Mayo no fue un buen mes para el ciudadano letón Deniss Zolotarjovs. El Departamento de Justicia de los Estados Unidos Aseguradas Una condena de 102 meses en su contra por su papel en la banda rusa de ransomware Karakurt.
El caso reveló que miembros de Karakurt habían estado utilizando bases de datos del gobierno ruso para intimidar a empresas víctimas y seleccionar a sus propios reclutas. Esta red criminal también había interrumpido los servicios de emergencia 911 de Estados Unidos y extorsionado al menos 15 millones de dólares a más de 54 empresas víctimas.
Esta organización criminal es un ejemplo de un problema creciente que los equipos de seguridad corporativa no pueden resolver de forma aislada. La planificación de la resiliencia que aún trata la amenaza como un problema del departamento de TI implica planificar para el adversario equivocado y subestimar el alcance del problema.
Quién está involucrado
Las compañías deben cambiar el perfil del actor para el que han estado elaborando planes de continuidad. Estos grupos no solo operan internacionalmente; operar con la cooperación del Estado.
En 2024, el Departamento del Tesoro de Estados Unidos ya había sancionado al grupo de ransomware Trickbot por supuestos vínculos con la inteligencia rusa. Trickbot dio origen a otros grupos, como Conti, que a su vez propició la creación de Karakurt. Por lo tanto, las sanciones contra los líderes de Trickbot repercuten indirectamente en Karakurt.
La fiscalía de mayo transformó lo que se había calificado de tolerancia estatal pasiva en evidencia de apoyo operativo directo. Karakurt pagó sobornos para eximir a miembros del servicio militar obligatorio ruso y canalizó la corrupción dentro del aparato estatal para mantener su funcionamiento.
Para las organizaciones con sede en jurisdicciones que Moscú considera adversarias, la consecuencia práctica es que el actor que representa la amenaza al otro lado de la mesa se comporta menos como el crimen organizado y más como un instrumento cuasi contractual de la política estatal.
donde comienza
Mejorar la resistencia al ransomware también implica reconsiderar dónde comienza realmente la brecha. Análisis de Security Scorecard de 2025 de 1,000 brechas. fundada que el 41.4% de los ataques de ransomware ahora comienzan a través del acceso de terceros mediante vulnerabilidades de los proveedores, y que el 35.5% de todas las brechas de seguridad en 2024 tuvieron un componente de terceros.
La respuesta europea considera que el perímetro corporativo termina con el proveedor contratado más débil: la NIS2 extiende explícitamente las obligaciones de ciberseguridad a "un ecosistema mucho más amplio de proveedores externos, suministradores y prestadores de servicios digitales" que dan soporte a actividades críticas en todo el bloque.
Un contrato de adquisición es ahora un instrumento de seguridad regulado, algo que no ocurría hace tres años, y los procesos de incorporación de proveedores de la mayoría de las multinacionales se han adaptado a una versión mucho menos interconectada del riesgo.
Donde termina
Las brechas de seguridad ya no se limitan a la infraestructura de TI; están afectando las operaciones empresariales. El ataque a Colonial Pipeline en 2021. forzado Un cierre operativo que interrumpió el suministro de aproximadamente el 45% del combustible consumido en la costa este de Estados Unidos y que desencadenó una declaración de emergencia federal.
Septiembre de 2025 del Grupo Asahi incidente de ransomware Ilustraron la misma dinámica a una escala diferente. Los pisos de las fábricas no estaban técnicamente infectados, pero hasta 30 plantas domésticas... detenido La producción se interrumpió porque los sistemas informáticos que coordinaban los pedidos, la logística y las cadenas de suministro interdependientes estaban caídos.
La lección que se desprende del caso de Asaha Group es más estructural que técnica: en operaciones altamente digitalizadas, una deficiencia en TI se propaga directamente al modelo operativo físico. Cuanto más optimizada esté una organización sus procesos para lograr eficiencia, mayor será el alcance de las repercusiones.
Qué significa realmente la resiliencia hoy en día.
El procesamiento de Karakurt pone de manifiesto un nivel y alcance de riesgo geopolítico difícil de cuantificar con los modelos de ciberseguro convencionales. Los casos de Colonial y Asahi demuestran claramente que el modelo operativo en sí mismo constituye la superficie de ataque. Considerar el ransomware como un problema de resiliencia empresarial, en lugar de un problema de control de seguridad, es ahora el requisito mínimo que exige el entorno regulatorio y de amenazas.
Las instituciones que redactan las nuevas normas han comenzado a describir la resiliencia en un lenguaje que los consejos de administración, y no los responsables de seguridad de la información (CISO), deberán tener en cuenta. Esto abarca la gobernanza, la supervisión de proveedores, la continuidad del negocio y la premisa de que, tarde o temprano, se producirá una brecha de seguridad a través de un proveedor que la empresa no controla.
Las normas ya existentes facilitan la mayor parte de la adaptación. La revisión de 2022 de la ISO 27001 es el ejemplo más claro, ya que reformuló sus controles para proveedores en función de la exposición a terceros que describe el Security Scorecard. Los controles A.5.19 a A.5.23 establecen un documento empresarial que define quién tiene acceso a qué y plasman esas obligaciones de seguridad en los acuerdos con los proveedores.
Estos controles extienden el mismo escrutinio a lo largo de la cadena de suministro de TIC, hasta los servicios en la nube y los subprocesadores, algo que las verificaciones iniciales no siempre alcanzan. Esto convierte el perímetro del proveedor más débil en algo que la empresa puede auditar.
La norma ISO 22301 cumple una función similar en lo que respecta a la continuidad del negocio. Exige un análisis del impacto en el negocio y objetivos de recuperación comprobados, en lugar de confiar en que los sistemas volverán a funcionar, que es la deficiencia que puso de manifiesto el cierre de Asahi.
Todo esto son buenas prácticas, pero la NIS2 convierte gran parte de ellas en una obligación legal. Su artículo 21 establece la seguridad de la cadena de suministro como una obligación específica, no como una recomendación.
Elegir un marco de trabajo es la parte fácil. El verdadero desafío consiste en mantener actualizados docenas de controles superpuestos, evaluaciones de proveedores y pruebas de continuidad en toda una organización cuyo perímetro abarca proveedores que no controla por completo.
Utilizar una plataforma unificada para mapear un conjunto de evidencias según las normas ISO 27001, ISO 22301 y NIS2 simultáneamente permite desentrañar y articular el riesgo de los proveedores, proporcionando un registro de auditoría que la junta directiva puede analizar y sobre el cual puede actuar antes de que ocurra un incidente, en lugar de después. La resiliencia ante el ransomware deja de ser una simple actualización de documentos tras una brecha de seguridad y se convierte en algo que la alta dirección puede demostrar.
Amplíe su conocimiento
Blog: Phishing para causar problemas T02 E05: Cumples con las normas. ¿Eres resiliente?
Guía: Informe sobre el estado de la seguridad de la información 2025
