El modelo tradicional de seguridad informática que protegía a una empresa aislando sus redes internas mediante un cortafuegos ha muerto definitivamente. Hoy las organizaciones operan interconectadas en ecosistemas complejos formados por servicios cloud, plataformas SaaS, contratistas externos, librerías open source e incluso subcontratistas sobre los que casi no se tiene visibilidad.
‘Lo digo sin matices: el perímetro tradicional ya no existe. Hoy el verdadero perímetro son las identidades y la cadena de suministro’, afirma Luciano Moreira, Chief Transformation & Strategy Officer de Cloud Legion, lo afirma en una entrevista exclusiva con Prensario TI Latin America.
Las cifras respaldan esta advertencia. De acuerdo con el Verizon 2025 Data Breach Investigations Report, la participación de terceros en las brechas globales de seguridad se duplicó hasta alcanzar el 30%. En América Latina, el escenario es aún más directo: el IBM X-Force Threat Intelligence Index 2026 ubica a la cadena de suministro de software al mismo nivel que los vectores de ataque tradicionales más frecuentes —como el uso de cuentas válidas o la explotación de aplicaciones expuestas—, representando el 25% de los accesos iniciales en 2025.
En términos prácticos, en uno de cada cuatro ataques registrados en la región, el ciberdelincuente ingresó por una puerta de acceso que la organización afectada no controlaba directamente.
‘Cuando hablamos de ‘terceros’ no nos referimos únicamente al proveedor tradicional’, aclara Moreira. ‘Hablamos de un servicio en la nube, una plataforma de identidad, una dependencia de software o incluso de la ‘cuarta parte’: el subcontratista de nuestro proveedor. Mi convicción es simple: no existe el proveedor de bajo riesgo; existe el proveedor cuyo riesgo todavía no medimos’.
En Argentina, la superficie de ataque refleja la magnitud del fenómeno: solo durante 2025 se registraron 5.700 millones de intentos de ciberataque y 2.000 millones de escaneos activos.
Cuando el eslabón más débil rompe la cadena: tres casos testigo
Para entender el alcance real del problema, Moreira señala que el riesgo de terceros se traduce en interrupción operativa, pérdidas millonarias y un fuerte daño reputacional. Tres casos ocurridos en 2025 lo ilustran de forma contundente:
- Marks & Spencer: Los atacantes no vulneraron los sistemas principales de la marca británica. Engañaron mediante ingeniería social al personal de la mesa de ayuda operada por un proveedor externo para restablecer las credenciales de una cuenta privilegiada. El incidente derivó en un ataque de ransomware que paralizó sus ventas online durante casi seis semanas, generando un impacto económico cercano a los 300 millones de libras.
- Jaguar Land Rover: Un ciberataque detuvo la producción de sus plantas durante varias semanas y afectó en cadena a unos 5.000 proveedores. Con un impacto estimado en 1.900 millones de libras, fue calificado por el Cyber Monitoring Centre como el evento cibernético más costoso en la historia del Reino Unido, requiriendo intervención estatal e incidiendo directamente en el PBI del país.
- Bybit: El robo de aproximadamente 1.500 millones de dólares en criptoactivos —el mayor de la historia— ocurrió comprometiendo Safe{Wallet}, la plataforma de un tercero utilizada para firmar transacciones. Tras infectar la máquina de un desarrollador del proveedor, los atacantes inyectaron código malicioso en la interfaz para desviar los fondos.
‘El denominador común es claro: el atacante rara vez necesita vulnerarte de frente; busca el nodo más débil de tu ecosistema y entra por ahí. Y ese nodo casi nunca está bajo tu control directo’, explica el ejecutivo de Cloud Legion.
Del cuestionario anual al monitoreo en tiempo real
Frente a este escenario, la respuesta convencional basada en cuestionarios anuales y certificaciones estáticas ha quedado obsoleta. ‘Eso es una foto; nosotros trabajamos con el video. El enfoque tiene que ser continuo y basado en la exposición real’, señala Moreira.
Desde Cloud Legion, la estrategia para contrarrestar este tipo de amenazas parte de mapear el radio de impacto (blast radius) de cada integrante de la cadena de valor y aplicar el principio de mínimo privilegio. Dado que el DBIR 2025 identificó el abuso de credenciales en el 22% de los accesos iniciales, la gestión de identidades con autenticación multifactor (MFA) resistente a phishing y los accesos just-in-time se vuelven indispensables.
‘En el fondo, el riesgo de terceros es un riesgo de identidades. Un proveedor puede tener controles impecables, pero si una cuenta legítima es comprometida, el atacante entra con credenciales válidas sin romper nada. Por eso operamos bajo el principio de ‘asumir la brecha’ (assume breach). Se puede tercerizar la función, pero nunca la responsabilidad’, remarca Moreira.
El nuevo frente: Inteligencia Artificial y la confianza implícita
El balance del sector muestra que la ciberseguridad dejó de ser una discusión técnica para convertirse en un tema prioritario en los directorios corporativos. Sin embargo, el ritmo acelerado en la adopción de tecnologías emergentes suma una nueva capa de complejidad.
El informe Cost of a Data Breach Report 2025 de IBM revela que el 97% de las organizaciones que sufrieron un incidente de seguridad vinculado a la Inteligencia Artificial no contaban con controles de acceso adecuados para esta tecnología, y un 63% carecía por completo de políticas de gobernanza.
El crecimiento de los agentes de IA e identidades no humanas conectadas a datos sensibles, APIs externas y plataformas de terceros exige pasar de una evaluación estática a una gestión continua de la exposición (CTEM).
‘La pregunta ya no debería ser si un proveedor cumple formalmente con los requisitos, sino cuál es su nivel de exposición hoy, qué cambió desde la última evaluación y qué impacto tendría para nosotros si estuviera comprometido. En un ecosistema interconectado, tu seguridad es también la de todos los que tienen acceso a vos. La confianza implícita es la nueva vulnerabilidad’, concluye Moreira.
