Ciberataques a la cadena de suministro ponen en riesgo a negocios en México

Aunque el ciberataque a SolarWinds alertó al mundo sobre las vulnerabilidades de la cadena de suministro de software y las brechas en la supervisión y los procesos de seguridad de los productos, el riesgo sigue siendo muy alto pues 65 % de los líderes empresariales en el mundo atribuye a la cadena de suministro de software los recientes ciberataques. Así lo muestra el estudio «Más allá de los límites: El futuro de la ciberseguridad en el nuevo mundo laboral», realizado por Forrester Consulting a petición de Tenable.

Omar Alcalá, director de Ingeniería para Tenable América Latina y el Caribe, precisó que un ataque a la cadena de suministro, también llamado ataque a la cadena de valor o a un tercero, ocurre cuando alguien se infiltra en su sistema a través de un socio o proveedor externo con acceso a sus sistemas y datos.

En este sentido, uno de los ciberataques más sonados fue el de Target en 2013, que resultó en la pérdida de información de 110 millones de clientes, y que fue realizado cuando los hackers lograron acceso a su red a través de un contratista de refrigeración. Otro impactante caso fue el de SolarWinds, cuyo software de administración remoto Orion se vio comprometido en 2020, impactando al Departamento del Tesoro de los Estados Unidos, los Departamentos de Seguridad Nacional, Comercio, Defensa y Energía, y la Administración Nacional de Seguridad Nuclear. Investigaciones calculan que alrededor de 18.000 clientes descargaron el código malicioso.

En 2021, el ciberataque de ransomware a Kaseya afectó a más de 1.500 empresas de todo el mundo y Microsoft reveló que 140 revendedores de software fueron blanco de ataques. Recientemente, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) de Estados Unidos emitió una advertencia de que las aplicaciones y los sistemas obsoletos son el objetivo de la mayoría de los ataques de ransomware y la Casa Blanca también emitió un llamamiento a los líderes empresariales enumerando las acciones recomendadas para protegerse mejor.

«En este tipo de ataque es importante destacar que la víctima inicial no es el único objetivo del atacante, solo es el trampolín para poder avanzar hacia el objetivo final», comentó Alcalá.

En el caso específico de México, el citado estudio de Forrester resaltó que 96 % de las organizaciones mexicanas experimentó un ciberataque con impacto en el negocio en el último año, y 81 % enfrentó cuatro o más ataques. De entre estos últimos, 6 de cada 10 manifestó haber sufrido un ataque que involucró software de terceros comprometido.

Adicionalmente, la contingencia sanitaria ha contribuido al aumento de los ciberataques en la cadena de suministro. El estudio destacó que el 61 % de los líderes de seguridad que ampliaron las cadenas de suministro de software de sus organizaciones como resultado de la pandemia informaron de una elevada exposición al riesgo a través de estos proveedores externos. Cuando se les preguntó por la importancia de tener una mayor visibilidad de los proveedores de software de su organización, el 46 % consideró que era significativamente importante

A fin de evitar que los ciberataques a la cadena de suministro sigan creciendo, el director de Ingeniería para Tenable América Latina y el Caribe recomendó a las organizaciones revisar cómo los terceros acceden a sus datos confidenciales para asegurarse de que solo las personas adecuadas puedan ingresar a esta información y únicamente para fines aprobados, además de contar con procesos para mantener dicha información lo más controlada posible.

También, será indispensable una estrategia en la identificación de activos para conocer lo que se encuentra en la infraestructura, además de mantener la gestión de riesgos de terceros y desarrollar un proceso de respuesta a incidentes que incluya en su proceso de evaluación a la cadena de suministro.  

«Los ataques a la cadena de suministro se están extendiendo y creciendo en frecuencia y sofisticación. Las empresas deben prestar mayor atención al riesgo de terceros, así como comprender dónde están los riesgos dentro de su ecosistema digital. El riesgo que este tipo de ataques representa podrían convertirse en una de las mayores ciberamenazas en los próximos años», finalizó Alcalá.