CONTPAQi, Aspel y otros sistemas contables: cómo los afectan los ataques y cómo proteger tu contabilidad

Muchos contadores y empresas se preguntan si su sistema contable puede ser atacado. Revisamos las bases oficiales de vulnerabilidades, los avisos de los fabricantes y los informes de seguridad. No encontramos incidentes confirmados contra CONTPAQi, Aspel o Microsip. Pero eso no significa que sean invulnerables: los ataques documentados no entran por el programa contable, sino por lo que tiene debajo y alrededor: la base de datos, Windows, el acceso al servidor y el correo con facturas falsas.

Lo que encontramos sobre los propios sistemas

• CONTPAQi, Siigo Aspel (COI, SAE, NOI), Microsip, Alegra, Bind ERP y Contalink: no encontramos vulnerabilidades registradas a su nombre en la base oficial NVD ni incidentes confirmados por los fabricantes.
• SAP Business One y Odoo: sí tienen vulnerabilidades registradas; por ejemplo, una en un módulo de SAP Business One que permite a un usuario autenticado leer o modificar datos de la base (NVD) y otra en Odoo que permite exportar los tokens de acceso de otros usuarios (NVD). Ninguna aparece en el catálogo de CISA de vulnerabilidades explotadas.
• Suplantación: Siigo Aspel publica alertas de correos falsos que se hacen pasar por la empresa y la lista de sus dominios oficiales (Siigo). Un socio de CONTPAQi difundió una alerta de correos fraudulentos que usaban un dominio parecido, cambiando la “i” por una “j” (Assesor).

Que no haya registro público no significa que no haya riesgo. Significa que hay que mirar las capas donde sí está documentado.

1. La base de datos

Cada sistema guarda tu contabilidad en un motor de base de datos, según su documentación oficial:

Lo que dicen los fabricantes de esas bases:

• Firebird advierte que su contraseña de administrador de fábrica, “masterkey”, es conocida por todos, y pide cambiarla de inmediato si el servidor está expuesto a internet o incluso a la red local (Firebird). Vale la pena revisar si tu instalación todavía la conserva. Además, el proyecto Firebird dejó de mantener la versión 2.5 en 2019 (Firebird); si tu sistema la usa, pregunta a tu distribuidor por la migración.
• Microsoft advierte que la cuenta de administrador “sa” de SQL Server es muy conocida y blanco frecuente de atacantes: recomienda no habilitarla si no hace falta y nunca dejarla con una contraseña débil (Microsoft). También pide no conectar SQL Server directamente a internet y guardar los respaldos fuera del sitio (Microsoft).
• Odoo pide cambiar su contraseña maestra, que de fábrica es “admin”, si el gestor de bases de datos queda accesible (Odoo).

Un ataque documentado: el ransomware Mallox, también llamado TargetCompany, entra por servidores SQL Server mal protegidos probando contraseñas comunes (Unit 42), y en casos analizados los atacantes entraron con la cuenta “sa” (AhnLab).

2. El sistema operativo

Todos estos sistemas, salvo los que funcionan en la nube, corren sobre Windows. Si Windows o SQL Server ya no reciben parches, cada falla nueva queda abierta.

• Windows 10 dejó de recibir actualizaciones de seguridad el 14 de octubre de 2025 (Microsoft). Aun así, representaba el 27.72 % del Windows de escritorio en México en septiembre de 2026, según StatCounter, que mide visitas a sitios web, no inventarios de empresas (StatCounter).
• Windows Server 2012 dejó de recibir actualizaciones en octubre de 2023 (Microsoft) y Windows Server 2016 deja de recibirlas en enero de 2027 (Microsoft). Algunos programas siguen funcionando en esas versiones, pero que un sistema funcione no significa que siga protegido.
• SQL Server también tiene fecha de caducidad (Microsoft). El propio CONTPAQi advierte que, desde el fin de soporte de SQL Server 2012, “ya no existen actualizaciones de seguridad críticas” para esa versión (CONTPAQi).

