Según nuevos datos de Cyble, los ataques a la cadena de suministro de software aumentaron en octubre de 2025, estableciendo un nuevo récord, más de un 30% más que el pico anterior en abril. Tras los incidentes informados por actores de amenazas en sitios de filtración de la web oscura, Cyble registró 41 ataques en octubre, 10 más que el pico anterior. Desde abril, los ataques a la cadena de suministro se han mantenido elevados, con un promedio de más de 28 por mes, más del doble de los 13 ataques mensuales observados entre principios de 2024 y marzo de 2025. Sectores como la energía y los servicios públicos, la atención médica y la manufactura sufrieron entre 20 y 30 ataques a la cadena de suministro cada uno.
Los datos publicados esta semana identificaron a los grupos de ransomware Qilin y Akira como líderes de la actividad de este año, cada uno de los cuales es responsable de una parte importante de estos incidentes. Pasando al desglose del sector, TI fue el sector más atacado con casi 120 ataques, lo que representa una parte importante de todos los ataques. Le siguen las finanzas con más de 80 ataques, que representan alrededor del 70% de los datos del sector de TI. Otros sectores, como el transporte, la tecnología y el gobierno, experimentan tasas de ataque moderadas, y cada sector informa entre 30 y 50 ataques. La industria de alimentos y bebidas también observa una tendencia similar, con poco menos de 40 incidentes.
Cyble informó menos ataques en el comercio minorista, bienes de consumo y automoción, con entre 10 y 20 incidentes cada uno. Sectores como el aeroespacial/defensa, medios/entretenimiento, hotelería y construcción tienen una frecuencia de ataques relativamente baja, con menos de 10 en cada caso. La educación, los productos químicos, la agricultura/ganadería, los bienes raíces, los productos farmacéuticos/biotecnología y los metales/minería tienen la menor cantidad de ataques a la cadena de suministro, con menos de 5 incidentes en cada sector.
La última tendencia confirma un cambio crítico en la superficie de ataque de intrusiones directas en la red a compromisos indirectos a través de socios tecnológicos de terceros. Esta creciente cadena de dependencias que abarca proveedores de nube, proveedores de software e integradores de la industria requiere un enfoque en la garantía del software, la transparencia de los proveedores y la colaboración en la gestión de incidentes.
A medida que los adversarios perfeccionan sus estrategias para explotar las relaciones de confianza, la línea entre la exposición a TI y OT (tecnología operativa) continúa difuminándose, y la gobernanza unificada, la visibilidad de la cadena de suministro y la planificación de la resiliencia en todos los ecosistemas operativos se vuelven cada vez más urgentes.
«Akira recientemente se atribuyó la responsabilidad de un ciberataque dirigido a un gran proyecto de software de código abierto», reveló Cyble. «El grupo afirma tener 23 GB de datos, incluida información confidencial de los empleados, así como documentos financieros, archivos internos confidenciales e informes sobre problemas de software y operaciones internas».
La publicación agregó que Akira reclamó varios ataques contra proveedores de TI, incluida una empresa que desarrolla soluciones de software para agencias gubernamentales y policiales, un proveedor de software de gestión de datos ambientales y de cumplimiento para clientes industriales y energéticos, y una empresa con sede en EE. UU. que proporciona soluciones de TI, ciberseguridad y consultoría para los sectores de gobierno, inteligencia y defensa. En este último caso, el grupo afirma tener más de 19 GB de datos, incluidos archivos que contienen registros financieros, datos confidenciales de empleados y clientes, documentos confidenciales, acuerdos de confidencialidad y otros datos personales y corporativos.
Qilin se atribuyó la responsabilidad por la infracción de una empresa de tecnología financiera con sede en EE. UU. que proporciona software y servicios integrados para procesamiento de pagos, gestión de transacciones y soluciones de infraestructura financiera. Los datos robados supuestamente incluían informes de confirmación confidenciales, directorios internos de SharePoint y una lista de empleados de infraestructura de TI en una importante empresa de servicios financieros.
Cyber señaló que Qilin también reivindicó un ataque a una empresa con sede en EE. UU. que brinda soluciones tecnológicas para los sectores de aplicación de la ley, justicia penal, seguridad pública y protección, y que los datos supuestamente robados incluían código fuente para sus propios productos de software, además de datos de contabilidad y recursos humanos de varias agencias de aplicación de la ley e información de pago de clientes.
