Siete semanas sin ventas en línea: el caso que se convirtió en una línea del balance
En abril de 2025, la minorista británica Marks & Spencer fue blanco de un ciberataque de gran repercusión internacional. La compañía suspendió los pedidos por el sitio web y por la aplicación durante cerca de siete semanas, aproximadamente 46 días, y enfrentó fallas en los pagos sin contacto y desabastecimiento en tiendas físicas, según la cobertura de BleepingComputer. Para una operación minorista, esto significa que el canal digital dejó de existir durante más de un mes entero.
M&S confirmó públicamente que se accedió a datos personales de clientes, aunque declaró que los datos completos de tarjetas y las contraseñas no formaban parte del conjunto afectado. Reportajes de medios especializados atribuyeron el incidente al grupo conocido como Scattered Spider, con uso del ransomware DragonForce. Vale la pena separar lo que es un comunicado oficial de lo que es una atribución periodística: la empresa confirmó el acceso a los datos, mientras que la autoría y la familia de ransomware circularon en la prensa.
La cifra que captó la atención del mercado llegó después. En un comunicado a los inversionistas, la compañía estimó un impacto de cerca de £300 millones en la utilidad operativa del ejercicio, algo cercano a US$ 400 millones, parcialmente compensado por el seguro y otras medidas de mitigación. Es uno de los registros mejor documentados de cómo un incidente cibernético deja de ser un problema de TI y se convierte en un evento de resultados, con efecto sobre los ingresos, la reputación y el valor de mercado.
Nada de esto es exclusivo de los gigantes. El costo promedio global de una violación de datos fue de US$ 4,88 millones en 2024, según el Cost of a Data Breach Report de IBM. Las empresas medianas no tienen £300 millones de utilidad operativa para absorber el golpe, ni una póliza robusta, ni una estructura jurídica dedicada. El titular es más pequeño, y la probabilidad de no sobrevivir al intervalo es mayor.
Vectores que incidentes como este suelen explotar
Los detalles internos del incidente no son públicos, y ningún análisis externo puede afirmar qué falló dentro de la organización. Lo que sí se puede hacer, con utilidad real para quien decide, es observar los vectores que los ataques de esta naturaleza contra grandes operaciones generalmente explotan, y usarlos como espejo de la propia estructura.
Ingeniería social contra personas, no contra firewalls. Los grupos que actúan con este perfil son conocidos por llamar a las centrales de soporte haciéndose pasar por empleados y solicitar el restablecimiento de contraseña o el registro de un nuevo dispositivo de autenticación. Imagine el escenario en su empresa: alguien llama al soporte a las 19h de un viernes, menciona el nombre del gerente del área, informa el número de empleado y la fecha de nacimiento obtenidos en redes sociales y alega haber perdido el celular corporativo. Si la verificación de identidad depende del buen criterio del agente, el atacante no necesita ninguna vulnerabilidad técnica. Según el Data Breach Investigations Report de Verizon de 2024, el 68% de las violaciones involucraron un elemento humano no malicioso.
Credenciales válidas y accesos de terceros olvidados. Buena parte de los accesos iniciales no son intrusiones, son inicios de sesión. Las cuentas de proveedores de sistemas, integradores y prestadores de servicios suelen permanecer con privilegio administrativo permanente, sin expiración y sin autenticación multifactor. El escenario práctico es conocido: un usuario de VPN creado para un proyecto de migración que terminó dos años antes, con una contraseña reutilizada en un servicio personal que se filtró. Desde el punto de vista del sistema, quien entra es un usuario legítimo en un horario legítimo.
Red plana y privilegios excesivos. La diferencia entre un incidente en una máquina y una parada de semanas casi siempre está en lo que ocurre después del primer acceso. Cuando el ERP, el servidor de archivos, el sistema de inventario, el punto de venta y el entorno de respaldo conviven en la misma red sin segmentación, y la misma cuenta administrativa local existe en todos ellos, el atacante recorre la operación entera en horas. La segmentación no impide la entrada, limita el tamaño del daño.
Protección en capas: lo que se puede hacer en su estructura
Detección conductual con respuesta. El antivirus tradicional compara archivos con firmas conocidas. El EDR (Endpoint Detection and Response, detección y respuesta en terminales) observa el comportamiento, y por eso detecta una cuenta de servicio que comienza a borrar copias de sombra de madrugada incluso sin malware catalogado. Combinado con monitoreo proactivo 24/7 con triaje humano, la alerta se convierte en contención. Sin guardia permanente, la alerta solo espera a que comience la jornada laboral, y el Cost of a Data Breach Report de IBM de 2024 señala un promedio de 258 días para identificar y contener una violación.
Respaldo aislado, inmutable y probado. En el 94% de los ataques de ransomware los delincuentes intentaron comprometer los respaldos de la víctima, según el State of Ransomware 2024 de Sophos. Una copia accesible por la misma red y con las mismas credenciales del entorno productivo es un activo del atacante. Una estrategia madura de respaldo y recuperación ante desastres prevé aislamiento lógico, cifrado, inmutabilidad y restauración completa probada en un calendario fijo.
