Ilustración: una película de escaneo, en nubes de puntos, de los lugares de una empresa logística: un puerto desde el aire, un almacén automático, un centro de paquetería, una torre de control, una campa de camiones de noche, una terminal ferroviaria al amanecer y la marca de Cantic. Las etiquetas muestran lecturas y direcciones ficticias.
Entramos en tu flota y tus almacenes antes que un delincuente.
De tu portal de clientes a los servidores que mueven tus almacenes. Con Fortify, escribimos el arreglo en 24 horas.
Ataque real CEVA Logistics, grupo logístico Ver los ataques
Logística y transporte
Una sola vía de entrada puede parar tus entregas.
Cada línea que llega a internet es una puerta.
Eclipse, nuestro propio modelo entrenado para atacar, sigue hasta que puede demostrar el control total.
Dicho claro: un atacante que trabaja para tu empresa.
Hasta dónde llega Eclipse
- Web
- Aplicaciones
- Correo
- Accesos
- Nube
- Servidores
- Red interna
- Máquinas
Con qué funciona tu empresa
Sabemos con qué funciona una empresa logística. Los delincuentes, también.
Empresas externas
- Tu proveedor informático
- Proveedor del software de almacén
- Mantenedor de cintas y clasificadoras
- Proveedor de telemática de la flota
- Transportistas subcontratados
Acceso remoto
- VPN
- Escritorio remoto
- Soporte remoto
- Portal de transportistas
- Conexiones EDI
- Nube de telemática
-
Almacén
- Gestión de almacén (SGA)
- Escáneres de mano
- Acceso remoto de proveedores
-
Centro de clasificación
- Clasificadores de paquetes
- Túneles de lectura
-
Flota
- Telemática de la flota
- App de conductores
- Descarga de tacógrafos
-
Torre de control
- Gestión del transporte (TMS)
- Portal de seguimiento
- Bolsas de cargas
-
Terminal portuaria
- Sistema de la terminal
- Cámaras de acceso
-
Oficina
- Correo
- ERP y facturación
- Declaraciones de aduana
Ataque real
Ataques que llegaron a puertos, almacenes y transportistas.
-
Europa
CEVA Logistics, grupo logístico
Una intrusión afectó a ocho almacenes, según la empresa; varios clientes dijeron que se llevaron datos de contacto de sus compradores.
Fuentes TechCrunch The Record Logistics Manager
-
Estados Unidos y Canadá
United Natural Foods (UNFI), distribuidor alimentario
Calculó un impacto de unos 350 a 400 millones de dólares en sus ventas netas del ejercicio 2025, antes del seguro.
-
Reino Unido
Peter Green Chilled, empresa de logística de refrigerados
Tras un ransomware, no tramitó pedidos nuevos durante un día; sus camiones siguieron circulando.
Fuentes The Record Grocery Gazette
Comparado
Esto no es un pentest anual.
| Un pentest normal | Cantic |
|---|---|
| Una vez al año | Día y noche, y con cada cambio |
| Un PDF semanas después | Pruebas en el momento, con la reproducción |
| Se queda en la web | De la web al servidor y a la máquina |
| Tú buscas el arreglo | Escribimos el arreglo en un plazo de 24 horas |
| Esperas que aguante | Volvemos a atacar para comprobar que aguanta |
Bajo tu control
Dentro de las reglas que tú firmas.
Límites claros y privacidad de los datos para empresas logísticas y los envíos de sus clientes.
No se ejecuta nada hasta que firmas
Una autorización y unas reglas de intervención, firmadas por quien puede autorizar la prueba.
Dentro de los límites que fijas
Tu alcance, tu horario y tus límites. Se detiene cuando puede demostrar el control.
Detén la prueba en 60 segundos
Ritmo limitado y tiempo acotado, así que tus sistemas no se ralentizan.
Cada acción, en el registro
Con hash y sello de tiempo en un registro que puedes inspeccionar, y en directo.
Una persona en cada hallazgo crítico
Un responsable asignado de nuestro equipo.
Ninguna empresa externa de IA ve tus datos
Eclipse es nuestro propio modelo, en nuestros propios servidores.
Destruidos al terminar el trabajo
Lo borramos en varios pasos en nuestros sistemas; no nos lo quedamos. Informes de la primera prueba: 14 días si no te suscribes.
El arreglo llega a tu proveedor informático
Los hallazgos y los arreglos van a tu propio equipo o a tu proveedor informático.
Normativa
Las normas que se aplican a la logística y el transporte.
- NIS2 incluye el transporte aéreo, ferroviario y marítimo, los puertos y los servicios postales y de mensajería, pero no a los transportistas por carretera como tales (anexos I y II). 1
- Las empresas incluidas deben gestionar la seguridad de su cadena de suministro y avisar de un incidente significativo en 24 horas (artículos 21 y 23). 1
- El estatuto de Operador Económico Autorizado (OEA) de aduanas exige medidas de seguridad que protejan tu sistema informático de intrusiones no autorizadas (Reglamento 2015/2447, artículo 25). 2
Preguntas
Lo que nos preguntan
- Nuestros proveedores de software y nuestra empresa informática ya se conectan desde fuera. ¿Por qué vosotros?
- Tu empresa informática hace funcionar tus sistemas y nosotros los atacamos: son dos trabajos distintos.
- ¿Y si aun así se caen nuestros sistemas?
- El riesgo cero no existe; con Fortify preparamos un plan de continuidad, con el cambio ensayado.
- ¿Ayuda con NIS2?
- Sí: cada paso queda registrado, del alcance firmado a la nueva prueba, pero no certifica el cumplimiento.
Cómo empieza
Tus resultados en un día.
Tú firmas las reglas
Una autorización y unas reglas de intervención, firmadas antes de que se ejecute nada.
Eclipse prueba lo que está dentro del alcance
Desde fuera, como lo haría un atacante. No hay nada que instalar.
Ponemos los hallazgos sobre la mesa
En lenguaje claro, con lo que hay que hacer. Cada hallazgo llega con su prueba.
Fuentes
- EU Official Journal (publications.europa.eu), Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union (NIS 2 Directive), . Consultado el .
- EU Official Journal (publications.europa.eu), Commission Implementing Regulation (EU) 2015/2447 of 24 November 2015 laying down detailed rules for implementing certain provisions of Regulation (EU) No 952/2013 of the European Parliament and of the Council laying down the Union Customs Code, . Consultado el .