El ciberataque a SolarWinds alertó al mundo sobre las vulnerabilidades de la cadena de suministro de software y las brechas en la supervisión y los procesos de seguridad de los productos. Así lo confirma el estudio comisionado Más allá de los límites: El futuro de la ciberseguridad en el nuevo mundo laboral, realizado por Forrester Consulting a petición de Tenable, en donde muestra que el 65% de los líderes empresariales en el mundo atribuye a la cadena de suministro de software los recientes ciberataques.

Omar Alcalá, director de Ingeniería para Tenable América Latina y el Caribe, precisó que un ataque a la cadena de suministro, también llamado ataque a la cadena de valor o a un tercero, ocurre cuando alguien se infiltra en su sistema a través de un socio o proveedor externo con acceso a sus sistemas y datos. En este sentido, uno de los ciberataques más sonados ha sido el de Target en 2013, que resultó en la pérdida de información de 110 millones de clientes, los hackers lograron obtener acceso a su red a través de un contratista de refrigeración.

Otro impactante caso es el de SolarWinds donde su software de administración remoto Orion se vio comprometido en 2020 impactando al Departamento del Tesoro de los Estados Unidos, los Departamentos de Seguridad Nacional, Comercio, Defensa y Energía, y la Administración Nacional de Seguridad Nuclear. Investigaciones calculan que alrededor de 18,000 clientes descargaron el código malicioso. En 2021, el ciberataque de ransomware a Kaseya afectó a más de 1,500 empresas de todo el mundo y Microsoft reveló que 140 revendedores de software fueron blanco de ataque.

La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) emitió recientemente una advertencia de que las aplicaciones y los sistemas obsoletos son el objetivo de la mayoría de los ataques de ransomware y la Casa Blanca también emitió un llamamiento a los líderes empresariales enumerando las acciones recomendadas para protegerse mejor.

“En este tipo de ataque es importante destacar que la víctima inicial no es el único objetivo del atacante, solo es el trampolín para poder avanzar hacia el objetivo final”, comentó Omar Alcalá.

En el caso específico de México, el citado estudio de Forrester resaltó que el 96% de las organizaciones mexicanas experimentó un ciberataque con impacto en el negocio en el último año, y el 81% enfrentó cuatro o más ataques. De estos,  seis de cada 10 de los encuestados manifestó haber sufrido un ataque que involucró software de terceros comprometido.

Sin duda, la contingencia sanitaria ha contribuido al aumento de los ciberataques en la cadena de suministro. El estudio destacó que el 61% de los líderes de seguridad que ampliaron las cadenas de suministro de software de sus organizaciones como resultado de la pandemia informan de una elevada exposición al riesgo a través de estos proveedores externos. Cuando se les preguntó por la importancia de tener una mayor visibilidad de los proveedores de software de su organización, el 46% consideró que era significativamente importante

A fin de evitar que los ciberataques a la cadena de suministro sigan creciendo, Omar Alcalá recomendó a las organizaciones revisar cómo los terceros acceden a sus datos confidenciales para asegurarse de que sólo las personas adecuadas puedan ingresar a esta información sólo para fines aprobados, además de contar con procesos para mantener dicha información lo más controlada posible. También será indispensable una estrategia en la identificación de activos para conocer lo que se encuentra en la infraestructura, además de mantener la gestión de riesgos de terceros, así como desarrollar un proceso de respuesta a incidentes que incluya en su proceso de evaluación a la cadena de suministro.  

“Los ataques a la cadena de suministro se están extendiendo y creciendo en frecuencia y sofisticación. Las empresas deben prestar mayor atención al riesgo de terceros, así como comprender dónde están los riesgos dentro de su ecosistema digital. El riesgo que este tipo de ataques representa podrían convertirse en una de las mayores ciberamenazas en los próximos años”,  finalizó Alcalá.