El año 2025 consolidó una transición que el comité de riesgos de cualquier organización debe registrar en acta: el ataque a la cadena de suministro dejó de ser un evento excepcional y pasó a formar parte de la línea base del riesgo cibernético corporativo. Las cifras publicadas por proveedores de inteligencia de amenazas y por informes sectoriales convergen en la misma lectura. El volumen de incidentes originados en terceros se duplicó con respecto a 2024, el costo agregado alcanzó decenas de miles de millones de dólares por año, y sectores enteros de la economía real pasaron a operar bajo un perfil de exposición materialmente más elevado.
Este documento examina lo que cambió en el vector de la cadena de suministro, presenta los casos públicos que definieron el período y propone una agenda de reducción de exposición adecuada para consejos de administración, comités de auditoría y áreas de seguridad de la información.
Lo que establecen los datos de 2025
El informe de la unidad x63 del Grupo Cipher/Prosegur estima en más de US$ 53.200 millones por año el costo agregado de los ataques a la cadena de suministro de software, con los incidentes globales duplicándose en 2025 en la comparación anual y un costo medio cercano a los 4,33 millones de euros por evento. El mismo estudio señala que el 22,5% de todas las violaciones registradas en 2025 involucraron a terceros o proveedores — el doble de la proporción observada el año anterior (Prosegur).
La tendencia se corrobora con fuentes independientes. El Verizon 2025 Data Breach Investigations Report identificó la duplicación de la participación de terceros en las violaciones, subiendo de aproximadamente un 15% a un 30% en un único ciclo anual, movimiento atribuido a la explotación masiva de software de transferencia de archivos, a la reutilización de credenciales entre ecosistemas de proveedores y a la maduración de los mercados de intermediarios de acceso (Help Net Security).
El componente financiero merece atención particular del comité de auditoría. Según el IBM Cost of a Data Breach Report 2025, un compromiso originado en la cadena de suministro cuesta, en promedio, US$ 4,91 millones y tarda 267 días en ser identificado y contenido — el ciclo de vida más largo entre todos los vectores de violación monitoreados por el estudio. El tiempo prolongado de detección amplía el impacto operativo, económico y reputacional, y constituye, por sí solo, un indicador de que los controles tradicionales de perímetro no alcanzan el riesgo introducido por los proveedores.
La distribución sectorial refuerza la materialidad. El sector de manufactura registró un crecimiento del 61% en los ataques año tras año, figurando entre los más afectados junto con tecnología y comercio minorista — segmentos caracterizados por una alta interconexión y por cadenas de suministro extensas y globalizadas (Prosegur). Para las organizaciones industriales, la convergencia entre tecnología de la información y tecnología operativa convierte a cada proveedor de software embebido, cada componente de código abierto y cada integrador tercerizado en un punto de entrada con potencial de interrupción de la producción.
Lo que cambió: de la intrusión puntual a la propagación automatizada
La distinción cualitativa de 2025 está en el grado de automatización y autopropagación de los ataques. El ecosistema de código abierto, sobre el cual reposa la mayor parte del software corporativo moderno, se convirtió en el principal teatro de operaciones.
El episodio más representativo fue el gusano identificado como Shai-Hulud. A partir del 15 de septiembre de 2025, se publicaron versiones maliciosas de múltiples paquetes populares en el repositorio npm con un script de posinstalación que recopilaba secretos, variables de entorno y claves de nube, empleando la herramienta TruffleHog para localizar credenciales y exfiltrando los datos hacia repositorios públicos creados en GitHub bajo el nombre Shai-Hulud. El código exhibía comportamiento de gusano: al encontrar tokens npm adicionales en el entorno comprometido, publicaba automáticamente versiones maliciosas de todos los paquetes accesibles, propagándose por el ecosistema sin intervención humana. Se trata del primer ataque autopropagable exitoso documentado en npm y uno de los incidentes de cadena de suministro de JavaScript más severos jamás observados (Unit 42, Palo Alto Networks; Wiz). La gravedad motivó una alerta pública de CISA sobre el compromiso generalizado del ecosistema npm (CISA).
En paralelo, la campaña IndonesianFoods demostró una segunda faceta del riesgo: la saturación del repositorio. Una carga útil de spam automatizada publicó más de 100.000 paquetes en npm, generando nuevos artefactos a intervalos de pocos segundos. La campaña se inició dos años antes, con decenas de miles de paquetes añadidos en 2023, monetización implementada en 2024 y el mecanismo de autorreplicación introducido en 2025 (Sonatype; BleepingComputer). El efecto es la degradación de la confianza en el propio repositorio y el aumento de la superficie sobre la que los equipos de seguridad deben ejercer vigilancia.
La transición es clara. El adversario dejó de depender de una intrusión manual en un objetivo específico y pasó a operar mecanismos que se multiplican por sí solos a través de las relaciones de dependencia entre paquetes y proveedores.
El contexto histórico: la trayectoria hasta 2025
La duplicación de 2025 tiene raíces en los incidentes que estructuraron la percepción del riesgo de terceros en los años anteriores.