Identidad y superficie bajo control. La autenticación multifactor resistente al phishing en todos los accesos externos, la revisión periódica de cuentas privilegiadas, la eliminación de accesos de terceros al finalizar el contrato y la gestión continua de parches conforman la capa más barata y la más postergada. La corrección aplicada en una ventana definida, con un inventario actualizado, elimina la mayor parte de las oportunidades automatizadas.
Personas capacitadas y crisis ensayada. La capacitación continua con simulaciones de phishing y un guion formal de verificación de identidad en el soporte reduce el vector humano de forma medible. Junto a eso, un plan de respuesta a incidentes documentado, con roles definidos, árbol de comunicación, criterios para apagar sistemas y contactos jurídicos, necesita ser ejercitado. En regímenes como el GDPR y la LGPD, los plazos de notificación corren mientras la operación todavía está apagando el incendio.
Preguntas que todo responsable de decisiones debería hacerse ahora
Antes de cualquier presupuesto, tres preguntas separan a quien tiene una estrategia de quien tiene un conjunto de herramientas:
- ¿Mis copias de seguridad realmente funcionarían en un desastre como ese? ¿En cuánto tiempo vuelve a operar mi negocio?
- ¿Mi equipo cuenta con las herramientas adecuadas para identificar y bloquear un ataque antes del desastre? ¿Cómo estoy invirtiendo en su preparación?
- ¿Cuánto tiempo sobreviviría mi empresa sin acceso a los sistemas y archivos?
¿Mis copias de seguridad realmente funcionarían en un desastre como ese? ¿En cuánto tiempo vuelve a operar mi negocio?
Que exista una copia de seguridad no es lo mismo que tener capacidad de recuperación. Las copias accesibles por la misma red y con las mismas credenciales del entorno productivo son un blanco prioritario, y por eso una copia de seguridad que sirve en un desastre está aislada, cifrada, es inmutable y se valida con una restauración completa y cronometrada. Es esa prueba la que convierte el RTO y el RPO en números defendibles ante el consejo, en lugar de una intención escrita en una política y nunca ejercitada.
¿Mi equipo cuenta con las herramientas adecuadas para identificar y bloquear un ataque antes del desastre?
Son dos capas distintas. En herramientas, la diferencia práctica está entre la detección por firmas y la detección por comportamiento con capacidad de aislar el terminal automáticamente. La detección sin alguien que responda es una alerta en cola, por eso el monitoreo continuo con triaje humano pesa tanto como el agente instalado, algo que una operación de seguridad gestionada sostiene fuera del horario comercial. En preparación, lo barato suele ser lo descuidado: verificación formal de identidad en el soporte, simulaciones de phishing con métricas por área y un plan de respuesta ensayado al menos una vez al año.
¿Cuánto tiempo sobreviviría mi empresa sin acceso a los sistemas y archivos?
Esa pregunta convierte la seguridad en lenguaje de negocio. Marks & Spencer atravesó cerca de 46 días sin ventas en línea porque tenía caja, seguro y una marca centenaria para sostener el intervalo. Pocas empresas tienen ese margen. Calcular los ingresos por hora de inactividad, sumar la mano de obra ociosa, las multas contractuales y la pérdida de clientes produce un número que suele sorprender a la dirección. Con él en mano, el costo anual de monitoreo, gestión de parches, copia de seguridad aislada y respuesta a incidentes deja de ser un gasto y se convierte en una comparación directa con una semana de operación interrumpida.
Preguntas frecuentes
¿Qué revela el caso Marks & Spencer sobre el riesgo cibernético en operaciones que dependen de sistemas?
El ataque de abril de 2025 mantuvo las ventas en línea de la minorista suspendidas por cerca de 46 días y tuvo un impacto estimado por la propia compañía en torno a £300 millones en la ganancia operativa del ejercicio. El caso muestra que la principal pérdida financiera no proviene del rescate, sino de la interrupción prolongada de la operación. Las empresas sin caja, seguro y una marca consolidada tienden a sufrir proporcionalmente más con el mismo intervalo de indisponibilidad.
¿Cómo saber si mi copia de seguridad resistiría un ataque de ransomware?
Una copia de seguridad solo es confiable cuando está aislada de la red productiva, protegida por credenciales distintas, cifrada y almacenada en formato inmutable, que impide su alteración o eliminación dentro de un período definido. La prueba decisiva es la restauración completa y cronometrada de un sistema crítico, ejecutada en un calendario fijo. Un panel de estado en verde no comprueba la recuperación, solo indica que la rutina de copia fue ejecutada.
¿Cuál es la diferencia entre el antivirus tradicional y el EDR?
El antivirus tradicional identifica amenazas comparando archivos con una base de firmas ya conocidas, lo que lo deja ciego ante código nuevo o ante el abuso de herramientas legítimas del sistema. El EDR, sigla de Endpoint Detection and Response, analiza el comportamiento de los procesos y permite aislar automáticamente un terminal comprometido. Su valor real depende de que haya monitoreo y respuesta humana disponibles fuera del horario comercial, cuando la mayoría de los ataques avanza.
Si su empresa aún no cuenta con una estrategia integrada de protección en capas, considere realizar un Diagnóstico Estratégico de TI, sin compromiso, para identificar vulnerabilidades antes de que se conviertan en titulares.