En un mundo cada vez más interconectado, la seguridad en la cadena de suministro se ha convertido en una preocupación central para las organizaciones que dependen de proveedores externos para productos, sistemas y/o servicios. Conscientes de esta realidad, el Centro Nacional de Ciberseguridad del Reino Unido ha desarrollado una guía que detalla 4 etapas clave y 12 principios fundamentales para ayudar a las organizaciones a mantener el control y proteger su cadena de suministro.
Esta guía está diseñada para ofrecer a los profesionales de la informática y responsables de ciberseguridad, las herramientas y conocimientos necesarios para identificar, evaluar y mitigar los riesgos asociados con sus proveedores.
Ejemplos de Ciberataques e Incidentes debido a vulnerabilidades en la cadena de suministro
- Ataque a Target (2013): Los atacantes accedieron a la red de Target a través de un proveedor de servicios de HVAC (calefacción, ventilación y aire acondicionado). Utilizando las credenciales del proveedor, los atacantes instalaron malware en los sistemas de punto de venta de Target, lo que resultó en el robo de información de tarjetas de crédito de millones de clientes.
- Ataque a NotPetya (2017): El malware NotPetya se propagó a través de una actualización de software comprometida de un proveedor externo ucraniano llamado MeDoc. Este ataque afectó a empresas globales como Maersk, Merck y FedEx, causando miles de millones de dólares en daños.
- Ataque a SolarWinds (2020): Uno de los ciberataques más bullados ocurrió cuando hackers comprometieron la cadena de suministro de SolarWinds, una empresa de software de gestión de TI. Los atacantes infiltraron malware en una actualización de software, lo que permitió comprometer a varias agencias gubernamentales y grandes corporaciones en todo el mundo.
- Ataque a Polyfill (2024): En este último caso, una empresa china adquirió el proyecto Polyfill JS, un código abierto popular que soporta navegadores antiguos, y posteriormente inyectó malware en más de 100,000 sitios web. Los usuarios afectados incluían a JSTOR, Intuit y el Foro Económico Mundial. Este malware dirigía a usuarios móviles a un sitio de apuestas deportivas utilizando un dominio falso de Google Analytics. El incidente destaca la vulnerabilidad de depender de bibliotecas de código abierto y la importancia de monitorear continuamente el código que se utiliza en los sitios web.
- Brecha masiva de seguridad en Snowflake (2024): cronología del ataque que afectó a Banco Santander y TicketMaster entre otros: Actores de amenaza utilizaron credenciales válidas o filtradas para acceder a datos masivos de distintas empresas desde los servidores de Snowflake. En parte, el acceso no autorizado se logró debido a que el portal de clientes de Snowflake no tenia implementada la autenticación multifactor.
- Actualización de CrowdStrike (2024): El 19 de julio el proveedor de ciberseguridad CrowdStrike realizó una actualización defectuosa del sensor Falcon, lo que causó errores generalizados de pantalla azul (BSOD) en sistemas Windows a nivel global. Se estima que más de 500 empresas en sectores como aerolíneas, bancos y medios de comunicación fueron afectadas, impactando a un estimado de 8.5 millones de equipos en todo el mundo.
Tipos de ataques a la cadena de suministro
- Proveedores de Software Externos: El grupo Dragonfly consiguió «troyanizar» software legítimo de sistemas de control industrial (ICS). Para ello, primero comprometieron los sitios web de los proveedores de software ICS y sustituyeron los archivos legítimos de sus repositorios por sus propias versiones infectadas con malware. Posteriormente, cuando el software ICS se descargaba de los sitios web de los proveedores, se instalaba el malware junto con el software ICS legítimo. El malware incluía funciones adicionales de acceso remoto que podían utilizarse para tomar el control de los sistemas en los que estaba instalado.
- Agencias de Desarrollo Web: Los operadores del troyano bancario Shylock, comprometieron agencias digitales de desarrollo web para infectar las librerías y plantillas utilizadas. Emplearon un script de redirección que enviaba a las víctimas a un dominio malicioso propiedad de los autores de Shylock. Desde allí, el malware Shylock se descargaba e instalaba en los sistemas de quienes navegaban por sitios web legítimos.
- Almacenes de Datos Externos: Muchas empresas modernas externalizan sus datos a terceros que agregan, almacenan, procesan e intermedian la información, a veces en nombre de clientes que compiten directamente entre sí. En septiembre de 2013, se observó una red de bots que exfiltraba información de los sistemas internos de numerosos almacenes de datos a través de un canal cifrado.
- Watering Hole Attacks: Un ataque watering hole consiste en identificar un sitio web frecuentado por usuarios de una organización determinada, o incluso de todo un sector, como defensa, gobierno o sanidad. A continuación, se compromete ese sitio web para permitir la distribución de malware.
