Un hackeo puede dejar a tu empresa meses sin facturar: cómo proteger el CFDI, el sistema contable y los sellos digitales (CSD) en el Bajío

El 8 de octubre, Periódico AM publicó una advertencia para las empresas de Guanajuato: un ciberataque puede dejarlas meses sin facturar. El mismo día, El Sol de México contó que los pequeños negocios del estado saben que necesitan ciberseguridad, pero no tienen especialistas.

Juntas, las dos notas dicen algo que vemos seguido en el Bajío: el golpe más caro de un hackeo no siempre son los datos robados. Es no poder emitir una factura. Sin CFDI no cobras, y sin cobrar, la nómina del viernes se complica.

Dónde viven tu CSD y tu e.firma

El CSD (Certificado de Sello Digital) es el par de archivos .cer y .key con el que se sella cada factura. La e.firma tiene el mismo formato, pero sirve para cualquier trámite ante el SAT. Por eso pesa todavía más.

En nuestra experiencia, en muchas pymes esos archivos viven en el escritorio de la PC de la contadora, en una USB del cajón o en un correo de hace tres años. Si esa PC cae por ransomware (un programa que cifra tus archivos y pide rescate), se van con ella.

Pieza	Dónde suele estar	Dónde debería estar
CSD y e.firma	Escritorio de una PC o USB suelta	Bóveda cifrada más una copia fuera de la oficina
Acceso al portal del PAC	Un usuario compartido por todo administración	Un usuario por persona, con doble factor
Base de CONTPAQi, Aspel o ERP	Un solo servidor en la oficina	Respaldo diario, copia fuera y prueba mensual
XML emitidos y recibidos	Una carpeta en el servidor	Respaldados aparte; el SAT también los guarda

Quién entra al PAC y al sistema contable

El PAC es el Proveedor Autorizado de Certificación: la empresa que timbra tus facturas ante el SAT. Pregunta simple: ¿cuántas personas conocen el usuario y la contraseña de ese portal? Si la respuesta es “todos en administración”, hay tarea.

Lo mismo con CONTPAQi, Aspel o tu ERP. Cada quien con su usuario, permisos según su puesto y doble factor (un segundo código en el celular) donde se pueda. Cuando alguien se va, se le corta el acceso ese mismo día. Ya contamos qué pasa cuando no se hace.

Respaldos que sí regresan la contabilidad

Los XML se pueden volver a descargar del portal del SAT. La base contable, no: ahí están pólizas, conciliaciones y saldos de clientes. Si se pierde, alguien recaptura meses de trabajo.

El respaldo tiene que ser automático, diario, con una copia que el ransomware no alcance (fuera de la red o inmutable, o sea, que nadie puede borrar ni modificar) y, sobre todo, probado. Un respaldo que nunca restauraste es una esperanza, no un plan. Lo explicamos a fondo en respaldos que sí restauran.

Facturar desde otro equipo si el servidor cae

Casi todos los PAC tienen un portal web para emitir facturas desde cualquier navegador. El SAT también ofrece su servicio gratuito de facturación. Con el CSD a la mano y una laptop limpia, sigues facturando aunque el servidor esté apagado.

El truco es dejarlo probado: emite una factura de prueba desde esa laptop hoy, no el día del ataque.

Plan de 48 horas para seguir facturando

Momento	Qué hacer
Primeras 4 horas	Desconectar los equipos afectados, llamar a tu soporte TI y no pagar rescates
Hasta 12 horas	Sacar la laptop de respaldo y cambiar contraseñas del PAC y del correo
Hasta 24 horas	Emitir las facturas urgentes desde el portal del PAC o del SAT
Hasta 48 horas	Restaurar la base contable en un equipo limpio y conciliar lo facturado en el plan B

Hablemos

¿Y en tu empresa?

Tres preguntas para hoy: ¿dónde está tu CSD?, ¿cuándo restauraste la contabilidad por última vez?, ¿desde qué otra máquina facturarías mañana?

Si alguna te dejó dudando, es más común de lo que crees. En ProcessBi armamos pólizas con respaldos probados, protección de equipos y soporte en campo en León, Irapuato, Celaya y Querétaro. Empezamos con un diagnóstico sin costo.

Platícanos tu caso — respondemos el mismo día hábil.