Durante un periodo de apenas tres semanas, tres importantes entidades internacionales (Ingram Micro, United Natural Foods Inc. (UNFI) y McDonald's) sufrieron ataques cibernéticos con repercusiones considerables. Lo que más preocupó no fue la complejidad de las amenazas, sino que los errores que las causaron eran totalmente prevenibles, tales como: contraseñas predefinidas, sistemas no actualizados, ausencia de segmentación... en resumen, una deficiente gestión de riesgos de ciberseguridad.
Estos casos constituyen un llamado de atención, no únicamente para los departamentos de Tecnología de la Información, sino para toda la estructura corporativa. Ya no se puede considerar la ciberseguridad como una función independiente o técnica, sino como una prioridad de la organización que impacta en la continuidad del negocio, la confianza de los clientes y la reputación a nivel internacional.
Una de las mayores empresas de distribución tecnológica a nivel mundial experimentó un ataque de ransomware que paralizó su portal de pedidos, las comunicaciones internas y los sistemas de telefonía. La operación se vio paralizada se tardaron varios días en restablecer por completo las actividades.
UNFI, proveedor principal de Whole Foods, también fue víctima de un ciberataque similar. La logística alimentaria se vio comprometida, con retrasos y pérdidas por productos no entregados a tiempo, generando un fuerte impacto financiero y reputacional.
En este caso, la brecha no interrumpió las operaciones, pero sí generó un escándalo. Se filtraron datos de aproximadamente 64 millones de candidatos que habían postulado empleos en la cadena, debido a una API expuesta y una contraseña predeterminada que nunca fue modificada.
A primera impresión, parecen incidentes diferentes, sin embargo, si se examinan en profundidad, descubren una causa común que es una deficiente gestión de riesgos de ciberseguridad. En otras palabras, la incapacidad para prever, analizar y minimizar amenazas que ya se han documentado ampliamente.
Puntos comunes:
Lo más alarmante es que estas entidades no son pequeñas ni emergentes, sino que gestionan grandes equipos de tecnología de la información y clientes a nivel mundial. Sin embargo, ni el tamaño ni la experiencia garantizaban la protección frente al descuido.
Una ciberseguridad fuerte se inicia con acciones primordiales que no deben ignorarse. Se incluyen entre las más relevantes la eliminación de credenciales predefinidas, como "admin123", la implementación de la autenticación multifactor (MFA) para accesos delicados, la actualización constante del software y los sistemas, la segmentación de las redes internas para prevenir la propagación de un fallo, y la realización regular de pruebas de penetración para identificar vulnerabilidades antes de que los atacantes las descubran.
En cambio, la concientización del personal es necesario y, para esto, hay que formarlos de manera regular en temas de amenazas como el phishing, llevar a cabo simulacros reales, definir protocolos precisos en situaciones de incidentes, distribuir boletines informativos y recompensar la identificación de riesgos. No olvidemos que muchos ataques inician con un sencillo clic, por lo tanto, es necesario invertir en el recurso humano para una efectiva gestión de riesgos de ciberseguridad.
Estas tres brechas no fueron hechos aislados y aquí se presentan otros casos:
Todos estos incidentes podrían haberse mitigado o evitado con una gestión de riesgos de ciberseguridad más segura. Además, uno de los motivos más habituales de las brechas de seguridad es la exigencia de incorporar tecnologías o funcionalidades novedosas sin llevar a cabo revisiones y pruebas apropiadas.
Es evidente que muchas compañías anteponen la rapidez de lanzamiento a la seguridad, lo que conduce a vulnerabilidades críticas, tal como sucedió con McDonald's, donde una API sin resguardar y una contraseña sin modificar dejaron en riesgo millones de datos.
La respuesta no radica en obstaculizar la innovación, sino en acogerla con disciplina, incluyendo la seguridad desde el comienzo como un componente del proceso.
Finalmente, las brechas recientes nos recuerdan que ninguna empresa, por grande que sea, está libre del peligro, pero también nos enseñan que muchas de esas brechas se pueden evitar si se aplica correctamente la gestión de riesgos de ciberseguridad. En otras palabras, el verdadero enfoque no debe centrarse en comprar la herramienta más cara, ni en tener el equipo más grande, sino en implementar buenas prácticas, fomentar una cultura de seguridad y no dejar nada al azar.
En Never Off Technology, estamos convencidos de que la transformación digital solo es efectiva si va de la mano de una estrategia sólida de protección cibernética. Nuestro compromiso es fomentar una cultura de seguridad integral que no solo minimice los riesgos, sino que también construya confianza, continuidad y resiliencia en cada proceso empresarial.
.png)
