En los últimos años se ha producido una serie de ciberataques de gran repercusión, desde ataques a la cadena de suministro hasta vulnerabilidades de día cero, pasando por ransomware y deepfakes. Los ciberdelincuentes están perfeccionando sus métodos para acceder a las redes empresariales, robar datos confidenciales y defraudar a las organizaciones.
En este blog especial de Halloween, el equipo ejecutivo de IO comparte los incidentes que les helaron la sangre.
Escuelas Kido – Ataque a la cadena de suministro
Nuestro director financiero, Jon Orpen, dice:
En septiembre, unos piratas informáticos accedieron a los datos de miles de niños de una cadena de guarderías. Escuelas para niñosInicialmente, accedieron a la información a través del software de gestión de guarderías Famly. Los atacantes publicaron en línea los perfiles de 20 niños y amenazaron con publicar más a menos que les pagaran en Bitcoin. También amenazaron directamente a los padres por teléfono. Tengo hijos pequeños y he pasado por el sistema de guarderías, así que este ataque me afectó mucho.
Poco después de las amenazas, se produjo una fuerte reacción pública. Los atacantes eliminaron las publicaciones y afirmaron haber borrado la información, y el ataque fue condenado como un nuevo mínimo histórico para los ciberdelincuentes. Sin embargo, este ataque demuestra que los ciberdelincuentes no discriminan en sus ataques, llegando incluso a atacar a menores para lograr sus objetivos.
El ciberataque a Kido Schools es solo uno de varios ataques recientes de alto perfil en los que los ciberdelincuentes se dirigieron a los proveedores para acceder a los datos confidenciales de las organizaciones. Informe sobre el estado de la seguridad de la información 2025 Se descubrió que tres de cada cinco (61%) encuestados se habían visto afectados por un incidente de ciberseguridad o de seguridad de la información causado por un proveedor externo o un socio de la cadena de suministro y más de una cuarta parte (27%) se habían visto afectados más de una vez.
Revisar las medidas de seguridad de la información que tienen implementadas sus proveedores es imprescindible en el panorama de amenazas actual.
Oracle E-Business Suite: Vulnerabilidad de día cero
Nuestro director de operaciones, Sam Peters, dice:
Oracle solucionó recientemente una vulnerabilidad de E-Business Suite. CVE-2025-61884Esta vulnerabilidad podría haber sido utilizada por ciberdelincuentes para extraer datos corporativos confidenciales de diversas empresas. Una actualización de Oracle describió la vulnerabilidad como «explotable de forma remota sin autenticación; es decir, puede explotarse a través de una red sin necesidad de nombre de usuario ni contraseña. Si se explota con éxito, esta vulnerabilidad podría permitir el acceso a recursos confidenciales».
La empresa hizo hincapié en que recomienda a sus clientes que permanezcan en versiones con soporte activo y que apliquen sin demora las alertas de seguridad y las actualizaciones de parches críticos.
Aunque los ataques de día cero son impredecibles por naturaleza, las empresas pueden reforzar sus defensas asegurándose de que el software esté actualizado, que se instalen los parches y adoptando un enfoque integral de la gestión de riesgos. La norma ISO 27001Por ejemplo, proporciona un marco que ayuda a las empresas a construir y mantener un sistema de gestión de seguridad de la información robusto, y a reforzar la resiliencia operativa en caso de un ataque.
La implementación de planes integrales y bien pensados de respuesta a incidentes y continuidad del negocio, necesarios para el cumplimiento de la norma ISO 27001, permitirá a las organizaciones responder rápidamente a vulnerabilidades de día cero y minimizar los daños.
Marks & Spencer – Ataque a la cadena de suministro y de ransomware
Nuestro director ejecutivo, Chris Newton-Smith, dice:
Un ataque contra El gigante minorista británico Marks & Spencer (M&S) fue noticia en abril de este año. Unos ciberdelincuentes robaron datos de clientes y desplegaron un programa de ransomware que interrumpió los sistemas informáticos de la empresa, así como sus operaciones online y en tienda, lo que provocó pérdidas financieras estimadas en 700 millones de libras.
Según los informes, los atacantes utilizaron ingeniería social y se dirigieron a un proveedor de servicios TIC de M&S para obtener acceso. Suplantaron la identidad de un empleado de M&S y convencieron al proveedor externo de restablecer la contraseña de un usuario interno. Una vez dentro de la red, también recopilaron datos confidenciales de clientes antes de desplegar el ransomware para cifrar los sistemas de M&S.
La empresa cerró rápidamente los sistemas de pedidos en línea y suspendió los pagos sin contacto para evitar mayores daños, volviendo a realizar las ventas presenciales manualmente. También contactó con las fuerzas del orden, contrató a expertos externos en ciberseguridad y comunicó el incidente y sus repercusiones a los clientes. Si bien algunos informes criticaron a la cadena por carecer de planes de continuidad de negocio y de respuesta ante incidentes, es evidente que M&S tomó medidas inmediatas para mitigar el riesgo.
