La Agencia de la Unión Europea para la Ciberseguridad (ENISA) ha alertado sobre un preocupante incremento en los ciberataques dirigidos a las cadenas de suministro. Así lo refleja en su informe ‘Threat Landscape 2024’, donde destaca que la creciente dependencia de software de código abierto y de soluciones en la nube está siendo aprovechada por ciberdelincuentes para infiltrarse en las redes, poniendo en riesgo sectores clave para la economía Europa y el resto del mundo. 

Desde incidentes recientes como el ataque al software MOVEit, que comprometió datos sensibles de más de 2.300 empresas y afectó a más de 65 millones de personas en todo el mundo, hasta vulnerabilidades en herramientas de uso común en el sector de la gestión de redes, la seguridad de las cadenas de suministro está siendo puesta a prueba. En la Unión Europea (UE), la complejidad y el impacto de estos ciberataques ha sido tal que ENISA identifica este fenómeno como una de las principales amenazas a los que está expuesto el continente.

La cadena de suministro es un blanco perfecto para los ciberdelincuentes, ya un ataque exitoso puede generar un efecto dominó para el conjunto de la economía global, impactando más allá de la mera infraestructura digital. Por ejemplo, en sectores críticos como el alimentario o el de bienes de consumo, un fallo de seguridad puede derivar en escasez de productos, contaminación de alimentos y pérdidas millonarias para las empresas afectadas.

Desde Zerod lo vemos como un riesgo real para la economía y la estabilidad de las operaciones de sectores estratégicos en toda Europa y, en concreto, para España. El rol de los expertos en ciberseguridad es vital para detectar y mitigar vulnerabilidades en fases tempranas, por lo que las empresas deben entender que actuar de manera anticipada y colaborar en este frente es fundamental para la resiliencia de sus cadenas de suministro. Se trata de interiorizar que la ciberseguridad debe abordarse de forma proactiva para reducir el riesgo.

Además, hay que tener en cuenta que los ataques a la cadena de suministro ya han demostrado su capacidad para paralizar industrias enteras. En 2021, el ciberataque contra JBS, uno de los mayores procesadores de carne del mundo, obligó a la empresa a pagar un rescate de 11 millones de dólares y afectó al suministro de carne en Estados Unidos, Canadá y Australia. Ese mismo año, el ataque a Colonial Pipeline interrumpió la distribución de combustible en la costa este de Estados Unidos, provocando escasez y el aumento de precios del petróleo. 

“Los ataques a la cadena de suministro han aumentado un 230% en los últimos tres años, afectando especialmente a sectores estratégicos como alimentación, energía y transporte”

En materia local, un reciente estudio del Centro Criptológico Nacional (CCN-CERT) ha revelado que los ataques a la cadena de suministro han aumentado un 230% en los últimos tres años, afectando especialmente a sectores estratégicos como alimentación, energía y transporte.

El informe de ENISA también señala que los ataques a cadenas de suministro de software, especialmente en proyectos de código abierto, seguirán en aumento a medida que los atacantes desarrollan técnicas más avanzadas para introducir puertas traseras y explotar dependencias no controladas. Uno de los principales problemas es que muchas empresas dependen de una red extensa de proveedores y subcontratistas, cada uno con diferentes niveles de ciberseguridad. 

Según un informe de Deloitte, el 85% de las empresas no evalúan regularmente la seguridad de sus proveedores, lo que deja un enorme punto ciego para los atacantes. En esta situación son muy interesantes medidas de monitoreo y protección más rigurosas, así como un enfoque preventivo para gestionar los riesgos a lo largo de las cadenas de suministro​. Cada empresa debe considerar a sus proveedores como parte de su perímetro de seguridad. No basta con proteger los sistemas internos si se trabaja con terceros que pueden ser la puerta de entrada de un ciberataque.

Desde Zerod consideramos que, para hacer frente a estas amenazas, resulta imprescindible implementar un enfoque integral de seguridad que combine pruebas de penetración manuales o “pentests” por especialistas de primer nivel junto con herramientas de análisis de superficie y otras soluciones de análisis estático de seguridad de aplicaciones (SAST), análisis de composición de software (SCA) y análisis dinámico (DAST), impulsadas con la profundidad y rigor de la Inteligencia Artificial. Esta combinación de tecnologías y experiencia humana especializada permite identificar vulnerabilidades tanto en el código propietario como en las dependencias de terceros, además de validar la seguridad real de los sistemas mediante pruebas que simulan ataques reales. 

“Si no protegemos nuestras cadenas de suministro, los efectos pueden ser devastadores: escasez de productos, aumento de costes y, en el caso del sector alimentario, riesgos directos para la salud pública”

Es por ello por lo que ante la creciente sofisticación de los ataques y el impacto económico que pueden generar, las empresas deben actuar de inmediato. En un contexto donde se espera que las amenazas a la ciberseguridad sigan escalando, creemos en la necesidad de que las organizaciones fortalezcan sus defensas, mejoren sus prácticas de evaluación de riesgos y promuevan una cultura de seguridad cibernética que se extienda a todos sus colaboradores. Las inversiones en ciberseguridad ya no pueden limitarse a medidas reactivas o al simple cumplimiento normativo. Es fundamental blindar toda la cadena de valor y fortalecer la colaboración con expertos en seguridad de manera proactiva y constante. 

Si no protegemos nuestras cadenas de suministro, los efectos pueden ser devastadores: escasez de productos, aumento de costes y, en el caso del sector alimentario, riesgos directos para la salud pública. En Zerod consideramos que la mejor defensa es adelantarnos a los atacantes, y ahí es donde los ethcial hackers juegan un papel clave en la seguridad de la economía global.