante falso en ventas
- 04Contraseñas y verificación en dos pasos
- 05Respaldos y actualizaciones
- 06Qué hacer si su negocio es víctima
- 07Dónde denunciar en Costa Rica
- 08Cuándo vale la pena pedir ayuda
- 09Preguntas frecuentes
- 10Fuentes consultadas
La respuesta corta
La mayoría de los ataques a una pyme no son sofisticados: buscan que alguien del negocio entregue una clave, un código o un producto antes de verificar. El MICITT lo resume en una regla: nunca comparta códigos, contraseñas o datos de tarjetas por mensaje, correo o llamada, aunque la solicitud parezca legítima.2
Con tres hábitos se cubre buena parte del riesgo: contraseñas distintas para cada cuenta, verificación en dos pasos en las cuentas principales y copias de seguridad de los datos importantes hechas con regularidad.89
Las estafas más comunes contra negocios
Phishing: correos y mensajes que imitan a bancos, tiendas o instituciones del gobierno para robar claves. Vishing: llamadas de supuesto personal de soporte o de seguridad que, con tono alarmante, piden los códigos de verificación que le llegan al teléfono.1
Comprobante falso: según el OIJ, el estafador se presenta como comprador, envía a una tercera persona a retirar el artículo y manda al celular un comprobante de transferencia. El vendedor confía, entrega, y al revisar la cuenta descubre que el dinero nunca fue depositado.5
Robo de la cuenta de WhatsApp: quien obtiene el código de registro que llega por mensaje puede activar su número en otro teléfono y escribir a sus clientes en nombre del negocio. Por eso ningún empleado debe dictar ni reenviar ese código, ni siquiera a alguien que diga ser de soporte.
Nunca comparta códigos, contraseñas o datos de tarjetas por mensaje, correo o llamada, incluso si la solicitud parece venir de una fuente legítima.Cómo evitar el comprobante falso en ventas
El OIJ recomienda no entregar el artículo sin verificar que el dinero esté en su cuenta, incluso si el comprador dice que el pago dura más de 24 horas en reflejarse, y no aceptar que lo comuniquen con un supuesto empleado del banco: suelen ser parte de la misma organización.6
En la práctica, defina una regla para todo el equipo: una captura de pantalla no es un pago. Antes de despachar, alguien con acceso a la banca del negocio confirma el movimiento en la cuenta. Si el comprador presiona con prisa, es una señal más para esperar.
Contraseñas y verificación en dos pasos
El MICITT recomienda usar contraseñas seguras y únicas para cada cuenta y activar la autenticación de dos factores en servicios y plataformas digitales cuando sea posible. Empiece por el correo del negocio, la banca en línea, las redes sociales y el panel de su sitio web.8
En WhatsApp, la verificación en dos pasos consiste en crear un PIN secreto que no se comparte con nadie, lo que impide que otra persona registre su número en otro teléfono. Si el negocio usa WhatsApp Business, actívela en el teléfono principal y guarde el PIN en un lugar seguro.3
Un gestor de contraseñas evita que el equipo reutilice la misma clave en todos lados. Y cuando alguien deja la empresa, cambie las claves a las que tenía acceso ese mismo día.
Respaldos y actualizaciones
Entre sus recomendaciones básicas, el MICITT incluye mantener actualizados los sistemas operativos y el software, tener cuidado con correos y enlaces sospechosos y hacer copias de seguridad de los datos importantes con regularidad.9
Para una pyme, un buen respaldo guarda una copia fuera del equipo principal y otra desconectada, y se prueba de vez en cuando restaurando un archivo. Un respaldo que nunca se ha probado puede fallar justo el día que se necesita.
Qué hacer si su negocio es víctima
Si cree que fue víctima o tocó un enlace sospechoso, el MICITT indica desconectar de inmediato el dispositivo de internet, sea wifi o datos, para detener la transferencia de datos o el ataque.11
Guarde capturas de pantalla, correos, mensajes y cualquier evidencia del intento de estafa: según el MICITT, eso hace que la denuncia sea más efectiva y rápida.10
Si perdió el acceso a WhatsApp, la recuperación consiste en volver a registrar su número de teléfono; WhatsApp indica que las conversaciones anteriores quedan en su teléfono y que quien intente entrar a su cuenta no podrá leerlas.4
Avise también a su banco si hubo movimientos de dinero, a sus clientes si alguien escribió en nombre del negocio, y cambie las contraseñas desde un equipo que sepa que está limpio.
Dónde denunciar en Costa Rica
Las estafas se denuncian ante el Organismo de Investigación Judicial. Según el MICITT, si es víctima de estafa debe denunciar al OIJ al número telefónico 800 8000 645. El MICITT también insta a instituciones, empresas y personas víctimas de incidentes de ciberseguridad a poner la denuncia ante el OIJ.129
Para consultas técnicas, la Dirección de Ciberseguridad del MICITT, que integra el CSIRT-CR, tiene atención 24/7 los 365 días del año; uno de sus teléfonos es el +506 2539 2303.7
Cuándo vale la pena pedir ayuda
Si su negocio depende de un sitio web, de una tienda en línea o del correo con dominio propio, conviene que alguien revise quién tiene acceso, que la verificación en dos pasos esté activa y que existan respaldos recientes. Es una revisión acotada que ayuda a no perder clientes, datos o la reputación del negocio por un descuido.
Preguntas frecuentes
¿Es seguro entregar un producto si el cliente me manda el comprobante de la transferencia?