Este ataque multicapa demuestra la importancia de la gestión continua del riesgo de terceros para las empresas; también destaca la necesidad de segmentar la red para limitar el alcance de los daños que se pueden producir en caso de un ataque.
Nuevamente, la norma ISO 27001 puede ser de gran ayuda para las organizaciones en este sentido. El cumplimiento y la certificación de la norma exigen que las organizaciones evalúen e implementen los controles de seguridad necesarios, incluyendo copias de seguridad periódicas, medidas de seguridad de la información implementadas como parte de planes de continuidad del negocio más amplios, y medidas prácticas para identificar, evaluar, responder y gestionar incidentes.
Arup – Deepfake con IA
Nuestro director de marketing, Dave Holloway, dice:
Este año, el Informe sobre el estado de la seguridad de la información Se observa una disminución en los incidentes de deepfake en comparación con nuestro informe de 2024 (20 % frente a 30 %), pero las amenazas impulsadas por IA siguen siendo una gran preocupación para las organizaciones. Un ataque de deepfake notable y extremadamente sofisticado el año pasado provocó que la empresa de ingeniería Arup perdiera 25 millones de dólares a manos de ciberdelincuentes.
Según informes, un empleado de Arup fue engañado para realizar una transacción cuando los perpetradores se hicieron pasar por altos directivos de la empresa en una videoconferencia fraudulenta. El empleado sospechó inicialmente que había recibido un correo electrónico de phishing, ya que especificaba la necesidad de realizar una transacción. Sin embargo, los atacantes utilizaron deepfakes generados por IA para suplantar la identidad de los directivos, lo que convenció al empleado de la legitimidad de la llamada; posteriormente, realizó las transacciones.
En una Entrevista con el Foro Económico MundialRob Grieg, director de informática de Arup, describió el incidente como “ingeniería social potenciada por la tecnología” y sospecha que “esto ocurre con más frecuencia de lo que mucha gente cree”.
Combatir las amenazas impulsadas por IA representa un desafío constante y en evolución para las empresas. La capacitación de los empleados garantiza que estén al tanto de las señales de alerta, y los controles de acceso basados en roles aseguran que solo empleados autorizados puedan acceder a redes específicas o información confidencial, como la financiera. Sin embargo, contar con un plan de respuesta a incidentes sólido y bien practicado sigue siendo fundamental en caso de que un ataque tenga éxito.
Salesforce – Ataque de ransomware
Nuestro director de ingresos, Ross Down, dice:
El elemento Ataque al proveedor de CRM Salesforce Sigue un patrón similar al del ataque a M&S. Los hackers atacaron a empleados y aplicaciones de terceros para obtener acceso a las redes de la empresa, comprometiendo, según se informa, la integración de terceros Salesloft Drift, utilizando tokens OAuth robados para obtener acceso no autorizado.
Una vez que obtuvieron acceso, los ciberdelincuentes pudieron exportar cantidades significativas de datos confidenciales y afirman haber robado casi mil millones de registros de docenas de clientes de Salesforce, incluidos Fujifilm, Qantas, The Gap y otros.
El grupo exigió un rescate a Salesforce, pero también instó a los clientes afectados a pagar rescates y comenzó a filtrar datos de las víctimas en línea. Sin embargo, se informa que Salesforce se negó a pagar el rescate, y tampoco hay evidencia de que ninguna de las víctimas lo haya pagado. En cambio, Salesforce ha deshabilitado la conexión de Drift a sus sistemas.
Al momento de redactar este informe, el incidente continúa, y los atacantes siguen amenazando con filtrar más datos de clientes de Salesforce. Este incidente nos recuerda una vez más la importancia de la gestión de riesgos de terceros, la planificación de la continuidad del negocio y la planificación de respuesta ante incidentes para reducir y mitigar el impacto de un ataque.
La buena noticia es que las organizaciones se están preparando para estas eventualidades. El 80 % de los encuestados en nuestro Informe sobre el estado de la seguridad de la información 2025 afirmó haber adoptado mejores capacidades de preparación y recuperación ante incidentes, mientras que el 18 % planea hacerlo en los próximos 12 meses.
Gestión de riesgos: La proactividad es clave
A medida que la IA evoluciona, las cadenas de suministro crecen y la superficie de ataque se amplía, los ciberataques como los incidentes que el equipo ejecutivo de IO ha destacado solo aumentarán en complejidad y sofisticación. Implementar estándares de buenas prácticas como la ISO 27001 para la gestión de la seguridad de la información es fundamental. e ISO 42001 La gestión mediante IA permite a las organizaciones mitigar el riesgo cibernético, además de mejorar la identificación y respuesta ante incidentes.
¿Listos para actuar? Nuestra lista de verificación de higiene cibernética ofrece diez buenas prácticas que las empresas pueden implementar para reforzar sus defensas cibernéticas.