Qilin reivindicó ataques a tres cooperativas energéticas de Estados Unidos, incluido el robo de información sobre proyectos, detalles de equipos obsoletos, acuerdos contractuales con entidades gubernamentales de Estados Unidos e información de facturación de clientes.
Otra supuesta violación de Qilin involucró a un proveedor de servicios de nube y ciberseguridad con sede en EE. UU. que proporciona infraestructura de TI, servicios administrados y soluciones de cumplimiento a organizaciones de atención médica y dental. Los actores de amenazas afirmaron obtener acceso a entornos de clientes posteriores a través de credenciales de texto sin cifrar almacenadas en documentos de Word y Excel almacenados en los sistemas de la empresa. Según se informa, los datos robados incluyen información personal de los clientes, registros financieros y registros médicos. Las muestras publicadas incluyen contraseñas no cifradas de sistemas de clientes, documentos financieros e informes médicos.
Un grupo de ransomware recientemente identificado, Kyber, ha filtrado datos supuestamente robados de un importante contratista aeroespacial y de defensa de EE. UU. que proporciona sistemas de comunicaciones, vigilancia y guerra electrónica. El grupo filtró más de 141 GB de datos que consisten en archivos de proyecto, compilaciones internas, bases de datos y archivos de respaldo.
El grupo de hackers BlackShrantac se ha atribuido la responsabilidad de violar un proveedor de seguridad física y ciberseguridad de Corea del Sur. Según el grupo de piratas informáticos, se robaron aproximadamente 24 GB de datos, que incluían datos y requisitos de clientes, datos de red e infraestructura, datos de recursos humanos y nómina, información de comercio electrónico y documentación técnica de ciberseguridad, incluido el código fuente del sitio web, claves API y archivos de configuración.
Para respaldar sus afirmaciones, BlackShrantac ha publicado varios archivos de muestra que parecen mostrar acceso a documentación interna, planos técnicos, hojas de Excel que contienen datos de configuración y otros datos confidenciales de la empresa.
Otro grupo de ransomware, Cl0p, se ha cobrado varias víctimas por explotar las vulnerabilidades de Oracle E-Business Suite, incluida una importante empresa mundial de tecnología energética y una importante universidad de EE. UU.
Cyble también mencionó otro grupo de amenazas, Crimson Collective, que afirmó haber pirateado una instancia de GitLab de un importante proveedor de tecnología de EE. UU., incluido el robo de 800 informes de participación del cliente. Los actores de amenazas supuestamente obtuvieron acceso a la infraestructura del cliente utilizando credenciales y tokens encontrados en contenedores robados.
Obviamente, proteger su cadena de suministro de software puede ser un desafío porque estos socios y proveedores son inherentemente confiables, pero las auditorías de seguridad y las evaluaciones de riesgos de terceros deberían convertirse en una práctica común de ciberseguridad.
Siempre que sea posible, las organizaciones deben incorporar controles y resiliencia para limitar el impacto de posibles ataques. Esto incluye implementar la microsegmentación de la red y aplicar controles de acceso estrictos que otorguen solo los permisos necesarios que se auditen periódicamente. También es esencial crear una fuente sólida de identidad y autenticación del usuario que combine la autenticación multifactor y la biometría de los usuarios con la autenticación automática que incluya el cumplimiento del dispositivo y los controles de estado.
Los datos deben cifrarse tanto en reposo como en tránsito. Las copias de seguridad resistentes al ransomware deben ser inmutables, tener espacios aislados y estar aisladas para garantizar las capacidades de recuperación. La implementación de honeypots puede ayudar a atraer a los atacantes hacia dispositivos falsos y proporcionar una detección temprana.
Además, las organizaciones deben garantizar que las conexiones de API y servicios en la nube estén configuradas correctamente mientras monitorean actividades inusuales a través de sistemas SIEM, monitoreo de Active Directory y herramientas de prevención de pérdida de datos. Las auditorías periódicas, los análisis de vulnerabilidades y las pruebas de penetración son esenciales para confirmar que los controles siguen siendo eficaces y actualizados.
A principios de este año, el Foro Económico Mundial (WEF) destacó el creciente desafío de asegurar las cadenas de suministro de software, enfatizando la creciente necesidad de proteger contra dependencias ocultas. A medida que las empresas dependen cada vez más de proveedores de software externos y soluciones de código abierto, enfrentan obstáculos importantes para garantizar la seguridad y la integridad de sus ecosistemas de software. Además, estos desafíos se extienden más allá de la TI, hacia la OT y los sistemas industriales, lo que aumenta los riesgos para las instalaciones de infraestructura crítica.
