Hackearon a tu proveedor. Tus datos se fueron con él.
🇺🇸 Read this article in English
La semana pasada, una empresa de la que la mayoría de los dueños de negocios nunca ha oído hablar tuvo que avisarle a 9.5 millones de personas que les robaron su información privada. La empresa se llama Aesto Health y está en Birmingham, Alabama. No atienden pacientes. No operan una clínica. Venden software que ayuda a los consultorios médicos a mover expedientes viejos cuando cambian de sistema o compran otra práctica.
Los atacantes entraron al entorno de nube de Amazon de esa empresa y se llevaron nombres, números de Seguro Social, historiales médicos, registros de facturación y datos de seguros de pacientes de más de veinte organizaciones de salud distintas. Esas veinte organizaciones no hicieron nada mal. Sus contraseñas estaban bien. Sus firewalls estaban bien. Simplemente le entregaron datos a un proveedor, que es algo que todo negocio del mundo hace todos los días.
Esa es la parte que quiero que consideres, porque también aplica a tu negocio.
Tus proveedores tienen tus datos en este momento
Tómate sesenta segundos y cuenta. Tu empresa de nómina tiene los números de Seguro Social de tus empleados. Tu contador tiene los datos de tu banco. Tu aplicación de citas tiene tu lista de clientes. Tu agencia de marketing tiene tu base de correos. Tu CRM tiene cada nota que escribiste sobre un cliente. Tu almacenamiento de archivos tiene tus contratos firmados.
La mayoría de los dueños con los que me siento aquí en Tucson pueden nombrar tres proveedores de memoria. Cuando de verdad revisamos juntos el estado de cuenta de la tarjeta, el número real casi siempre está entre quince y cuarenta.
Tus clientes no le llaman al proveedor
Esta es la verdad incómoda de una brecha de proveedor: tus clientes no saben ni les importa quién es tu proveedor de software. Ellos le dieron su información a ti. Cuando salga la carta de notificación, tu nombre es el que van a recordar, y tu teléfono es el que va a sonar.
Los reguladores y tu aseguradora tampoco
Si trabajas en salud, finanzas o derecho, casi siempre sigues siendo responsable por los datos que le entregaste a alguien más. Y si tienes un seguro cibernético, espera que la aseguradora te pregunte qué revisión hiciste de ese proveedor antes de compartir cualquier cosa. “Supuse que eran seguros” no es una respuesta que pague un reclamo.
Esto ya no es un caso raro
El Informe de Investigaciones de Brechas de Datos 2026 de Verizon encontró que un tercero estuvo involucrado en el 48% de todas las brechas, casi el doble que el año anterior. Los investigadores que siguen estos incidentes también encontraron que, por cada proveedor que sufre una brecha, en promedio cinco empresas que dependen de él quedan expuestas públicamente.
Dicho claro: una de las formas que más crece para que te hackeen en 2026 es no ser hackeado en absoluto, y simplemente hacer negocios con alguien que sí lo fue.
Lo que puedes hacer esta semana
- Arma la lista. Abre los estados de cuenta del banco y de la tarjeta de los últimos doce meses y anota cada suscripción de software y cada proveedor de servicios que pagas. Esa lista es tu superficie de riesgo real, y a casi todos los dueños les sorprende lo larga que es.
- Marca quién guarda lo delicado. Señala cada proveedor que maneja expedientes de clientes, registros de empleados o información bancaria. Esos son los que importan. Los demás pueden esperar.
- Hazles tres preguntas a los que marcaste. ¿Exigen autenticación de múltiples factores en mi cuenta? ¿Mis datos están cifrados donde los guardan? ¿Qué tan rápido me avisan si sufren una brecha? Pregúntalo por correo para tener las respuestas por escrito.
- Apaga lo que ya no usas. Esa prueba gratuita que abandonaste hace dos años todavía tiene tus datos y probablemente todavía tiene un acceso activo. Cancélala y pide por escrito que borren lo que guardan.
- Decide a quién vas a llamar. Si un proveedor te escribe un martes por la tarde para avisarte que perdió tus datos, ¿a quién le llamas primero? ¿A tu abogado? ¿A tu corredor de seguros? ¿A nosotros? Decídelo ahora, mientras nada está en llamas.
Dónde se conecta esto con todo lo demás
El riesgo de proveedores no es un problema aparte. Está justo al lado de lo básico que manejamos todos los días para nuestros clientes pequeños. Una buena protección de dispositivos evita que un atacante use un acceso robado de un proveedor para extenderse a tus computadoras. Los respaldos seguros de datos hacen que sigas teniendo tus registros aunque un proveedor pierda los suyos. Un buen filtrado de spam y virus atrapa la ola de phishing que siempre viene después de una brecha grande, cuando los criminales usan los datos robados para sonar convincentes. Y la capacitación en conciencia de seguridad evita que tu personal se convierta en el eslabón débil de la cadena de otro.
Es la misma lección de la brecha de actualizaciones sobre la que escribí la semana pasada, y la misma de casi todo lo que publico en nuestro blog: el mantenimiento aburrido es lo que te mantiene fuera de los titulares.
En resumen
No puedes auditar a un proveedor de nube como lo hace una empresa Fortune 500, y no deberías intentarlo. Pero sí puedes saber exactamente quién tiene tus datos, hacerles unas cuantas preguntas puntuales por escrito, y dejar de alimentar con información a empresas que ya no usas. Eso es una tarde de trabajo, y te pone por delante de la mayoría de los negocios de tu tamaño.
¿No sabes quién tiene tus datos?
Nos sentamos contigo, armamos juntos la lista de proveedores y te decimos con honestidad cuáles sí deberían preocuparte. Sin costo y sin presión.
Envíanos un mensaje
¿Tienes dudas sobre algún proveedor, o quieres una segunda opinión sobre un contrato antes de firmarlo? Mándalo y te respondo personalmente.
— Nemuel Cruz, Incognito Cyber Security
