Por Daniel Monastersky – www.danielmonastersky.com
Es lunes a las nueve de la mañana. Abrís el sistema de liquidación de sueldos para ver el reporte del cierre del mes. La pantalla dice: “Servicio temporalmente no disponible”.
Pensás que es un problema técnico, una caída pasajera. Mandás un mail al soporte, no contestan. Llamás por teléfono, no contestan. A las dos de la tarde aparece un comunicado en la página del proveedor: “Estamos investigando un incidente de seguridad.”
A las seis, te enterás por una nota en LinkedIn que el incidente fue un ransomware, que los atacantes pidieron rescate y que en la base que afanaron había datos de todos los clientes del proveedor. Datos de empleados. Nombres. DNIs. Salarios. CBUs. Direcciones particulares.
De tus empleados.
Esa noche entendés algo incómodo: vos no te confiaste tu liquidación de sueldos a ese proveedor. Vos contrataste un software hace seis años, firmaste un contrato que probablemente no leíste con atención, y le pasaste los datos de toda tu gente. Después no preguntaste más. Asumiste que estaban bien guardados porque la empresa “es seria” o “es grande” o “la usan todos”.
El lunes te despertaste con un problema técnico. El martes te despertás con una crisis de protección de datos. Y la crisis no es de tu proveedor: es tuya.
El proveedor no es un proveedor: es una llave
Hay algo del modelo de negocios moderno al que nos acostumbramos sin querer: hoy una empresa de cincuenta personas tiene fácilmente cuarenta proveedores con acceso a información crítica de su operación.
El sistema de facturación electrónica. El CRM. El proveedor de mail marketing. La plataforma de videollamadas. El antivirus. La consultora de marketing que te ayuda con la base de clientes. El estudio contable que tiene todo. La agencia de RRHH que mueve los CVs. La empresa de seguridad que monitorea las oficinas. El IT externo que entra remoto cuando algo se rompe. El backup en la nube. La pasarela de pagos. El asistente que usa la directora general que abre Drive con todos los documentos de la compañía.
A cada uno le entregaste algo. A algunos, mucho. La mayoría tiene mejores accesos a tu información que un empleado nuevo en período de prueba. Y a casi ninguno lo conocés más allá del comercial que te firmó el contrato.
Eso es supply chain. No es un concepto técnico. Es el dibujo, hoy invisible, de quién puede tocar tus datos sin que se lo pidas.
La parte que da más miedo: no termina en tu proveedor
Acá viene el detalle que pocos miran. Tu proveedor también tiene proveedores.
Tu sistema de facturación corre arriba de un hosting que vos no contrataste. Ese hosting usa servicios de almacenamiento que tampoco contrataste. La plataforma de mail marketing que mandás todas las semanas tiene seis integraciones que se loguean con OAuth a tu cuenta sin que vos te enteres. La agencia que diseñó tu última campaña usó dos herramientas de IA, un repositorio de imágenes y una plataforma de revisión que comparte todo con un proveedor en otro continente.
Cada uno de ellos podría ser hackeado. Cada uno de ellos, si lo es, te alcanza a vos. Y entre tu empresa y la brecha no hay una conexión directa: hay una cadena de tres, cuatro o cinco eslabones de los cuales conocés —con suerte— el primero.
A esa cadena se la llama supply chain. Y hoy es la puerta de entrada favorita de cualquier ataque serio: no es necesario forzar tu cerradura cuando hay diez proveedores conectados a tu casa con llave maestra.
Los casos que ya no se pueden ignorar
Si alguien pensaba que esto era teoría, los últimos doce meses dejaron una serie de incidentes que conviene tener cerca.
En abril de 2025, Marks & Spencer —ícono del retail británico— fue golpeado por un ransomware durante el fin de semana de Pascua. Los atacantes no entraron por la puerta digital de M&S: entraron usando las credenciales de dos empleados de Tata Consultancy Services (TCS), el proveedor de IT que M&S tenía contratado hacía más de diez años. Resultado: tiendas funcionando con planillas en papel, sistema de e-commerce caído durante seis semanas, y una pérdida proyectada de 300 millones de libras según el propio reporte de la compañía a la Bolsa de Londres. Co-op y Harrods fueron golpeados días después por la misma campaña.
En agosto de 2025, Jaguar Land Rover sufrió uno de los ciberataques más caros de la historia. Cinco semanas con la producción detenida en sus plantas británicas. Más de 5.000 empresas de su cadena de suministro afectadas —proveedores, talleres, concesionarias, transportistas, comercios de los pueblos donde funcionan las fábricas—. La cuenta final, según el organismo independiente que monitorea estos incidentes en el Reino Unido, asciende a 1.900 millones de libras. Es el ataque cibernético más caro de la historia británica. Una sola compañía golpeada, miles de empresas con problemas. Así funciona la cadena hoy.
En noviembre de 2025, un actor no autorizado se metió en la red del sistema público de salud de Nueva York. No lo detectaron hasta febrero de 2026 —casi tres meses después—. La puerta de entrada fue un proveedor externo cuyo nombre no se hizo público. Cuando hicieron el inventario del daño, los números fueron de los peores que se vieron este año: 1,8 millones de personas con sus datos médicos, financieros, identificaciones gubernamentales y huellas dactilares y palmares expuestos. La biometría no se cambia: si te robaron las huellas, las tenés robadas para siempre.
Las llamadas no las recibió el proveedor. Las recibió, en cada caso, la empresa que confió en él.