No basta con el comprobante. El OIJ recomienda no entregar el artículo sin verificar que el dinero esté en su cuenta, aunque el comprador diga que el pago tarda más de 24 horas en reflejarse.6
¿Cómo evito que me roben la cuenta de WhatsApp del negocio?
Active la verificación en dos pasos: WhatsApp pide crear un PIN secreto y no compartirlo con nadie, para evitar que alguien le robe la cuenta. Además, nunca comparta el código de registro que llega por mensaje.3
¿Dónde denuncio una estafa digital en Costa Rica?
Ante el OIJ. El MICITT indica que, si es víctima de estafa, debe denunciar al Organismo de Investigación Judicial al número telefónico 800 8000 645.12
¿Mi banco o el soporte técnico me pueden pedir un código por teléfono?
Desconfíe siempre. El MICITT advierte que en el vishing los estafadores se hacen pasar por personal de soporte o seguridad para que usted les entregue códigos de verificación.1
12 fuentes citadas
Fuentes consultadas
[1] Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones. Fuente oficial. Seguridad Digital. 10 de septiembre de 2025. Consultado el 18 de octubre de 2026.
Abrir documento“Phishing por correo y mensaje: Envían comunicaciones que imitan a bancos, tiendas o instituciones del gobierno para robar sus claves. Vishing (llamadas engañosas): Se hacen pasar por personal de soporte o seguridad, usando un tono de voz alarmante para que usted les entregue códigos de verificación.”
[2] Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones. Fuente oficial. Seguridad Digital. 10 de septiembre de 2025. Consultado el 18 de octubre de 2026.
Abrir documento“Nunca comparta códigos, contraseñas o datos de tarjetas por mensaje, correo o llamada, incluso si la solicitud parece venir de una fuente legítima.”
[3] WhatsApp. Documentación del proveedor. Funciones de seguridad, herramientas de seguridad y consejos. Consultado el 18 de octubre de 2026.
Abrir documento“Activa la verificación en dos pasos Crea un PIN secreto y nunca lo compartas con nadie para evitar que alguien te robe tu cuenta.”
[4] WhatsApp. Documentación del proveedor. Funciones de seguridad, herramientas de seguridad y consejos. Consultado el 18 de octubre de 2026.
Abrir documento“Si pierdes acceso a tu cuenta, vuelve a registrar tu número de teléfono. Las conversaciones anteriores están seguras en tu teléfono. Ninguna persona que intente acceder a tu cuenta podrá leerlas.”
[5] Organismo de Investigación Judicial. Fuente oficial. Comprobante falso - ¡Que no le vendan una estafa!. Consultado el 18 de octubre de 2026.
Abrir documento“La persona que compra el artículo envía a una tercera persona para que lo retire, y le envía a su celular un comprobante de la transferencia bancaría, por lo que usted confía y entrega el artículo. Posteriormente cuando usted revisa sus cuentas, verifica que el dinero nunca fue depositado.”
[6] Organismo de Investigación Judicial. Fuente oficial. Comprobante falso - ¡Que no le vendan una estafa!. Consultado el 18 de octubre de 2026.
Abrir documento“Le recomendamos que cuando haga ventas por internet, no entregue el artículo sin verificar que el dinero esté en su cuenta, incluso aunque la persona le indique que dura más de 24 horas en verse reflejado el pago.Tampoco permita que la persona llame a otro contacto que supuestamente trabaja en el banco, ya que usualmente son miembros de la organización dedicada a realizar las estafas.”
[7] Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones. Fuente oficial. Seguridad Digital - Preguntas frecuentes. Consultado el 18 de octubre de 2026.
Abrir documento“La Dirección de Ciberseguridad cuenta con un horario de atención 24/7 los 365 días del año.Teléfonos de contacto:+506 2539 2303”
[8] Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones. Fuente oficial. MICITT advierte sobre el aumento de intentos de estafas e incidentes cibernéticos durante esta época. Consultado el 18 de octubre de 2026.
Abrir documento“Utilice contraseñas seguras y únicas para cada cuenta.Active la autenticación de dos factores en servicios y plataformas digitales cuando sea posible.”
[9] Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones. Fuente oficial. MICITT confirma incidentes de ciberseguridad y llama a la población a estar alerta. Consultado el 18 de octubre de 2026.
Abrir documento“se insta a instituciones, empresas y personas que sean víctimas de cualquier tipo de incidente de ciberseguridad a poner las denuncias correspondientes ante el organismos de Investigación judicial. Recomendaciones para la población:Mantenga sus sistemas operativos y software actualizados.Utilice contraseñas seguras y diferentes para cada cuenta.Tenga cuidado al abrir correos electrónicos o enlaces sospechosos.No comparta información personal en línea.Realice copias de seguridad de sus datos importantes con regularidad.”
[10] Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones. Fuente oficial. Denuncia Estafas. Consultado el 18 de octubre de 2026.
Abrir documento“Guarda capturas de pantalla, correos, mensajes o cualquier evidencia que muestre el intento de estafa. Esto ayuda a que la denuncia sea más efectiva y rápida.”
[11] Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones. Fuente oficial. Denuncia Estafas. Consultado el 18 de octubre de 2026.
Abrir documento“Si crees que has sido víctima o tocaste un enlace, desconecta inmediatamente tu dispositivo de internet (Wi-Fi/datos). Esto puede detener la transferencia de datos o el ataque.”
[12] Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones. Fuente oficial. Seguridad Digital - Preguntas frecuentes. Consultado el 18 de octubre de 2026.
Abrir documento“Si es víctima de estafa, debe denunciar al Organismo de Investigación Judicial (OIJ) al número telefónico: 800 8000 645.”