Ataque a la Cadena de Suministro

Definición técnica

Un ataque a la cadena de suministro (supply chain attack) es un ciberataque que compromete a una organización objetivo de forma indirecta, explotando vulnerabilidades en sus proveedores, socios tecnológicos o componentes de software de terceros. En lugar de atacar directamente las defensas del objetivo (firewalls, EDR, SOC), el atacante compromete un eslabon de confianza en su cadena de suministro, aprovechando que las organizaciones confian implicitamente en las actualizaciones de sus proveedores de software, en los componentes de código abierto que utilizan y en la infraestructura de sus socios comerciales.

El efecto multiplicador es lo que los hace únicos: comprometer un solo proveedor puede dar acceso simultaneo a miles de organizaciones cliente. SolarWinds afecto a 18.000 entidades. Kaseya a 1.500 empresas. MOVEit a 2.600 organizaciones y 77 millones de personas.

Estadísticas clave:

Tipos de ataques a la cadena de suministro

1. Software supply chain (ataques al software)

El atacante compromete el proceso de desarrollo, compilación o distribución de software para inyectar código malicioso en actualizaciones legítimas.

2. Hardware supply chain (ataques al hardware)

Manipulación de componentes físicos durante la fabricación o distribución para introducir backdoors a nivel de firmware o circuito.

3. Service provider attacks (ataques a proveedores de servicios)

Compromiso de empresas que prestan servicios gestionados (MSP), hosting, cloud o soporte IT para acceder a las redes de sus clientes.

4. Open source supply chain (ataques a código abierto)

Compromiso de bibliotecas y paquetes de código abierto ampliamente utilizados. Es el vector de mayor crecimiento por la dependencia universal del software moderno en componentes open source.

Casos emblemáticos

SolarWinds (2020): el ataque que cambio las reglas

Atacante: APT29 (Cozy Bear), vinculado a SVR (inteligencia rusa) Vector: Actualización troyanizada del software de monitorización de red SolarWinds Orion Víctimas: 18.000 organizaciones, incluyendo 9 agencias federales de EE.UU., Microsoft, Intel, Cisco

Kaseya VSA (2021): ransomware a escala

Atacante: REvil (grupo RaaS ruso) Vector: Explotación de vulnerabilidades zero-day en Kaseya VSA (gestion remota IT) Impacto: 60 MSPs comprometidos, 1.500+ empresas afectadas, petición de rescate de 70M USD

El ataque fue especialmente devastador porque Kaseya VSA es utilizado por Managed Service Providers (MSPs) que gestionan la IT de cientos de empresas cada uno. Comprometer el MSP dio acceso en cascada a todos sus clientes.

MOVEit Transfer (2023): exfiltración masiva

Atacante: Cl0p (grupo ransomware/extorsión) Vector: Vulnerabilidad zero-day en software de transferencia de archivos MOVEit (CVE-2023-34362, inyección SQL) Impacto: 2.600+ organizaciones, 77+ millones de personas afectadas

XZ Utils (2024): el backdoor más sofisticado

Atacante: “Jia Tan” (identidad ficticia, sospecha de actor estatal) Vector: Backdoor en librería de compresión xz/liblzma (CVE-2024-3094) Impacto potencial: Acceso SSH a millones de servidores Linux

Un atacante opero durante 2 años como contribuidor legitimo del proyecto open source XZ Utils, ganando la confianza del mantenedor principal hasta obtener permisos de commit. Inserto un backdoor sofisticado en el proceso de build que modificaba la librería liblzma utilizada por OpenSSH, permitiendo autenticación remota sin credenciales. Fue descubierto por casualidad por un ingeniero de Microsoft (Andres Freund) que noto un retraso de 500ms en conexiones SSH.

Datos 2025: la duplicación de ataques

Informe Cipher (Prosegur): lo que dice y lo que no

El informe Supply Chain Attacks: 2025 Analysis and 2026 Trends, elaborado por la Unidad x63 de Cipher y presentado el 5 de febrero de 2026, es global: no publica un desglose por países ni cifras específicas de España. Estos son sus datos, tal como aparecen en la ficha del informe en Cipher —la nota de prensa de Prosegur que se citaba aquí ha dejado de responder—:

Conviene saber de dónde salen: el propio informe declara que integra datos de IBM, Verizon DBIR, Sophos, KELA y Sonatype. Es un trabajo de agregación, no una medición propia, y por eso sus cifras coinciden con las de esos informes.

Datos globales

Nota sobre esta tabla: figuraba en ella una cifra atribuida a Gartner, citada sin documento ni enlace. Se retiró; coincidía además con el +61 % del sector manufacturero, que mide otra cosa.

