Lo que cuesta un ciberataque a una empresa de alimentación: las cifras de sus propias cuentas

Pregunta a un director general cuánto cuesta un ciberataque y lo primero que suele salir es el rescate. Las empresas que han pasado por uno cuentan otra historia en sus cuentas. Las cifras grandes son las ventas que no pudieron hacer, los productos que no pudieron enviar y las semanas que tardaron en volver a la normalidad. Aquí recogemos lo que publicaron empresas de toda la cadena alimentaria, cada cifra en su moneda original y con lo que mide.

Por qué sus cuentas y no los titulares

Las primeras estimaciones cambian. En mayo de 2025, Marks & Spencer (M&S), la cadena británica de alimentación y moda, calculó que el ataque le costaría unos 300 millones de libras de beneficio operativo en su ejercicio hasta marzo de 2026, y dijo que esperaba reducir esa cifra a la mitad con el seguro, el control de costes y otras medidas.² Seis meses después, sus resultados semestrales dieron cifras más firmes: 324 millones de libras en ventas perdidas, 100 millones recuperados gracias al seguro y un impacto previsto de unos 136 millones en el beneficio del ejercicio.¹

Por eso aquí solo usamos lo que publicaron las propias empresas: resultados, avances de resultados, informes anuales y documentos presentados ante la SEC, el regulador bursátil de Estados Unidos, leídos en el original o en la noticia que los cita. Hay tres reglas. Cada cifra va en su moneda original. Cada una dice qué mide, porque ventas perdidas, beneficio perdido, costes extra y un rescate son cosas distintas. Y ninguna se suma a otra, porque son de empresas, años y cuentas diferentes.

Las cifras

Lo que tienen en común

Solo una línea de la tabla es un rescate. JBS dijo que pagó el equivalente a 11 millones de dólares, una decisión que Andre Nogueira, consejero delegado de JBS USA, describió como muy difícil para la empresa y para él personalmente.¹⁷ Maple Leaf contó que los atacantes amenazaban con publicar datos si no pagaba un rescate, y que no lo iba a pagar.¹⁶

Todo lo demás viene de que el negocio se paró, y las empresas lo contaron con palabras parecidas:

• M&S desconectó sus sistemas automáticos de inventario y movió alimentos frescos, bebidas y ropa con papel y bolígrafo.² Dejó de aceptar pedidos de ropa por internet durante 46 días.³
• Co-op desconectó sistemas. La disponibilidad en sus tiendas cayó, las estanterías se vaciaron y se robaron los datos de sus 6,5 millones de socios.⁶
• Americold, que gestiona almacenes a temperatura controlada, desconectó sus operaciones en abril de 2023,¹¹ y sus clientes tuvieron que cancelar o aplazar las entregas, salvo las de productos perecederos críticos.¹²
• En Dole, una nota enviada a las tiendas avisaba de que sus plantas cerraban ese día y de que todos los envíos quedaban en espera.¹³
• Mondelez explicó que el malware afectó a una parte importante de sus redes globales de ventas, distribución y finanzas, y que los envíos retrasados a final de trimestre solo se recuperaron en parte.⁸ Ante un tribunal, dijo que había perdido más de 1.700 servidores y 24.000 portátiles.⁹
• Maple Leaf siguió operando durante la caída gracias a las operaciones manuales, pero su actividad normal se vio interrumpida, y su consejero delegado escribió que el incidente tuvo en sus resultados un impacto mucho mayor del previsto.¹⁵

Trabajar a mano mantiene abierto el negocio. No lo mantiene a pleno rendimiento.

El seguro ayuda, pero no siempre

El seguro aparece en varias de estas cuentas, de formas distintas:

• M&S recuperó 100 millones de libras gracias a una indemnización del seguro.¹
• Las estimaciones de UNFI no incluyen lo que esperaba cobrar del seguro, que consideraba suficiente para cubrir el incidente.⁷
• La cifra de Americold ya descuenta lo recuperado del seguro.¹⁰
• Mondelez reclamó unos 100 millones de dólares a Zurich, su aseguradora de daños, que alegó una exclusión por actos de guerra. Las dos llegaron a un acuerdo en 2022 en condiciones que no se hicieron públicas.⁹
• El consejero delegado de Dole avisó de que la empresa no esperaba recuperar todos los costes, y señaló que conseguir un seguro suficiente en Norteamérica resultaba prohibitivo.¹⁴
• Tras el ataque de octubre de 2026 al frío de los supermercados franceses, el consejero delegado de Intermarché estimó pérdidas de decenas de millones de euros en todo el país en un solo día, una estimación y no una cifra auditada.¹⁸ El grupo avisó de que el seguro sería uno de los puntos difíciles, ya que las pólizas podrían no cubrir este tipo de incidentes.¹⁹²⁰

Hay una norma del mercado asegurador que conviene conocer. Para las pólizas con efecto a partir del 1 de enero de 2020, Lloyd’s exige que los seguros de daños materiales propios dejen claro si cubren o excluyen los riesgos cibernéticos.²¹ La norma obliga a los sindicatos de Lloyd’s, no a todas las aseguradoras, pero la pregunta vale para cualquier póliza: ¿la tuya cubre el género echado a perder y la producción parada tras un ciberataque, o los excluye? Pregúntaselo a tu corredor antes de necesitar la respuesta.

Calcula tu propia exposición

Las empresas de la tabla son grandes. La tuya probablemente sea más pequeña, y solo tú tienes sus números. Para una estimación rápida te hacen falta seis:

1. Tu margen bruto en un día normal.
2. Los días que no podrías aceptar pedidos, producir ni enviar. En los casos de arriba, fue desde un día en las plantas de Dole hasta 46 días sin pedidos de ropa por internet en M&S.³¹³
3. El género que se echaría a perder en ese tiempo: en las cámaras, en la línea y en la carretera.
4. El coste extra de trabajar a mano, las horas extra y la puesta al día.
5. Las penalizaciones de tus contratos de suministro. En España, los contratos alimentarios deben formalizarse por escrito e incluir, como mínimo, las penalizaciones por no conformidades e incidencias, y las excepciones por causa de fuerza mayor.²²
6. Lo que pagaría tu póliza y lo que excluye.

Multiplica la primera cifra por la segunda, suma las tres siguientes y resta la sexta. Después pregúntate cuántos días aguantaría tu empresa a ese ritmo.

Dónde encaja Cantic