Ataques a la cadena de suministro: el vector que más creció en el último año
Toda organización opera dentro de un ecosistema de terceros: proveedores de software, plataformas de desarrollo, servicios en la nube, herramientas de colaboración. Cada uno de esos vínculos representa una relación de confianza implícita. Y esa confianza, precisamente, es lo que los atacantes explotan.
Un ataque a la cadena de suministro no apunta directamente a la organización objetivo. Apunta a quien tiene acceso legítimo a ella: un proveedor de software, una librería de código abierto, una herramienta de actualización. Los atacantes eligen el camino de menor resistencia, apuntando al eslabón más débil de un ecosistema de sistemas y software interconectados, con la capacidad de infiltrar múltiples organizaciones a través de un único punto de compromiso.
Los números que definen el momento
Crecimiento del vector 2021-2025
Los compromisos de terceros y la cadena de suministro duplicaron su prevalencia año contra año, superando incluso a las credenciales robadas o comprometidas como vector de entrada, según Gartner.
Desde el punto de vista financiero, las cifras son igualmente significativas. El costo promedio global de una brecha de datos es de $4.44 millones según el IBM Cost of a Data Breach Report 2025, mientras que en Estados Unidos esa cifra llega a un récord de $10.22 millones.
2025: el año en que se duplicaron
Los ataques cibernéticos con implicaciones en la cadena de suministro han promediado 26 incidentes por mes desde abril de 2025, el doble de la tasa registrada entre principios de 2024 y marzo de 2025.
En los primeros cinco meses de 2025, los ataques a la cadena de suministro afectaron 22 de los 24 sectores monitoreados por Cyble. Solo las industrias minera e inmobiliaria permanecieron fuera del radar. De los 79 incidentes documentados, 50 (el 63%) apuntaron directamente a empresas de TI, tecnología y telecomunicaciones.
Entre los países más afectados, Estados Unidos fue objetivo en 31 de los 79 incidentes. En Europa, Francia registró el mayor número de ataques con 10 incidentes. En Asia-Pacífico, India y Taiwán lideraron como objetivos regionales.
Por qué este vector se volvió tan atractivo
Ecosistema inmenso
+1,300% crecimiento de amenazas en repositorios open source. Más de 704,000 paquetes maliciosos desde 2019. La mayoría de organizaciones no tiene visibilidad completa.
Confianza estructural
Los proveedores necesitan acceso. Los pipelines CI/CD requieren conectividad. Las actualizaciones automáticas son recomendadas. Cada necesidad legítima crea superficie de ataque.
Impacto multiplicado
Un proveedor con 500 clientes = 500 ataques simultáneos. Un grupo ransomware obtuvo datos de 41,000 clientes comprometiendo una sola compañía.
IA ofensiva
16% de brechas en 2025 involucraron IA. Deepfakes convincentes y campañas de phishing sofisticadas generadas automáticamente.
Casos que marcaron el año
El proveedor de RR.HH. sueco y 200 municipios
Un ataque de ransomware a un proveedor de software de recursos humanos sueco impactó aproximadamente a 200 municipios suecos, junto con múltiples administraciones regionales, universidades y corporaciones. El ataque interrumpió una plataforma que gestiona datos críticos de empleados, incluyendo certificados médicos, planes de rehabilitación y registros de lesiones laborales. Un solo proveedor comprometido, cientos de organizaciones afectadas.
Notepad++ y actores estatales
Los servidores de actualización de Notepad++ fueron comprometidos entre junio y diciembre de 2025 por un grupo vinculado a un estado-nación chino, quienes secuestraron el mecanismo de actualización de una herramienta utilizada por millones de desarrolladores.
SafePay y 3.5TB de datos
El grupo de ransomware SafePay reivindicó un ataque a un importante proveedor global de servicios tecnológicos y de cadena de suministro, alegando el robo de 3.5 terabytes de datos. La interrupción operativa resultante afectó sistemas clave de distribución, licenciamiento, transacciones e infraestructura de APIs.
La brecha de preparación
A pesar de las advertencias claras de Gartner y otros analistas, solo 1 de cada 3 organizaciones se siente preparada para protegerse de las amenazas a la cadena de suministro de software, según el Ivanti 2025 State of Cybersecurity Report.
"Gestionar el riesgo de la cadena de suministro sigue siendo uno de los mayores problemas para los CISOs — la mayor área de riesgo no gestionado o difícil de gestionar."
— Philip Reitinger, presidente del Global Cyber Alliance y ex-CISO de SONY
Esta brecha entre el nivel de amenaza y el nivel de preparación es precisamente lo que hace que este vector siga siendo tan productivo para los atacantes.
Cómo reducir la exposición
No existe una solución que garantice inmunidad total, pero hay prácticas que reducen significativamente la exposición:
Inventario de dependencias de software (SBOM). Un Software Bill of Materials es la base para saber qué hay en tu stack y qué necesita ser monitoreado. Sin visibilidad, no hay defensa posible.
Seguridad en el pipeline CI/CD. El lugar más efectivo para controlar los riesgos de la cadena de suministro es el proceso de integración y desarrollo continuo. Revisar cuidadosamente a los proveedores y requerir controles de seguridad sólidos en los contratos son medidas esenciales.
Monitoreo continuo de terceros. La evaluación de riesgos de proveedores no puede ser un proceso anual. Requiere revisión continua, especialmente cuando hay cambios en los equipos o en las plataformas de un proveedor.
Zero Trust hacia terceros. El hecho de que un proveedor sea de confianza no significa que su software o sus credenciales deban tener acceso irrestricto. Aplicar el principio de mínimo privilegio también a las integraciones externas es una práctica fundamental.
El objetivo estratégico debe ser la resiliencia: la capacidad de detectar, resistir y recuperarse rápidamente de un compromiso con el mínimo impacto en el negocio. La prevención al 100% no es posible, pero la preparación y la respuesta rápida marcan la diferencia entre un incidente contenido y una crisis que paraliza la operación.
© Copyright: Natalia Jaimes
.png)
Comentarios
Publicar un comentario