El 17 de abril de 2025, unos atacantes entraron en Marks & Spencer, la cadena británica. Su presidente, Archie Norman, explicó después ante una comisión parlamentaria que la vía de entrada fue la ingeniería social, es decir, la suplantación de identidad, y que hubo un tercero implicado.1 El 25 de abril, M&S dejó de aceptar pedidos de ropa y hogar en su web y su aplicación. No volvió a vender ropa por internet hasta el 10 de junio, 46 días después.5
Los casos que siguen tienen la misma forma: el ataque empezó, o se propagó, a través de una empresa en la que la víctima confiaba. Esto es lo que dijeron las empresas y las autoridades en cada caso, y las preguntas que dejan para cada proveedor que puede entrar en tus sistemas en tu nombre.
El servicio técnico
Norman dio pocos detalles técnicos. «No es que llegaran y pidieran sin más que les cambiaran la contraseña», dijo. «Se presentaron como alguien, con sus datos». Y añadió que «parte del punto de entrada también tuvo que ver con un tercero».1 Según BleepingComputer, los atacantes se hicieron pasar por una de las 50.000 personas que trabajan con la empresa, y se cree que engañaron a la empresa externa que presta a M&S el servicio de soporte técnico para que restableciera la contraseña de un empleado.1 Norman no nombró a ese tercero, y nosotros tampoco lo nombramos.
Cuando volvió la venta de ropa por internet, el 10 de junio, la recogida en tienda, la entrega al día siguiente y los pedidos internacionales aún tenían que esperar unas semanas.5
La herramienta de gestión remota
El 2 y el 3 de julio de 2021, la cadena sueca Coop tuvo que cerrar unas 800 tiendas porque no podía usar sus cajas registradoras.23 Los atacantes habían enviado ransomware, camuflado como una actualización, a los clientes del software de gestión remota de una empresa estadounidense.3 Uno de los proveedores de software de Coop, una empresa sueca que usaba esa tecnología para gestionar servidores y equipos de otras empresas, confirmó que se había visto afectado.23
El FBI ha documentado la misma ruta en la alimentación y el campo. En julio de 2021, un ransomware desplegado a través del software de un proveedor de soporte informático paralizó la producción, los envíos y la recepción de mercancía de una panificadora estadounidense, que estuvo cerrada alrededor de una semana.6 En las cooperativas agrícolas atacadas, las vías de entrada incluyeron infecciones secundarias por la explotación de recursos de red compartidos o por el compromiso de servicios gestionados. Cuando ese mismo mes de julio atacaron a una empresa de software de gestión, el ataque provocó infecciones secundarias en varios de sus clientes, entre ellos varias cooperativas agrícolas.4
La CISA y sus socios explican por qué esta ruta atrae a los delincuentes. El software de supervisión y gestión remota tiene una gran capacidad para vigilar o manejar equipos y sistemas, y el software de acceso remoto se ha convertido en una herramienta habitual y muy valiosa para los atacantes, «especialmente los grupos de ransomware». Las pequeñas y medianas empresas dependen de proveedores informáticos y de sus herramientas remotas, y eso las hace mucho más vulnerables a los ataques a la cadena de suministro a través de sus proveedores de servicios.7
El proveedor de software y el proveedor de servicios
En noviembre de 2024, un ataque de ransomware contra el entorno alojado de Blue Yonder, una empresa de software para la cadena de suministro con más de 3.000 clientes, se dejó sentir en varios de ellos.8 La cadena británica Morrisons contó a la revista del sector The Grocer que se habían visto afectados sus sistemas de gestión de almacenes de productos frescos.8 Con el sistema parado, se quedó sin visibilidad de sus existencias de frescos. Su consejero delegado, Rami Baitieh, lo resumió así: «Encontramos una solución alternativa muy rápido, pero nuestra disponibilidad cayó de forma significativa y, por desgracia, fallamos a algunos clientes».9
El 2 de noviembre de 2026, el frío de supermercados de al menos nueve países europeos fue tomado a distancia, según AFP, y las primeras explicaciones apuntan en la misma dirección.10 Una cadena sueca dijo que todas sus tiendas afectadas estaban conectadas a un sistema externo de control de la refrigeración, aunque no confirmó que se tratara de un ciberataque.10 En Portugal, el grupo propietario de siete tiendas afectadas dijo que el ataque «parece haber tenido como objetivo a un proveedor de servicios externo».11 Estas versiones se comprobaron el 3 de noviembre de 2026, al día siguiente, y pueden cambiar. Contamos el ataque francés y la oleada posterior en otro artículo.
