**Costes récord por brechas de seguridad y gasto en defensa TIC: las pymes, eslabón débil en la cadena de suministro**

—

### 1. Introducción

En 2024, el coste medio de las brechas de seguridad informática ha alcanzado máximos históricos, según los últimos informes sectoriales, mientras que el gasto global en defensa cibernética se aproxima a los 240.000 millones de dólares. Paradójicamente, este incremento de la inversión en ciberseguridad no se traduce en una protección homogénea: las pequeñas y medianas empresas (pymes) siguen siendo el eslabón más vulnerable de la cadena de suministro, poniendo en riesgo a grandes corporaciones y sectores críticos. Este artículo analiza en profundidad los vectores de ataque más recientes, el impacto económico y operativo, así como las medidas de mitigación recomendadas para los profesionales del sector.

—

### 2. Contexto del Incidente o Vulnerabilidad

El panorama de amenazas ha evolucionado significativamente: los atacantes, conscientes de las limitaciones presupuestarias y técnicas de las pymes, las utilizan como puerta de entrada para comprometer a organizaciones de mayor tamaño. Según el último informe de IBM Security «Cost of a Data Breach 2024», el coste medio global de una brecha ha escalado a 4,45 millones de dólares, una subida del 15% en los últimos tres años. En el caso de las pymes, la falta de recursos para implementar controles avanzados de seguridad y formar a su personal multiplica el riesgo de incidentes, muchos de los cuales no se detectan hasta que el daño ya está hecho.

La digitalización acelerada tras la pandemia ha supuesto que muchas pymes hayan adoptado soluciones cloud, SaaS y plataformas colaborativas sin un análisis previo de riesgos ni una estrategia de hardening adecuada. Este contexto ha hecho que crezca el interés de los grupos de ransomware, APTs y actores de amenazas oportunistas por estas organizaciones menos protegidas.

—

### 3. Detalles Técnicos (CVE, vectores de ataque, TTP MITRE ATT&CK, IoC…)

Las técnicas empleadas por los atacantes se apoyan en tácticas y procedimientos (TTP) ampliamente documentados por MITRE ATT&CK. El vector de entrada más común sigue siendo el spear-phishing (T1566), a menudo combinado con la explotación de vulnerabilidades no parcheadas en aplicaciones populares (T1190), como la reciente CVE-2023-34362 en MOVEit Transfer, que ha afectado a decenas de pymes.

Herramientas como Cobalt Strike (T1219) y Metasploit Framework (T1203) siguen siendo favoritas para el movimiento lateral y la escalada de privilegios. Los indicadores de compromiso (IoC) asociados a campañas recientes muestran un aumento en el uso de malware de acceso inicial, como QakBot y Emotet, que permiten a los operadores de ransomware desplegar cargas útiles como LockBit o BlackCat (ALPHV). Según datos de Sophos, el 61% de las víctimas de ransomware en 2023 fueron pymes, un incremento del 22% respecto al año anterior.

El uso de credenciales comprometidas (T1078), ataques de fuerza bruta a servicios expuestos y la explotación de configuraciones erróneas en entornos cloud (T1136, T1087) completan el arsenal de los atacantes, que emplean además técnicas de evasión como la desactivación de EDR y el uso de túneles cifrados para la exfiltración de datos (T1041).

—

### 4. Impacto y Riesgos

El impacto para las pymes va mucho más allá del daño reputacional: el 60% de las empresas de menos de 250 empleados que sufren una brecha significativa cierran en los seis meses siguientes, de acuerdo con la National Cyber Security Alliance. La exposición de datos personales implica sanciones bajo GDPR que pueden alcanzar el 4% de la facturación anual global, mientras que la nueva Directiva NIS2 endurece los requisitos de notificación y las obligaciones de seguridad en la cadena de suministro.

Para las grandes empresas, el compromiso de un proveedor puede suponer la interrupción de servicios críticos, sabotaje industrial o el robo de propiedad intelectual. Casos recientes como el ataque a SolarWinds o las campañas contra proveedores de servicios gestionados (MSP) han puesto de manifiesto la necesidad de elevar el nivel de madurez en seguridad de toda la cadena.

—

### 5. Medidas de Mitigación y Recomendaciones

Entre las mejores prácticas recomendadas para las pymes destacan:

– **Gestión de vulnerabilidades:** Aplicación de parches críticos en un plazo inferior a 72 horas y uso de herramientas de escaneo automatizado.
– **Segmentación de red:** Separación de entornos críticos y limitación del acceso lateral.
– **Autenticación multifactor (MFA):** Obligatoria en todos los accesos remotos y sistemas críticos.
– **Monitorización continua:** Implementación de SIEM y soluciones EDR, incluso en entornos híbridos.
– **Formación de empleados:** Simulacros de phishing y capacitación básica en ciberhigiene.
– **Backups inmutables:** Copias de seguridad offline y pruebas periódicas de recuperación.
– **Evaluación de terceros:** Revisión de la postura de seguridad de proveedores y socios según NIS2 y esquemas como ISO 27001.

—

### 6. Opinión de Expertos

Juan Carlos Pascual, CISO de una multinacional del sector logístico, advierte: “El eslabón más débil de nuestra cadena no son nuestros sistemas, sino los de nuestros proveedores más pequeños. Sin un enfoque colaborativo y auditorías regulares, el riesgo es inasumible”. Por su parte, María Sánchez, analista de amenazas en un SOC europeo, subraya: “Estamos viendo un cambio en el modus operandi de los grupos de ransomware, que ahora priorizan cadenas de suministro para maximizar el impacto y la presión sobre las víctimas”.

—

### 7. Implicaciones para Empresas y Usuarios

Las empresas deben revisar sus estrategias de gestión de riesgos de terceros, incluyendo cláusulas contractuales específicas sobre ciberseguridad y la obligación de notificación temprana. El cumplimiento de regulaciones como GDPR, NIS2 y la inminente Directiva de Resiliencia Operativa Digital (DORA) será clave para evitar sanciones y mitigar daños. Los usuarios finales, por su parte, deben exigir transparencia y garantías mínimas de protección de datos.

—

### 8. Conclusiones

El aumento sin precedentes del coste de las brechas y el gasto en defensa TIC no se traduce necesariamente en una mayor seguridad para todos los actores. Las pymes, por su falta de recursos y madurez en ciberseguridad, representan un riesgo sistémico para las cadenas de suministro globales. El sector debe apostar por una vigilancia continua, la formación y la colaboración activa entre empresas, proveedores y organismos reguladores para elevar el listón de la resiliencia digital.

(Fuente: www.darkreading.com)