Y un dato sobrio que vale repetir: según el último informe global de investigaciones de brechas (Verizon DBIR 2025), el porcentaje de brechas en las que estuvo involucrado un tercero pasó del 15% al 30% en un solo año. Se duplicó. Es uno de los cambios más significativos que registró el informe en sus 18 ediciones. El próximo incidente que sufra tu empresa, estadísticamente, va a venir de la mano de alguien con quien tenés contrato.
Por qué pasa lo que pasa
La pregunta razonable es: ¿cómo llegamos acá? La respuesta tiene tres capas y ninguna es novedosa.
La primera es que nadie tiene la foto completa. Las áreas comerciales contratan herramientas de marketing. RRHH contrata sistemas de selección y onboarding. Finanzas contrata software contable. Sistemas contrata infraestructura. Legales contrata gestores de firmas digitales. Cada área cumplió con su trabajo. Pero nadie, en muchas empresas, tiene un inventario único de qué proveedor tiene qué información, con qué nivel de acceso, bajo qué contrato. La empresa no tiene un mapa de su propia cadena.
La segunda es que firmar un contrato no es lo mismo que controlar al proveedor. Tener un anexo de confidencialidad no garantiza que el proveedor cifre tu información. Tener un acuerdo de tratamiento de datos no garantiza que esté cumpliendo con lo que firmó. La auditoría es un acto, no un papel. Y la auditoría a proveedores, en la mayoría de las empresas, no se hace nunca.
La tercera es que el proveedor también cambió sin avisarte. Hace cinco años contrataste un software simple, alojado en un único servidor. Hoy ese software usa quince integraciones, está conectado a tres proveedores nuevos, incorporó funcionalidades de inteligencia artificial que mueven tus datos por lugares que no estaban en el contrato original. Vos firmaste con el de 2020, pero estás expuesto al de 2026.
Lo que importa, en el idioma del que decide
Si sos quien firma los cheques o los contratos, conviene tener clara una cosa: cuando un proveedor sufre una brecha, la responsabilidad legal y reputacional es tuya, no de él.
La Ley 25.326 de Protección de Datos Personales pone la obligación sobre el responsable del tratamiento —es decir, sobre vos— de garantizar que el encargado al que le confiaste los datos los proteja correctamente. No alcanza con decir “yo confiaba en el proveedor”. La autoridad de aplicación va a preguntarte qué medidas tomaste para asegurarte de que esa confianza estuviera justificada. Y los proyectos de reforma que están en debate refuerzan ese principio: vas a tener que demostrar la diligencia, no solo declararla.
A esto se suma una verdad más simple y más dura: tu cliente no se enoja con tu proveedor. Se enoja con vos. Tu socio comercial no rompe la relación con tu proveedor. La rompe con vos. El medio que titula la noticia no nombra a tu proveedor en el zócalo. Te nombra a vos.
La cadena de suministro se contrata hacia abajo. La cuenta se paga hacia arriba.
Lo que sí se puede hacer
La buena noticia es que esto es ordenable. La mala es que ordenarlo no se hace en una tarde y no se hace solo.
El primer paso es hacer la lista. Mapear, sin pudor, qué proveedores hay, qué información manejan, con qué nivel de acceso. La mayoría de las empresas que hacen este ejercicio por primera vez se sorprenden con la cantidad. Lo que no se ve, no se gestiona.
El segundo paso es clasificar. No todos los proveedores son iguales. El que tiene acceso a tu base de clientes no es el mismo riesgo que el que te imprime las tarjetas personales. Categorizar permite invertir el esfuerzo donde realmente importa.
El tercer paso es revisar los contratos. No con el comercial que te llama para venderte el upgrade, sino con la mirada legal y técnica que aplique hoy: ¿hay cláusulas de notificación de incidentes? ¿En qué plazo? ¿Hay derecho a auditar? ¿Se identifican los subcontratistas?
El cuarto paso es auditar de verdad. No con una encuesta que el proveedor llena solo, sino con evidencias, pruebas, certificaciones verificables y conversaciones honestas con su equipo de seguridad. Los proveedores serios saben que esto es parte del juego y lo agradecen.
El quinto paso es no terminar nunca. El ecosistema cambia, los proveedores cambian, las amenazas cambian. La gestión de riesgo de proveedores no es un proyecto que se entrega y se archiva: es una práctica continua.
Volvé al lunes a la mañana del principio. El sistema caído. El soporte que no contesta. Esa escena no es un mal recuerdo. Es el primer minuto de un problema que ya empezó antes de que vos lo supieras. Empezó el día que firmaste un contrato sin preguntar. Siguió cada mes que pagaste la factura sin auditar. Y va a terminar el día que te llame el primer cliente preguntando dónde están sus datos.
Esa llamada se puede evitar. No del todo, no para siempre, pero sí en buena medida. Lo que no se puede evitar es la pregunta que va a venir después del incidente: “¿Por qué nunca auditamos a este proveedor?” El momento de tener la respuesta es ahora, no después.
Fuentes: Marks & Spencer (Reuters, BBC, Cybernews, mayo 2025); Jaguar Land Rover (Cyber Monitoring Centre UK, octubre 2025); NYC Health + Hospitals (aviso oficial, mayo 2026); Verizon Data Breach Investigations Report 2025; Ley 25.326 de Protección de Datos Personales y proyectos de reforma (AAIP).
Deja un comentario