Blog

Qué intentan los bots contra una web pequeña: un mes de datos reales

31 de octubre de 2026 · Telyred

"Mi web es pequeña, a nadie le interesa atacarla." Es lo que piensa casi cualquier autónomo o pyme, y es un error. A los ataques automáticos les da igual el tamaño: recorren internet probando las mismas puertas en todas las webs que encuentran. Para comprobarlo, hemos mirado lo que ha detectado durante un mes la protección de nuestra propia web, telyred.es, que es pequeña, nueva y sin nada especial.

Las cifras de un mes

Del 2 al 30 de octubre de 2026, el sistema de protección (CrowdSec, del que hablamos más abajo) detectó y bloqueó:

Y eso que la web tenía apenas unas semanas y casi ninguna visita. No hace falta ser conocido: basta con existir.

Qué buscan

Estos fueron los tipos de ataque más frecuentes. Ninguno era "contra nosotros" en particular: son pruebas automáticas que se lanzan a millones de webs.

La lección es clara: los bots no buscan tu web, buscan el descuido. Un WordPress sin actualizar, un archivo .env a la vista, un panel de administración abierto o un programa con un fallo de hace años.

Desde dónde vienen

Quizá esperabas otra cosa, pero no son ordenadores de "hackers" en una habitación oscura. Son servidores alquilados en la nube, que se contratan en minutos y se descartan cuando los bloquean:

• Microsoft (Azure): 41 % de los ataques (1.126 intentos desde 209 direcciones distintas).
• Google Cloud: 311 intentos.
• DigitalOcean: 151 intentos.

Por países, el primero fue Estados Unidos, seguido de Corea del Sur, Australia e India. Pero el país dice poco: un atacante puede alquilar un servidor en cualquier parte del mundo. Bloquear países enteros no sirve de mucho y además puede dejar fuera a clientes reales.

Las cinco medidas que bastan

Ninguno de esos 2.716 intentos consiguió nada. No por suerte, sino por cinco medidas que cualquier pyme puede aplicar:

1. Mantén todo actualizado. Casi 500 intentos buscaban fallos de hace años. Si tu web usa WordPress o PHP, actualizar es lo más importante; lo contamos a raíz de la última vulnerabilidad crítica en PHP2Shell: cómo saber si tu web está protegida.
2. No dejes archivos sensibles en la web. Nada de .env, carpetas .git, copias de seguridad tipo web-antigua.zip o archivos de configuración en la carpeta pública.
3. No publiques los paneles de administración. La administración de la web, del router o de tus programas internos no debería estar abierta a internet. Si necesitas entrar desde fuera, mejor por una VPN, como explicamos en cómo usar el ordenador de la oficina a distancia.
4. Si usas WordPress, lo mínimo: actualizaciones automáticas, pocos plugins (y solo los que uses), contraseñas largas y la verificación en dos pasos para entrar.
5. Pon un vigilante que bloquee automáticamente. Nosotros usamos CrowdSec, gratuito y de código abierto. Analiza los registros de la web, detecta estos patrones y bloquea la dirección atacante. Además, comparte lo que detecta con su comunidad y a cambio recibe listas de direcciones peligrosas: tenemos bloqueadas de antemano unas 100.000 IPs que han atacado a otros usuarios, antes de que lleguen a nosotros.

Un truco si ya usas CrowdSec

Por defecto, CrowdSec solo guarda las alertas de los últimos 7 días y su consola web gratuita tiene un límite mensual de alertas. Si quieres estadísticas de meses, como las de este artículo, se puede ampliar el plazo en su configuración (opción db_config.flush.max_age) y verlo todo en paneles de Grafana en tu propio servidor, sin límites.

¿Lo revisamos por ti?

Revisar la seguridad de la web, los equipos y la red de la oficina es parte de nuestro mantenimiento informático para pymes y autónomos en la Comunidad de Madrid y Castilla-La Mancha. Si no sabes si tu web deja alguna de estas puertas abiertas, escríbenos y lo comprobamos.