Los ciberdelincuentes están logrando infiltrarse en las organizaciones cada vez con mayor frecuencia, no atacando directamente sus sistemas centrales, sino aprovechando las debilidades de sus proveedores. Además, muchos de estos incidentes ni siquiera llegan a hacerse públicos. De acuerdo con Unit 42, el equipo especializado en inteligencia de amenazas y respuesta ante incidentes de Palo Alto Networks, más del 25% (concretamente un 28%) de los casos analizados en Europa durante el último año tuvieron su origen en vulnerabilidades de terceros.

Es probable que este porcentaje sea aún más alto, ya que numerosos ataques que comienzan a través de proveedores externos no se detectan ni se clasifican como incidentes relacionados con la cadena de suministro, lo que dificulta conocer la verdadera dimensión del problema.

Chris George, Managing Director EMEA de Unit 42 en Palo Alto Networks, señala que las investigaciones suelen centrarse en proteger a la organización afectada y restablecer su actividad lo antes posible, en lugar de investigar a fondo el punto inicial del ataque. Como consecuencia, muchos incidentes vinculados a la cadena de suministro no se identifican como tales, y las empresas no son plenamente conscientes del nivel de riesgo existente dentro de su red de proveedores.

La tormenta perfecta: uso de IA, creciente conectividad y dependencia excesiva de terceros vulnerables

Los sectores más atacados a través de la cadena de suministro incluyen tecnología y servicios financieros, debido al alto valor de los datos que gestionan y a su amplia red de proveedores. Asimismo, firmas legales y empresas de servicios profesionales se han convertido en objetivos frecuentes por su acceso a información confidencial de grandes corporaciones, mientras que las marcas de lujo también están en el radar de los ciberdelincuentes, que buscan acceder a los datos personales de clientes de alto patrimonio.

Entre las principales razones que están detrás de estos ataques destacan las siguientes:

• Ecosistemas digitales ampliados: las empresas forman parte de ecosistemas cada vez más amplios, con cientos o miles de proveedores, lo que multiplica la superficie de ataque.
• Principio del eslabón más débil: los atacantes explotan proveedores más pequeños con defensas más débiles para aprovechar la confianza que las grandes empresas depositan en ellos.
• Asimetría económica: comprometer a proveedores suele ser más fácil y rápido que atacar directamente a una gran empresa, lo que ofrece una relación riesgo-beneficio muy atractiva para los atacantes.
• Aceleración de la IA: el ransomware-as-a-service, los brokers de acceso y las herramientas de IA para reconocimiento, explotación y ingeniería social facilitan y abaratan los ataques a la cadena de suministro. Según Unit 42, se está formando una “tormenta perfecta” debido al uso de IA, la creciente conectividad y la dependencia excesiva de terceros vulnerables.

Tipos de ataques a la cadena de suministro

• Ataques de envenenamiento del software: manipulación del ciclo de desarrollo de software alterando código, librerías o dependencias antes de que el producto llegue al usuario final.
• Manipulación de hardware: alteración de componentes durante la fabricación o transporte para introducir elementos maliciosos.
• Ataques a procesos empresariales: explotación de la relación entre una empresa y sus proveedores o socios para introducir contenido malicioso en actividades aparentemente legítimas.

Altruismo cibernético como estrategia de defensa

Unit 42 recomienda adoptar una serie de medidas de protección que pasan por mapear todas las dependencias digitales, identificar todos los proveedores y conexiones; Detectar los eslabones débiles, identificar y corregir vulnerabilidades antes de que lo hagan los atacantes o compartir la seguridad hacia abajo en la cadena, es decir, extender herramientas, formación y protección a proveedores y contratistas más pequeños. Estas medidas deberían formar parte de una estrategia de “altruismo cibernético”, basada en la idea pragmática de que las grandes organizaciones compartan capacidades de seguridad con sus proveedores más pequeños, ya que todos comparten el mismo nivel de exposición al riesgo.