Durante años, la seguridad se pensó como una fortaleza: subir las murallas, reforzar las puertas y vigilar a quien intentara entrar por la fuerza. Pero los atacantes más eficientes dejaron de golpear la puerta principal. Descubrieron algo más simple: no hace falta forzar tu entrada si pueden usar la de alguien a quien ya le abriste. Ese alguien suele ser un proveedor, un socio tecnológico o un contratista con acceso legítimo a tus sistemas.
El ransomware que llega por la cadena de suministro no explota una falla en tus defensas, sino la confianza que depositaste en un tercero. Y esa es precisamente su fuerza: entra por una vía que tú mismo autorizaste, disfrazado de una conexión normal, aprovechando permisos que se otorgaron por conveniencia y que casi nadie volvió a revisar.
La puerta que abriste sin darte cuenta
Ninguna organización opera sola. Detrás de la operación diaria hay una red de proveedores: quien administra un sistema, quien da soporte remoto, quien mantiene una aplicación, quien procesa una parte del negocio. A muchos de ellos se les otorgó acceso a los sistemas internos porque lo necesitaban para hacer su trabajo. El problema es que ese acceso rara vez se cuestiona una vez concedido: se otorga al inicio de la relación y permanece activo durante años, muchas veces con más privilegios de los estrictamente necesarios.
Cada uno de esos accesos es una puerta. Y cada puerta hacia tu organización es tan segura como la seguridad del proveedor que la sostiene del otro lado. Si comprometen a ese proveedor, el atacante no necesita vencer tus defensas: hereda una llave legítima. Desde el punto de vista de tus sistemas, no entró un intruso; entró un socio de confianza haciendo algo que tenía permiso de hacer.
Por qué los atacantes prefieren esta ruta
La lógica detrás de estos ataques es de eficiencia. Comprometer a una sola organización que da servicio a decenas o cientos de clientes es infinitamente más rentable que atacar a cada uno por separado. Un único punto de entrada bien elegido se multiplica en muchas víctimas. Por eso los proveedores de servicios tecnológicos, de software y de soporte se han convertido en objetivos de altísimo valor: no son el premio final, son el atajo hacia todos sus clientes.
A esta eficiencia se suma un factor de sigilo. Cuando el ataque llega a través de un canal autorizado, se camufla dentro de la actividad legítima. Una conexión de un proveedor que siempre se conecta no levanta sospechas por sí sola. Para cuando la actividad maliciosa se vuelve evidente —cifrado de sistemas, exfiltración de datos—, el atacante ya lleva tiempo moviéndose dentro, usando una identidad en la que nadie pensó desconfiar.
El eslabón que no controlas pero del que dependes
Aquí está el núcleo del problema: puedes invertir en tu propia seguridad, endurecer tus sistemas y capacitar a tu gente, pero no controlas directamente la seguridad de tus proveedores. Dependes de que ellos hagan bien su tarea, y su nivel de protección casi nunca es visible para ti. La superficie de ataque de tu organización, entonces, es mucho más grande de lo que abarcan tus propias fronteras: incluye la de cada tercero al que le diste una llave.
En la región, esta dependencia es particularmente marcada. Muchas organizaciones apoyan buena parte de su operación en proveedores externos soporte tercerizado, software administrado por terceros, servicios gestionados precisamente porque no cuentan con todo el músculo interno. Es una estrategia razonable, pero tiene una consecuencia que rara vez se dimensiona: cada relación de confianza que se establece amplía el mapa de por dónde podría entrar un ataque. Y ese mapa suele estar incompleto, porque casi nadie tiene un inventario claro de cuántos terceros tienen acceso ni de hasta dónde pueden llegar.
Cómo se responde a una amenaza que entra por fuera
Defenderse de una amenaza que llega por la cadena de suministro no consiste en desconfiar de todos los proveedores, sino en cambiar la premisa con la que se les da acceso. El punto de partida es la visibilidad: saber con precisión quién tiene acceso a qué, desde dónde y para qué. No se puede controlar lo que no se conoce, y el primer hallazgo de este ejercicio suele ser incómodo: casi siempre hay más accesos activos, y más amplios, de los que la organización recuerda haber concedido.
El segundo principio es el del acceso mínimo. Un proveedor no necesita acceso permanente y amplio; necesita el acceso justo, por el tiempo justo, para la tarea justa. Reducir esos permisos a lo estrictamente necesario limita el daño posible si ese proveedor es comprometido. Y el tercero es la vigilancia: observar qué hacen realmente esos accesos, de modo que un comportamiento anómalo una conexión a una hora extraña, un movimiento hacia sistemas que ese proveedor nunca toca se detecte a tiempo, no cuando ya es tarde. La respuesta, en el fondo, es dejar de tratar el acceso de terceros como una decisión que se toma una vez y empezar a tratarlo como algo que se controla de forma continua.
La confianza también hay que administrarla
El ransomware que entra por la cadena de suministro obliga a repensar una idea básica: la confianza que le damos a un proveedor no es gratuita ni permanente, es un riesgo que hay que administrar. La pregunta ya no es solo qué tan segura es tu organización, sino qué tan segura es la puerta que le abriste a cada tercero del que dependes. Las organizaciones que entienden esto dejan de mirar solo hacia adentro y empiezan a vigilar sus fronteras compartidas, que es exactamente donde los atacantes más eficientes decidieron entrar.
En la práctica
Un ejemplo concreto de cómo se aterriza esta defensa en la operación es la forma en que TBSEK controla el acceso de proveedores externos apoyándose en BeyondTrust. El problema descrito en este artículo —terceros con accesos amplios, permanentes y poco vigilados que se convierten en la puerta de entrada de un ataque— se aborda directamente controlando quién de fuera puede entrar, a qué exactamente y por cuánto tiempo. En lugar de dejar credenciales de proveedor activas de forma indefinida, BeyondTrust permite otorgar acceso acotado a la tarea específica, con privilegios mínimos y con registro de lo que realmente ocurre durante cada sesión, de modo que la actividad de un tercero deja de ser un punto ciego. Lo relevante no es la tecnología en sí, sino lo que hace posible dentro de la operación: convertir el acceso de proveedores normalmente el eslabón más débil frente a la cadena de suministro en una primera línea de defensa vigilada y bajo control.
TBSEK opera esta capacidad como parte de su servicio, lo que significa que el cliente no tiene que construir por su cuenta el inventario de accesos, definir los privilegios adecuados ni sostener la supervisión continua de cada sesión de terceros. Para un CISO, el cambio es sustantivo: la confianza que la organización deposita en sus proveedores deja de ser un riesgo que se asume a ciegas y pasa a ser algo que se administra, se limita y se observa. El resultado no es cerrarle la puerta a los proveedores, sino asegurarse de que esa puerta se abra solo cuando debe, hasta donde debe y con alguien mirando del otro lado.
