Los ataques a la cadena de suministro se han posicionado entre las amenazas de ciberseguridad que más preocupan al 47% de las organizaciones en Europa, situándose únicamente por detrás del ransomware, que encabeza las alertas con un 55%. De acuerdo con el informe NIS Investments 2025 de la Agencia de la Unión Europea para la Ciberseguridad citado por Secure & IT, la relación directa de las empresas con proveedores tecnológicos, plataformas cloud, distribuidores, fabricantes y empresas de servicios amplía la superficie de exposición, dado que estos terceros acceden a sistemas, manejan información o participan en procesos esenciales para la operativa corporativa.

Ciberataques a cámaras de frío en supermercados europeos

La urgencia de este escenario ha quedado en evidencia tras confirmarse, este 2 de noviembre, un nuevo ciberataque contra cámaras frigoríficas de supermercados en al menos seis países europeos: Bélgica, Suecia, Países Bajos, Luxemburgo, Finlandia e Irlanda. Este incidente replica el mismo modus operandi registrado semanas atrás, entre el 11 y el 12 de octubre pasados, cuando los sistemas de control telemático de congeladores y cámaras en cientos de supermercados galos sufrieron el sabotaje de hackers. En aquella ocasión, los atacantes activaron un programa de deshielo rápido que provocó la pérdida de alimentos en un volumen indeterminado y pérdidas asociadas millonarias.

En esta nueva ofensiva a mayor escala, la técnica empleada no solo causó la descongelación de la mercancía, sino que reprogramó los equipos para que alcanzaran temperaturas de más de 50ºC, provocando la pérdida total de la mercancía de forma deliberada. En el caso específico de Carrefour Bélgica, la empresa calificó el impacto de «impacto extremadamente limitado», informando que el pirateo afectó a 15 establecimientos sobre un total de más de 700 locales en el país.

Aunque el número de locales perjudicados parezca acotado, el suceso pone sobre el tapete los riesgos de la interconectividad de equipos e instalaciones, remarcando la necesidad de un control estricto para evitar infecciones de propagación rápida y sencilla. Frente a ello, las autoridades no descartan ninguna hipótesis y reclaman al sector del gran consumo un incremento en sus medidas de seguridad cibernética.

El código de los proveedores: principal vector de acceso y riesgo de negocio

Las investigaciones del informe revelan que en aproximadamente el 66% de los incidentes analizados, los ciberdelincuentes utilizaron el código de los proveedores como vía de entrada hacia sus clientes. Asimismo, los datos de las organizaciones afectadas —incluida la propiedad intelectual y la información personal— representaron el objetivo principal en el 58% de los casos examinados.

La caída o paralización de un proveedor crítico puede interrumpir procesos de producción, frenar la prestación de servicios, comprometer información sensible o generar interrupciones simultáneas en múltiples firmas. Esta realidad transforma la gestión de terceros en un eje clave de continuidad de negocio, gobierno corporativo y gestión del riesgo, sobre todo en compañías con alta dependencia tecnológica o pertenecientes a sectores esenciales.

Pese a esta realidad, desde Secure & IT advierten que un porcentaje muy pequeño de organizaciones evalúa los riesgos de ciberseguridad asociados a sus proveedores directos, y muy pocas analizan los correspondientes a su cadena de suministro global.

Recomendaciones esenciales para abordar el riesgo de terceros

Para abordar la gestión del riesgo de terceros de manera integral y continua, se deben implementar acciones clave en la operativa de la empresa:

• Clasificación por criticidad: Identificar y clasificar a los proveedores según su criticidad, observando especialmente a quienes cuentan con acceso a información, sistemas o procesos críticos.
• Evaluación previa y contratos: Evaluar la postura de seguridad del potencial proveedor antes de la contratación e incorporar requisitos específicos en materia de ciberseguridad en los contratos.
• Análisis de dependencias críticas: Analizar aquellos servicios cuya caída podría detener o afectar significativamente al negocio.
• Control de accesos y mínimo privilegio: Limitar y controlar los accesos de terceros aplicando criterios de mínimo privilegio y revisando periódicamente permisos y credenciales.
• Planes de respuesta y continuidad: Preparar planes de continuidad y respuesta ante incidentes que contemplen escenarios en los que el origen del problema se encuentre en un proveedor.
• Supervisión continua: Supervisar la postura de seguridad de los proveedores de forma permanente, evitando que la evaluación sea únicamente un ejercicio realizado en el momento de la contratación o en momentos puntuales del servicio.