Por Qué el Acceso de Terceros Es el Eslabón Más Débil en la Seguridad Empresarial

El mes pasado, dos grandes marcas, Marks & Spencer (M&S) y Coinbase, se convirtieron en las últimas víctimas de una creciente ola de ciberataques dirigidos a los servicios de soporte de terceros. No se trató de exploits sofisticados de día cero ni de ataques patrocinados por estados. Fueron trabajos internos, posibles gracias a credenciales gestionadas por humanos en manos de terceros.

¿El resultado? Cientos de millones en daños, operaciones interrumpidas y pérdida de confianza de los clientes. Aquí te explicamos qué salió mal, por qué sucedió y cómo MyCena^® hace imposible este tipo de brechas.

¿Qué sucedió?

Marks & Spencer (M&S)

Los atacantes infiltraron M&S explotando un contratista externo con acceso a sus sistemas. Una vez dentro, robaron datos personales de los clientes, incluidos detalles de contacto e historial de pedidos, y afectaron las operaciones en línea. Aunque no se accedió a datos financieros, el impacto fue enorme: pedidos en línea detenidos, ingresos perdidos, consecuencias legales y pérdida de confianza de los clientes.

• Pérdidas estimadas: £43 millones por semana en ventas detenidas
• Impacto en valor de mercado: Más de £1.2 mil millones eliminados
• Costo reputacional: Aumento de quejas de clientes y demanda colectiva en curso

Coinbase

En el caso de Coinbase, los atacantes sobornaron a contratistas de soporte al cliente en el extranjero para que hicieran un uso indebido de su acceso interno. Esto les permitió extraer información personal de los clientes: nombres, identificaciones, detalles bancarios enmascarados y más. Aunque las credenciales de inicio de sesión y los fondos no fueron tocados, la brecha provocó acciones legales, un intento de extorsión y cientos de millones en pérdidas proyectadas.

• Demanda de rescate: $20 millones
• Costos de remediación proyectados: Entre $180 millones y $400 millones
• Impacto legal: Investigación en curso del DOJ + demandas civiles por incumplimiento en la protección de datos de usuarios

Por qué sucedió

A pesar de su tamaño y recursos, ambas organizaciones dependieron de terceros para acceder a sistemas críticos utilizando métodos tradicionales basados en identidad —normalmente nombres de usuario y contraseñas o credenciales compartidas. Ese es el problema.

Los modelos tradicionales de credenciales son inherentemente defectuosos.
Cuando las credenciales son gestionadas por personas —ya sea personal interno o contratistas externos— pueden ser objeto de phishing, compartidas, reutilizadas, vendidas o robadas. En ambas brechas, los atacantes no necesitaban forzar la entrada. Solo encontraron a alguien que ya tenía la llave —o hicieron una copia de ella.

Este es el peligro del acceso de terceros en las cadenas de suministro conectadas de hoy: heredas todas las debilidades que tengan tus proveedores y socios.

Cómo MyCena^® hace que las brechas de terceros sean imposibles:

En MyCena^®, eliminamos el problema de raíz: removemos a los humanos de la gestión de credenciales por completo.

Así es como MyCena^® con su Seguridad de Acceso Dinámico Multicapa Cifrada (ML-DAES) previene las brechas de credenciales de terceros:

• Credenciales Inhackeables: MyCena^® genera y cifra las credenciales automáticamente —los usuarios nunca ven, crean ni comparten contraseñas. Eso significa que no hay nada que phishear, sobornar o manejar incorrectamente.
• Segmentación de Acceso: El acceso de terceros está estrictamente limitado por sistema y rol, y cada usuario solo obtiene acceso al sistema específico que necesita, evitando movimientos laterales.
• Sin Visibilidad = Sin Robo: Sin que las credenciales sean visibles, no pueden ser phisheadas, reutilizadas ni vendidas —ni bajo coerción o soborno.
• Registros Listos para Auditoría: Cada acción de acceso se registra en tiempo real, asegurando gobernanza completa y preparación instantánea para auditorías tanto de usuarios internos como externos.

Con MyCena^®, no hay restablecimiento de contraseñas que robar, ni hojas de cálculo que filtrar, ni eslabón débil de terceros que explotar. Nuestra tecnología elimina el factor de riesgo humano al eliminar por completo las credenciales gestionadas por empleados, y el acceso de terceros no implica riesgo de terceros.

Reflexión Final

Las brechas de M&S y Coinbase son una llamada de atención para cualquier empresa que comparta acceso con socios, proveedores o contratistas. Puedes confiar en ellos, pero ¿puedes confiar en sus prácticas de ciberseguridad?

Pregúntate: ¿Dejarías que los proveedores hicieran copias físicas de las llaves de tu oficina y las entregaran a personal desconocido? Eso es exactamente lo que sucede cuando permites que los humanos gestionen credenciales digitales.

MyCena^® hace que ese escenario sea obsoleto. Con acceso cifrado, automatizado y segmentado, mantienes el control incluso cuando el acceso es compartido.

Porque cuando nadie ve las llaves, nadie puede robarlas.

¿Listo para hacer del phishing cosa del pasado?

Reserva un demo con MyCena^® hoy y descubre cómo la gestión de credenciales cifrada y sin intervención de empleados puede transformar tu postura de ciberseguridad.