Meses de silencio tras un ciberataque: las víctimas solo ahora conocen la verdad

Meses de silencio – y luego estalla

Hay un patrón que se repite una y otra vez en el mundo de la ciberseguridad: se produce una intrusión, la empresa investiga y, cuando la verdad finalmente llega al público, ha pasado tanto tiempo que el daño ya es difícil de limitar. La japonesa Advantest, proveedora de equipos de prueba automatizados para fabricantes de semiconductores como Intel y Samsung, ilustra esto con una claridad brutal.

Según SecurityWeek, el ataque de extorsión original contra Advantest se dio a conocer ya en febrero de 2026. En ese momento, aún no estaba claro si se había filtrado información sensible. Ahora, meses después, la empresa envía notificaciones a las personas afectadas y confirma que los atacantes accedieron a una amplia gama de datos: nombres, fechas de nacimiento, datos de contacto, números de identidad personal, números de pasaporte y de permiso de conducir, así como información médica y financiera.

En su notificación a los afectados, Advantest escribe que no dispone de datos que indiquen que la información haya sido publicada o utilizada indebidamente, pero añade en la frase siguiente que el incidente puede haber aumentado el riesgo de robo de identidad y fraude. Es una formulación que, en la práctica, viene a decir: no lo sabemos, pero podría ser grave. No está claro cuántas personas se ven afectadas. Las denuncias presentadas ante las autoridades estatales de Estados Unidos apuntan a al menos unos cientos de afectados en California, pero es probable que la cifra real sea mucho mayor.

Llamativamente, ningún grupo de extorsión conocido se ha atribuido la autoría. Según informa SecurityWeek, es un patrón cada vez más común: los atacantes actúan en la sombra, evitan la atención pública y, con ello, dificultan la labor de investigación. Esto complica que las empresas identifiquen rápidamente a quién se enfrentan, y que las autoridades actúen.

Cuando los hackers hablan directamente con los clientes

Si el caso de Advantest trata de una transparencia tardía, la intrusión en ASOS se refiere a algo casi más espectacular: los atacantes se comunicaron directamente con los clientes y utilizaron los canales propios de la empresa para hacerlo.

Durante los últimos días, miles de clientes británicos de ASOS recibieron una notificación push en la aplicación móvil con el titular "ASOS hacked". El mensaje iba dirigido al delegado de protección de datos y al departamento de TI de la empresa, y afirmaba que los atacantes habían comprometido por completo su instancia de Snowflake. Así, los clientes se convirtieron en mensajeros involuntarios de un drama de extorsión.

ASOS confirma en un comunicado oficial a la Bolsa de Londres que personas no autorizadas lograron aprovechar una plataforma de comunicación externa para llegar a los clientes, y que la empresa limitó de inmediato el acceso. No se habrían visto afectados los datos de tarjetas de pago ni las contraseñas, pero sí podrían haberse expuesto datos básicos de contacto.

El investigador de seguridad Daniel dos Santos, de Forescout Research, establece, según SecurityWeek, paralelismos con la conocida intrusión en Snowflake de 2024, cuando el grupo de hackers ShinyHunters accedió a las bases de datos de más de 160 organizaciones. El patrón es conocido: una vulnerabilidad en una plataforma de terceros se utiliza como puerta de entrada a toda una cadena de ecosistemas empresariales.

Dependencias de terceros: el punto ciego

Esto es precisamente lo que une a los dos casos en un plano más profundo: la dependencia de plataformas y proveedores externos. Advantest sufrió un ataque de extorsión en el que todavía no está claro qué parte de la infraestructura fue el punto de entrada. ASOS fue atacada a través de una plataforma de comunicación que contrata para llegar a sus clientes.

Hoy en día, las empresas construyen ecosistemas complejos de socios, servicios en la nube y herramientas externas. Esto es necesario para la competitividad y la escalabilidad, pero cada eslabón de la cadena es también una posible vulnerabilidad. Cuando la seguridad no avanza al mismo ritmo que la digitalización, surgen brechas que los atacantes explotan con rapidez.

El coste real no es solo técnico. Se trata de confianza. Un cliente de ASOS que recibe en mitad de su día a día un inquietante mensaje push difícilmente volverá a confiar ciegamente en la aplicación. Un empleado de Advantest o un socio comercial cuyos números de pasaporte y datos médicos se hayan filtrado carga con ese riesgo durante meses, quizá años.

El mundo empresarial necesita tomar la ciberseguridad tan en serio como toma el crecimiento y la rentabilidad: no como una cuestión técnica para el departamento de TI, sino como un asunto estratégico de la dirección. Estos dos casos muestran lo que ocurre cuando no es así.