3. El acceso al servidor

Muchos despachos entran a su servidor contable con el escritorio remoto de Windows y comparten la información en carpetas de red. La guía contra ransomware de CISA es directa: no expongas el escritorio remoto a internet (CISA). En su catálogo de vulnerabilidades explotadas en la vida real hay fallas del escritorio remoto y de las carpetas compartidas de Windows, algunas usadas en campañas de ransomware (CISA). Lo explicamos a detalle en servidor Windows y Active Directory: cómo protegerlos del ransomware.

4. El correo con facturas falsas

Para un contador, un correo con una factura es rutina, y los atacantes lo saben:

• El SAT lo dice textualmente: “En el SAT no distribuimos software, ni solicitamos ejecutar, guardar o descargar archivos” por correo (SAT).
• La PRODECON alertó de supuestos proveedores que envían facturas en archivos que, al descargarse, activan virus o roban datos, y recomienda verificar la factura en el portal del SAT (PRODECON).
• Kaspersky documentó correos del troyano bancario Grandoreiro que se hacían pasar por comunicaciones de facturas electrónicas mexicanas (Kaspersky).
• ESET reporta que México concentró el 24.48 % de las detecciones de troyanos bancarios en Latinoamérica, distribuidos por correo e instaladores falsos (ESET).

Si un ataque destruye tu contabilidad

Lo que pide la ley. El Código Fiscal de la Federación obliga a conservar la contabilidad a disposición de la autoridad, como regla general durante cinco años contados desde que se presentaron o debieron presentarse las declaraciones relacionadas, y exige llevar sus registros en medios electrónicos (artículos 28 y 30). Si la contabilidad se destruye, se pierde o es robada, el artículo 35 del Reglamento del Código Fiscal pide asentar en los nuevos registros los asientos del ejercicio en que ocurrió y conservar el documento público en el que consten los hechos (Reglamento del CFF). En otras palabras: hay que reconstruirla. Revisa con tu contador qué aplica a tu caso.

Lo que puedes recuperar del SAT: tus facturas electrónicas, emitidas y recibidas, con el servicio de descarga masiva, que requiere tu e.firma (SAT). Por el servicio web permite hasta 200 mil XML por solicitud (SAT).

El resto del detalle de tu contabilidad depende de tus respaldos. Reconstruir a partir de los XML del SAT es posible, pero toma tiempo; un respaldo probado lo evita. CONTPAQi recomienda respaldar “de manera periódica y constante” (CONTPAQi), y si el respaldo vive en el mismo servidor que ataca el ransomware, se pierde junto con todo lo demás.

Lo que conviene revisar hoy

1. Cambia la contraseña de fábrica de tu base de datos (“masterkey” del usuario SYSDBA en Firebird, “admin” en Odoo), coordinándolo con tu distribuidor.
2. Deshabilita la cuenta “sa” de SQL Server si tu sistema no la necesita; si la necesita, que tenga una contraseña larga y única.
3. No dejes la base de datos ni el escritorio remoto accesibles desde internet.
4. Actualiza Windows y SQL Server a versiones que sigan recibiendo parches.
5. Pregunta a tu distribuidor cuándo puedes migrar de Firebird 2.5 a una versión con soporte.
6. Ten un respaldo fuera del servidor, que no se pueda borrar, que incluya los XML y documentos digitales, y prueba que se restaura.
7. Instala una protección que detecte comportamientos de ataque en el servidor y en cada computadora.
8. Verifica las facturas en el portal del SAT antes de abrir adjuntos.
9. Descarga el sistema y sus actualizaciones solo del sitio oficial del fabricante o de tu distribuidor.
10. Activa la verificación en dos pasos en el correo.
11. Ten tu e.firma vigente y guardada en un lugar seguro: la necesitas para recuperar tus facturas del SAT.

Si tienes un despacho, lo explicamos para tu caso en ciberseguridad para despachos contables. Protegemos el servidor de tu sistema contable con servidores protegidos y respaldo administrado. Para saber cómo estás, empieza por el diagnóstico sin costo.

Fuentes consultadas en octubre de 2026.

Preguntas frecuentes