El operador logístico
A veces el atacado es el proveedor, y sus clientes lo notan enseguida. En abril de 2021, un ransomware alcanzó a Bakker Logistiek, una empresa logística neerlandesa que reparte queso y otros productos a supermercados. «No podíamos aceptar pedidos y no sabíamos en qué parte de nuestros almacenes estaban determinados productos», explicó su director, Toon Verhoeven. «Tampoco podíamos planificar los repartos, porque tenemos cientos de camiones y eso no se puede hacer a mano».12 Durante días llegó menos comida a los supermercados y los lineales de queso se vaciaron.13
El 14 de mayo de 2025, un ataque de ransomware alcanzó a Peter Green Chilled, una empresa logística británica de alimentos refrigerados cuyos clientes son, sobre todo, pequeños productores que abastecen a supermercados regionales de Somerset.1415 Al día siguiente no tramitó pedidos nuevos, pero sus camiones siguieron circulando: «La actividad de transporte de la empresa ha continuado sin verse afectada durante todo este incidente», aseguró su director gerente, Tom Binks.15 Wilfred Emmanuel‑Jones, fundador de The Black Farmer y cliente de la empresa, dijo que «algo así como diez palés de productos cárnicos» podían acabar en la basura si no llegaban a tiempo a las tiendas.15
Qué preguntar a cada proveedor que puede entrar en tus sistemas
En España, las normas ya meten a una empresa externa en muchas plantas. Según el Reglamento de seguridad para instalaciones frigoríficas (RSIF), las instalaciones de nivel 2, entre ellas las de amoníaco y las que enfrían cámaras de atmósfera controlada, deben tener un contrato de mantenimiento con una empresa frigorista habilitada. Y, cuando se usan alarmas de fuga, también deben avisar a una persona autorizada.16
Para los fabricantes, transformadores y mayoristas de alimentación medianos y grandes, la directiva europea NIS2 incluye la seguridad de la cadena de suministro entre las medidas que exige, con los aspectos de seguridad de la relación entre cada entidad y sus proveedores directos o prestadores de servicios.17 España todavía no ha aprobado su ley: en julio de 2026, la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por el retraso.18
La CISA y sus socios aconsejan a los clientes de proveedores informáticos que sepan exactamente qué servicios de seguridad cubre su contrato y que este diga cómo y cuándo les avisará el proveedor de un incidente. También deben poder ver los registros de la presencia, la actividad y las conexiones del proveedor en su red, y asegurarse de que sus cuentas se vigilan y se auditan.7 Convertido en preguntas para tu proveedor informático, tu empresa frigorista y tu integrador de líneas:
- ¿Quién puede restablecer nuestras contraseñas, y cómo comprobáis que la petición viene de verdad de nosotros?
- ¿Quién puede instalar software o actualizaciones en nuestros ordenadores y máquinas?
- ¿Quién puede llegar desde fuera a los controles de la planta y de las cámaras, desde dónde y a través de qué?
- ¿Qué cuentas usáis con nosotros? ¿Tienen autenticación multifactor, y compartís alguna contraseña de administrador con otros clientes?7
- ¿Cuánto tardaríais en avisarnos si os atacan, y lo dice nuestro contrato?7