NIS2 y la cadena de suministro

La Directiva (UE) 2022/2555 (NIS2), que debe ser transpuesta por los Estados miembros (España aún en proceso: el plazo venció el 17 de octubre de 2024), introduce obligaciones específicas sobre seguridad de la cadena de suministro:

Obligaciones para entidades esenciales e importantes

Sanciones por incumplimiento

• Entidades esenciales: Hasta 10 millones EUR o 2% facturación global
• Entidades importantes: Hasta 7 millones EUR o 1,4% facturación global
• Responsabilidad personal: Los órganos de dirección pueden ser personalmente responsables

Análisis forense de ataques supply chain

La investigación forense de un ataque a la cadena de suministro es particularmente compleja porque el vector de entrada es software legítimamente autorizado por la organización víctima.

Metodología pericial

Herramientas forenses para supply chain

Tabla comparativa de casos reales

Caso práctico: investigación forense de supply chain en PYME española

Nota: El siguiente caso esta basado en patrones reales de ataques supply chain documentados en España. Los datos específicos han sido anonimizados para proteger la confidencialidad de los afectados.

Contexto: Empresa manufacturera, 200 empleados, utiliza software ERP de un proveedor español con actualizaciones automáticas.

Timeline del incidente:

Análisis pericial:

1. Comparación de binarios: El fichero erp-update-4.7.2.exe instalado en la empresa tenía un hash SHA-256 diferente al publicado en el changelog del proveedor. Análisis con Ghidra revelo un loader de 47 KB inyectado en una función de inicializacion del módulo de reporting.

2. Ingeniería inversa del RAT: El loader descargaba un RAT personalizado desde un dominio registrado 72 horas antes de la distribución del update. Funcionalidades: captura de pantalla, keylogger, exfiltración de archivos, ejecución de comandos remotos.

3. Trazabilidad C2: 3 dominios de comando y control, alojados en servidores VPS en Ucrania y Moldavia. Tráfico camuflado como HTTPS legitimo en puerto 443.

4. Alcance del compromiso: 28 de 45 estaciones de trabajo afectadas (las que aceptaron la actualización automática). Base de datos de clientes exfiltrada (85.000 registros con nombre, email, teléfono, historial de pedidos).

5. Informe pericial: 67 páginas documentando cadena de custodia, vector de entrada, timeline completo, datos comprometidos y recomendaciones.

Consecuencias:

• Notificación AEPD en 72 horas (Art. 33 RGPD) por brecha de datos personales
• Notificación a 85.000 clientes afectados (Art. 34 RGPD)
• Denuncia ante Policía Nacional con informe pericial
• Reclamación al proveedor ERP por negligencia en la protección de su infraestructura de distribución

Prevención: como proteger la cadena de suministro

Para empresas

Para desarrolladores de software

Marco legal español

Código Penal

Art. 197 bis CP - Acceso ilícito a sistemas:

Comprometer un proveedor de software para acceder a los sistemas de sus clientes constituye acceso ilícito.

• Pena: 6 meses - 2 años prisión

Art. 264 CP - Daños informáticos:

La inyección de malware en software de terceros constituye daño informático.

• Pena: 6 meses - 3 años prisión

Art. 264 ter CP - Facilitación de herramientas:

Si el atacante troyaniza software para distribuirlo como herramienta de ataque.

• Pena: 6 meses - 2 años prisión

Art. 248 CP - Estafa:

Si el ataque supply chain se usa para fraude financiero.

• Pena: 6 meses - 3 años (base), 1-6 años si cuantía supera 50.000 EUR

RGPD

Si el ataque supply chain resulta en brecha de datos personales:

• Art. 33: Notificación a la AEPD en 72 horas
• Art. 34: Notificación a los afectados si hay alto riesgo
• Art. 83: Sanciones hasta 20M EUR o 4% facturación global

NIS2 (pendiente transposición)

Las entidades esenciales e importantes deberan implementar medidas específicas de gestion de riesgos de la cadena de suministro (Art. 21.2.d), incluyendo evaluación de proveedores críticos, requisitos contractuales de seguridad y planes de respuesta a incidentes supply chain.

Coste pericial

Total típico: 5.050-9.400 EUR

Los ataques supply chain requieren análisis forense más extenso que los ataques directos porque implican investigar tanto el entorno de la víctima como la cadena de distribución del software comprometido.

FAQ

P: Que es un ataque a la cadena de suministro y por que son tan peligrosos? R: Un ataque a la cadena de suministro compromete a una organización objetivo de forma indirecta, a traves de sus proveedores o componentes de software de terceros. Son extremadamente peligrosos por cuatro razones: explotan la confianza inherente entre empresas y su software, un único proveedor comprometido puede afectar a miles de clientes simultáneamente (SolarWinds afecto a 18.000), la detección tarda una media de 254 días porque el software malicioso es “de confianza”, y el coste medio por brecha es de 4,88 millones de dólares, un 11% más que las brechas por ataques directos.