El caso MOVEit, en 2023, permanece como referencia de escala. La explotación de una vulnerabilidad en el software de transferencia de archivos MOVEit Transfer por parte del grupo Cl0p afectó, según estimaciones públicas, a miles de organizaciones y decenas de millones de individuos, con el dato comprometido en un único proveedor propagándose por toda su base de clientes. El episodio estableció el patrón de explotación masiva de software compartido que el DBIR de 2025 identificaría como uno de los motores de la duplicación.
El caso Polyfill.io, en 2024, ilustró la vía del proveedor de infraestructura confiable. Tras la adquisición del dominio, previamente legítimo, por un nuevo operador, se comenzó a inyectar código malicioso en más de 110.000 sitios que cargaban scripts desde el CDN comprometido, con ejecución condicionada a dispositivos específicos para dificultar la detección. Incluso tras la eliminación del dominio, cientos de miles de hosts continuaron referenciando el script malicioso (Sansec; The Hacker News). El caso demostró que un activo de terceros incorporado al front-end corporativo — a menudo olvidado en los pies de página de sitios antiguos — constituye una exposición directa.
La línea que une a MOVEit, Polyfill.io y Shai-Hulud es la dependencia: la organización hereda el riesgo de cada proveedor, biblioteca y servicio que incorpora a su operación, y ese riesgo se materializa por caminos que el perímetro tradicional no observa.
Una agenda de reducción de exposición
La respuesta adecuada es la incorporación del riesgo de terceros a la disciplina de gestión de exposición, con controles verificables y revisados de forma continua. Los siguientes frentes componen una agenda defendible ante el consejo.
- Inventario completo de la cadena digital. Mantenga un mapeo actualizado de los proveedores de software, prestadores de servicio, componentes de código abierto y activos de terceros embebidos en aplicaciones y páginas públicas. La exposición que no se inventaría no se gestiona.
- Inventario de materiales de software (SBOM). Exija y mantenga el registro de las dependencias de cada aplicación crítica, de modo que la organización pueda responder, en horas, a la pregunta sobre qué sistema utiliza un componente recién comprometido.
- Higiene de dependencias e integridad de artefactos. Fije versiones, verifique firmas e integridad de los paquetes, restrinja la ejecución automática de scripts de posinstalación y monitoree alteraciones abruptas en bibliotecas de terceros.
- Gobernanza de acceso de terceros. Aplique privilegio mínimo, credenciales segregadas y rotación regular para las integraciones de proveedores, conteniendo el alcance de una credencial comprometida antes de que se convierta en movimiento lateral.
- Cláusulas contractuales y evaluación continua. Establezca requisitos de seguridad, derecho de auditoría y obligaciones de notificación de incidentes en los contratos, y sustituya la evaluación anual de proveedores por un seguimiento continuo de su respectivo perfil de exposición pública.
- Planes de respuesta que contemplen al tercero. Incluya escenarios de compromiso de proveedor en los ejercicios de respuesta a incidentes, considerando que el tiempo medio de contención de este vector supera los 260 días y exige preparación específica.
La prioridad recae sobre la reducción del intervalo entre la introducción de una exposición en la cadena y su identificación. Es en ese intervalo — medido en cientos de días por los informes de 2025 — donde el costo de un incidente se acumula.
Conclusión
Los datos de 2025 recomiendan que el riesgo de cadena de suministro se trate como una categoría propia en la gobernanza de riesgos corporativos, con métricas, responsables y revisión periódica en comité. La duplicación del volumen de incidentes, la participación de terceros en casi un cuarto de las violaciones y el costo agregado en el orden de las decenas de miles de millones de dólares configuran un riesgo material, defendible con fuentes públicas e independiente de cualquier lectura alarmista. Lo que la organización no observa en su cadena digital permanece expuesto hasta que un adversario lo observe primero.
CSURFACE aborda este riesgo mediante la gestión continua de la superficie de ataque externa y el mapeo de la cadena digital de terceros, ofreciendo a las áreas de seguridad y a los comités una visión actualizada de los activos, proveedores y dependencias expuestos al exterior. El resultado es la reducción del intervalo entre la introducción de una exposición y su identificación, y la capacidad de sustentar decisiones de riesgo con evidencia verificable.
Fuentes
- Prosegur — Cyberattacks on the supply chain double by 2025, reaching annual global cost of $53.2 billion
- Help Net Security — Third-party breaches double, creating ripple effects across industries
- Unit 42 (Palo Alto Networks) — "Shai-Hulud" Worm Compromises npm Ecosystem in Supply Chain Attack
- Wiz — Shai-Hulud npm Supply Chain Attack
- CISA — Widespread Supply Chain Compromise Impacting npm Ecosystem
- Sonatype — Unprecedented automation: IndonesianFoods pits open source against itself
- BleepingComputer — New 'IndonesianFoods' spammer floods npm with 150,000 packages
- Sansec — Polyfill supply chain attack hits 100K+ sites
- The Hacker News — Over 110,000 Websites Affected by Hijacked Polyfill Supply Chain Attack