Medidas de seguridad:
1. Conocer los Riesgos
1.1. Identificar y valorar información y activos críticos: Es esencial que las organizaciones identifiquen qué información y activos son críticos para su operación y cómo estos son gestionados por los proveedores. Este conocimiento permite priorizar y proteger adecuadamente estos recursos frente a posibles amenazas.
1.2. Evaluar la seguridad de los proveedores: Las organizaciones deben evaluar la seguridad de los proveedores, investigando sus políticas, procedimientos y prácticas de seguridad. Esta evaluación ayuda a determinar la capacidad del proveedor para proteger los activos críticos y gestionar los riesgos de manera eficaz.
1.3. Evaluar riesgos en la cadena de suministro: Realizar una evaluación de los riesgos en la cadena de suministro permite identificar posibles amenazas y vulnerabilidades que podrían afectar la seguridad de la información y los servicios proporcionados. Esta evaluación debe ser exhaustiva y continua, adaptándose a los cambios en el entorno de amenazas.
2. Establecer Control
2.1. Comunicar necesidades de seguridad a los proveedores: Es crucial que las organizaciones comuniquen claramente sus requisitos de seguridad a los proveedores. Esto incluye la especificación de estándares y expectativas de seguridad que los proveedores deben cumplir para proteger los activos críticos.
2.2. Establecer requisitos mínimos de seguridad: Las organizaciones deben definir y documentar los requisitos mínimos de seguridad que los proveedores deben cumplir. Estos requisitos deben ser claros, justificados y revisados periódicamente para asegurar su relevancia y eficacia.
2.3. Incorporar consideraciones de seguridad en procesos contractuales: Durante el proceso de contratación, es fundamental asegurar que los proveedores puedan cumplir con los requisitos de seguridad establecidos. Los contratos deben incluir cláusulas específicas que obliguen a los proveedores a mantener altos estándares de seguridad y permitan auditorías regulares.
2.4. Cumple con tus responsabilidades de seguridad como proveedor y consumidor: Asegúrate de cumplir y hacer cumplir cualquier requisito que tengas como proveedor. Proporciona informes ascendentes y transmite los requisitos de seguridad a los subcontratistas. Indica a tus clientes si no proporcionan orientación sobre sus necesidades de seguridad y busca asegurarte de que estén satisfechos con las medidas que estás tomando.
2.5. Aumentar la concienciación sobre seguridad en tu cadena de suministro: Explica los riesgos de seguridad a tus proveedores usando un lenguaje que puedan entender. Busca asegurar que el personal clave (por ejemplo, compras, seguridad, marketing) esté capacitado y comprenda estos riesgos, así como sus responsabilidades para ayudar a gestionarlos.
2.6. Proporcionar soporte para incidentes de seguridad: Es razonable esperar que tus proveedores gestionen los riesgos de seguridad según el contrato, pero debes estar preparado para brindar apoyo y asistencia cuando los incidentes de seguridad puedan afectar tu negocio o la cadena de suministro en general.
3. Validar medidas preventivas
3.1. Incorporar actividades que generen confianza: Es esencial incorporar actividades de garantía y confianza, como auditorías y reportes regulares, para monitorear y verificar el desempeño de seguridad de los proveedores. Estas actividades ayudan a identificar y corregir posibles debilidades y a asegurar el cumplimiento de los estándares de seguridad.
4. Mejora Continua
4.1. Fomentar la mejora continua: Las organizaciones deben proveer asesoría y apoyo continuo a los proveedores para mejorar sus prácticas de seguridad. Esto puede incluir la oferta de formación, recursos y herramientas que ayuden a los proveedores a fortalecer sus controles de seguridad.
4.2. Construir confianza con proveedores: Establecer relaciones estratégicas y mantener comunicaciones continuas con los proveedores es esencial para construir confianza y fomentar la colaboración en la mejora de la seguridad. Las organizaciones deben trabajar conjuntamente con los proveedores para identificar y mitigar riesgos de manera proactiva.
Implementar estos principios no solo fortalece la seguridad de la cadena de suministro, sino que también mejora la resiliencia general de la organización frente a las amenazas cibernéticas. En CronUp, nos dedicamos a proteger a nuestros clientes aplicando las mejores prácticas y tecnologías avanzadas en ciberseguridad. A medida que las amenazas evolucionan, nosotros también lo hacemos, asegurando que nuestros clientes puedan operar con confianza y seguridad en el entorno digital.
Referencias
- https://www.ncsc.gov.uk/collection/supply-chain-security/principles-supply-chain-security
- https://www.ncsc.gov.uk/collection/supply-chain-security/supply-chain-attack-examples
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