P: Cuantos ataques a la cadena de suministro hubo en España en 2025? R: Según el informe de Cipher (Prosegur), los ataques supply chain se duplicaron en 2025 a escala global —el informe no publica desglose por países—. El 22,5% de todas las brechas de seguridad en 2025 involucraron a terceros o proveedores. El sector manufacturero fue el más afectado con un aumento del 61%, seguido del sector sanitario (+137%) y el tecnológico (+72%). A nivel global, Sonatype identifico más de 700.000 paquetes maliciosos acumulados en repositorios de código abierto.

P: Como investiga un perito un ataque supply chain? R: El perito sigue una metodología especifica: primero compara los hashes SHA-256 de los binarios instalados con los hashes oficiales del proveedor para confirmar la troyanizacion. Luego realiza ingeniería inversa del componente comprometido para extraer y analizar el payload malicioso. Revisa logs de actualización, analiza el tráfico de red en busca de comunicaciones C2, determina el timeline y alcance del compromiso, y correlaciona indicadores de compromiso con campañas conocidas. El informe pericial documenta el vector exacto de entrada para el procedimiento judicial.

Conceptos relacionados

• APT (Amenaza Persistente Avanzada) - Los ataques supply chain más sofisticados son ejecutados por grupos APT estatales
• Backdoor administrativa - Mecanismo típico inyectado en software comprometido
• Zero-day - Vulnerabilidades sin parche explotadas en ataques como MOVEit y Kaseya
• IOCs (Indicadores de Compromiso) - Artefactos forenses para detectar software troyanizado
• YARA rules - Reglas de detección de patrones en binarios sospechosos
• Movimiento lateral - Técnica post-compromiso habitual tras acceso via supply chain

Referencias y fuentes

1. Cipher (Prosegur), Unidad x63. Supply Chain Attacks: 2025 Analysis and 2026 Trends. cipher.com — el 22,5 % de las brechas implica a la cadena de suministro, «el doble que en 2024», con un coste medio por incidente de 4,88 M USD y un tiempo medio de detección de 254 días. (Aquí figuraban además un «España pasa de 62 a 134 incidentes» y un desglose por sectores: este informe es global y no publica desglose por países, como advierte el propio artículo unas líneas más arriba. La cifra de 53.200 M$ tampoco es suya: es una proyección de Juniper de 2023, ya etiquetada como tal en el cuadro resumen.)
2. IBM. (2024). “Cost of a Data Breach Report 2024”. ibm.com - Coste medio brecha via terceros: 4,88 M USD, 11% superior a ataques directos ⚠️ Esa URL no lleva año y sirve siempre la última edición —su <title> dice hoy «Cost of a Data Breach Report 2026»—, así que el año se comprueba abriéndola.
3. Juniper Research. Vulnerable Software Supply Chains are a Multi-billion Dollar Problem (whitepaper, 11 may 2023). juniperresearch.com — proyecta 45.800 M$ en 2023 y 80.600 M$ en 2026, un +76 %. (Los 53.200 M$ de 2025 son de Cipher, no de Juniper.)
4. Sonatype. (2025). “State of the Software Supply Chain Report 2025”. sonatype.com - +68% ataques supply chain software, 700K+ paquetes maliciosos
5. Mandiant/FireEye. (2020). “Highly Evasive Attacker Leverages SolarWinds Supply Chain to Compromise Múltiple Global Victims”. mandiant.com - Análisis técnico SolarWinds SUNBURST
6. ENISA. (2025). “Threat Landscape for Supply Chain Attacks”. enisa.europa.eu - Taxonomía y estadísticas europeas
7. Akamai. (2024). “XZ Utils Backdoor - Everything You Need to Know”. akamai.com - Análisis técnico CVE-2024-3094
8. Directiva (UE) 2022/2555 (NIS2): Art. 21.2(d) (seguridad cadena suministro), Art. 23 (notificación incidentes). eur-lex.europa.eu
9. Código Penal español: Arts. 197 bis, 248, 264, 264 ter (acceso ilícito, estafa, daños informáticos, facilitacion herramientas)
10. RGPD: Arts. 33-34 (notificación brechas), Art. 83 (sanciones)
11. Cipher (Prosegur). Ataques a la cadena de suministro — recopilación de indicadores. cipher.com — de ahí procede el dato de 254 días de detección media, que Cipher a su vez toma del Cost of a Data Breach de IBM. No es un informe de Ponemon.

Última actualización: febrero 2026 Categoría: Ciberataques Código: ATK-011