Blog
Cuando atacan a su proveedor: lecciones de un ransomware en Colombia
En septiembre de 2023, un ransomware contra un proveedor de servicios de telecomunicaciones y datos afectó a unas 762 compañías en América Latina y a entidades públicas colombianas. Qué pasó, qué dicen los informes de 2026 sobre el riesgo de terceros y cómo reducirlo.
El 12 de septiembre de 2023, un ataque de ransomware golpeó a IFX Networks, un proveedor de servicios de telecomunicaciones y datos. Según el MinTIC, el ataque fue contra el proveedor y no contra las entidades del Estado, pero afectó a unas 762 compañías en América Latina. En Colombia hubo portales y servicios afectados en el Ministerio de Salud, la Superintendencia de Salud y el Consejo Superior de la Judicatura, y el Gobierno instaló un puesto de mando unificado para coordinar la respuesta (MinTIC).
En marzo de 2026, con la Resolución 18136, la Superintendencia de Industria y Comercio le ordenó a IFX Networks Colombia adoptar medidas técnicas, administrativas y humanas para prevenir futuros incidentes, en su doble papel de responsable y encargado de datos personales. La resolución se refiere al ataque de septiembre de 2023, que comprometió parte de sus máquinas virtuales; entre los servicios afectados estaba su nube administrada, que incluye componentes de respaldo. Es una orden administrativa, no una multa, y admitía recursos (SIC).
No es un caso aislado
El informe de Verizon sobre brechas de datos de 2026 encontró participación de un tercero en el 48 % de las brechas analizadas, y de las organizaciones terceras con autenticación multifactor ausente o mal configurada en sus cuentas de nube, solo el 23 % la corrigió por completo. El ransomware apareció en el 48 % de las brechas, aunque el 69 % de sus víctimas no pagó (Verizon).
Verizon es una empresa privada y su informe analiza los casos de su propio conjunto de datos, no todos los incidentes del mundo. Pero la Agencia de la Unión Europea para la Ciberseguridad, ENISA, apunta en la misma dirección: en su panorama de amenazas de 2026 señala que el ransomware es el incidente de mayor impacto a corto plazo y que los atacantes siguen apuntando a proveedores y terceros, con ataques que suelen causar incidentes de gran escala (ENISA).
Lo que enseña el caso
La primera lección es que el riesgo de una empresa incluye el de sus proveedores. La nube, el ERP, la nómina, la facturación y la conectividad dependen de terceros, y si uno de ellos cae, la operación puede detenerse aunque nadie la haya atacado directamente.
La segunda es que una copia de respaldo guardada en el mismo proveedor no basta. Si el servicio afectado incluye los respaldos, la empresa necesita copias que no dependan de ese mismo servicio.
Y la tercera es que la responsabilidad sobre los datos es compartida. La SIC le ordenó medidas al proveedor en su papel de responsable y de encargado, y quien contrata también tiene que exigir y verificar.
Cómo reducir el riesgo de terceros
El punto de partida es un inventario de proveedores críticos: qué servicio presta cada uno, qué procesos se detienen si falla y quién es el responsable interno de esa relación. Con ese inventario, los contratos pueden incluir reglas claras para los incidentes, como el plazo para avisar, la cooperación en la respuesta, la devolución de los datos, los respaldos y la continuidad del servicio.
Después vienen las medidas propias. Conviene tener respaldos que no dependan solo del proveedor, con restauraciones de prueba que queden registradas, y activar la autenticación multifactor en todas las cuentas, en especial en las de administración de servicios en la nube. También ayuda documentar un procedimiento manual para que los procesos críticos sigan funcionando mientras el proveedor se recupera, y ensayarlo al menos una vez al año: ¿qué haría la empresa si su proveedor principal estuviera caído 72 horas?
Ninguna empresa mediana puede blindarse contra todo, y la redundancia cuesta. La prioridad la marca el impacto: hay que empezar por el proveedor cuya caída detendría más procesos.
Fuentes
- MinTIC: comunicado sobre el ataque a IFX Networks, 13 de septiembre de 2023.
- Superintendencia de Industria y Comercio: boletín sobre la Resolución 18136 de 2026, 28 de mayo de 2026, y texto de la resolución, 13 de marzo de 2026.
- Verizon: resumen ejecutivo del informe de investigaciones de brechas de datos 2026, mayo de 2026.
- ENISA: panorama de amenazas 2026, 22 de septiembre de 2026.