No importa cuán robusta sea la tecnología de un proveedor. Si un interno falla, toda la cadena cae con él.

Un riesgo que se expande: ransomware, insiders y ataques masivos a proveedores

Lo más inquietante de este caso no es el acceso obtenido, sino la escala del problema.

Los grupos implicados han evolucionado hacia una operación más agresiva, adoptando incluso un nuevo modelo de ransomware-as-a-service llamado ShinySp1d3r, y ejecutando extensas campañas de extorsión apoyadas en robo de datos, brechas en aplicaciones empresariales y abuso de credenciales.

La lista de víctimas recientes es un catálogo del sector corporativo global:

• Google
• Cisco
• Toyota
• Allianz Life
• FedEx
• Disney/Hulu
• Marriott
• McDonald’s
• UPS
• Home Depot
• Salesforce (con cientos de instancias afectadas, según las propias declaraciones del grupo)
• Clientes y marcas de lujo de LVMH (Dior, Louis Vuitton, Tiffany & Co.)
• LinkedIn, GitLab, Atlassian, Thomson Reuters
• DocuSign, SonicWall, Malwarebytes

Además, el colectivo criminal se adjudicó la responsabilidad del ataque a Jaguar Land Rover (JLR), robando información sensible y generando una disrupción significativa de sus operaciones, con impactos económicos superiores a £196 millones en un solo trimestre.

El mensaje es claro: los proveedores globales también fallan. Y cuando fallan, arrastran a toda su cadena de clientes.

Para directores y gerencias: el verdadero riesgo está fuera de su empresa

La mayoría de los directorios y gerencias miran la ciberseguridad como algo “interno”: políticas, capacitaciones, antivirus, firewalls, controles de acceso y cumplimiento normativo.

Pero este incidente nos recuerda algo fundamental:

La seguridad ya no depende solo de lo que tu empresa hace, sino de lo que hacen —o dejan de hacer— tus proveedores.

Especialmente si la organización depende de:

• Plataformas cloud y servicios de infraestructura
• Sistemas de autenticación y gestión de identidades
• CRM y herramientas como Salesforce
• Proveedores de telecomunicaciones y redes
• Plataformas SaaS críticas para la operación diaria
• Empresas de ciberseguridad y servicios gestionados (MSP/MSSP)
• Consultoras externas con acceso a datos o sistemas internos

En otras palabras, la superficie de riesgo ya no es solo tu compañía. Es toda tu cadena de suministros.

El desafío de las OIV: dependencia crítica y exposición multiplicada

Para las empresas OIV (Operadores de Infraestructura Vital), esta situación es todavía más grave.

Estas organizaciones:

• Dependen de proveedores altamente especializados
• Manejan servicios esenciales para el país
• Están sujetas a obligaciones regulatorias estrictas
• Deben asegurar continuidad operativa en todo momento

Sin embargo, en la práctica muchas veces:

• No evalúan los riesgos de terceros con suficiente rigurosidad.
• No exigen controles mínimos de ciberseguridad documentados.
• No verifican mecanismos de autenticación, accesos ni políticas internas de sus proveedores.
• No solicitan evidencia real de cumplimiento (ISO 27001, NIST, SOC 2, etc.).
• No cuentan con un modelo sistemático de evaluación de proveedores críticos.

Es aquí donde el incidente de CrowdStrike se vuelve especialmente pertinente para el mundo OIV:

No importa si tu empresa cumple todo. Si tu proveedor falla, tu operación también colapsa.

Reflexión para directorios: la cultura de ciberseguridad debe escalar a toda la cadena

Este incidente invita a un cambio de paradigma en los niveles directivos. No basta con “tener cultura de ciberseguridad” dentro de la organización; hay que extenderla a todos los eslabones relevantes de la cadena de valor.

1. La cultura de ciberseguridad ya no es solo interna

Debe abarcar proveedores, partners, integradores y cualquier empresa que tenga acceso a:

• Datos sensibles o personales
• Sistemas internos o APIs
• Credenciales y mecanismos de autenticación
• Infraestructura crítica o ambientes de producción
• Soporte remoto o administración de servicios

2. La confianza no reemplaza el control

Confiar en un proveedor estratégico no es suficiente. La validación continua debe ser parte del ciclo de gestión, con revisiones periódicas, evidencia documentada y métricas claras de riesgo.

3. Exigir estándares mínimos a terceros

Especialmente si la empresa es OIV o maneja información crítica, se deben exigir como mínimo:

• Autenticación multifactor (MFA) obligatoria para accesos sensibles.
• Registro y monitoreo de accesos con alertas ante anomalías.
• Políticas claras de gestión de credenciales y privilegios.
• Certificaciones y controles de seguridad (ISO 27001, SOC 2, NIST).
• Cláusulas contractuales específicas de ciberseguridad y notificación de incidentes.
• Evaluación de terceros al menos una vez al año.
• Programas de concientización y formación obligatorios para personal con accesos críticos.
• Evidencia de planes de respuesta a incidentes y continuidad operacional.

4. Las obligaciones regulatorias están cambiando

A nivel global, las multas, sanciones y responsabilidades por fallas en terceros están aumentando. No solo se analiza qué hizo la empresa afectada, sino también qué tan diligente fue en la gestión de sus proveedores.

La pregunta estratégica ya no es: “¿Está segura mi empresa?”
Sino: “¿Están seguros quienes trabajan PARA mi empresa?”

Conclusión: los directores deben gobernar la ciberseguridad, no solo observarla

El incidente de CrowdStrike nos deja una reflexión dura pero necesaria:

Las empresas ya no pueden delegar la ciberseguridad. Tampoco pueden delegar la seguridad de sus proveedores.

Hoy, el directorio y la alta gerencia deben:

• Exigir
• Validar
• Medir
• Auditar
• Supervisar

No solo su propia organización, sino toda la cadena de suministros, especialmente si operan como empresas OIV o prestan servicios críticos.

La ciberseguridad ya no es un “tema técnico” ni un departamento aislado: es un pilar de continuidad del negocio. Y la continuidad, en un mundo hiperconectado, depende directamente de la solidez de terceros.

En un contexto donde los grupos criminales evolucionan, se organizan y atacan de forma masiva a proveedores globales, el liderazgo directivo debe evolucionar también.
La pregunta ya no es si el riesgo existe, sino qué tan preparados estamos —como directorio y como cadena de suministros— para enfrentarlo.