La dependencia de proveedores, servicios cloud, plataformas SaaS y aplicaciones externas se convirtió en uno de los principales desafíos para la ciberseguridad corporativa. La creciente integración entre organizaciones hace que un tercero ya no sea simplemente una compañía contratada para brindar un servicio, sino una extensión técnica del perímetro de seguridad, con acceso a datos, sistemas, identidades y operaciones críticas.
Luciano Moreira da Cruz, CTSO de Cloud Legion, en entrevista con ITSitio, advierte que las cifras más recientes muestran una aceleración de este fenómeno. Según explica, el porcentaje de brechas vinculadas con terceros pasó del 30% registrado por el Verizon DBIR 2025 al 48% en la edición 2026. “Ese número ya quedó corto: el DBIR 2026, publicado en mayo, lo llevó al 48%, un salto del 60% interanual”, señala.
Para Moreira, el problema responde a tres factores. Por un lado, el incentivo económico: comprometer un proveedor permite escalar un ataque hacia múltiples organizaciones. Por otro, la naturaleza de las integraciones actuales, basadas en tokens OAuth, APIs, cuentas de servicio y agentes con permisos dentro de los sistemas corporativos. Finalmente, está la velocidad de remediación, que en muchos casos resulta insuficiente frente al ritmo de los atacantes.
“Eso no es un proveedor, es una extensión del perímetro que no administramos”, sostiene. Y resume el cambio de paradigma con una advertencia: “El atacante no necesita vulnerarnos: le alcanza con la confianza que ya le dimos a otro”.
Tres casos, tres formas de fallar
Los incidentes protagonizados por Marks & Spencer, Jaguar Land Rover y Bybit permiten observar distintas variantes del riesgo de terceros. Moreira considera que no deberían analizarse como un único tipo de ataque.
En Marks & Spencer, el acceso se produjo a través de un service desk tercerizado, donde los atacantes se hicieron pasar por un empleado y obtuvieron un reseteo de contraseña. Luego avanzaron hacia Active Directory y el ransomware. En Jaguar Land Rover, en cambio, el problema estuvo relacionado con la dependencia operativa y el impacto que una interrupción prolongada puede generar en toda una cadena de proveedores. Bybit presentó un escenario diferente: el compromiso de la máquina de un desarrollador de un proveedor de billeteras permitió modificar la interfaz de firma.
“La lección común es incómoda: en ninguno de los tres el atacante entró por la puerta de la víctima. Y ninguno de los tres se hubiera detectado con un cuestionario anual”, afirma Moreira.
El especialista sostiene que esta realidad obliga a abandonar las evaluaciones puntuales de proveedores. Una revisión realizada al momento de la contratación ofrece una fotografía de una situación que puede cambiar rápidamente por nuevas integraciones, vulnerabilidades o modificaciones en los accesos.
“Porque una evaluación puntual mide lo que el proveedor declara un día del año, y el riesgo se mueve todos los días”, explica. Por eso, plantea que el monitoreo debe ser continuo y estar basado en la criticidad real de cada relación.
De inventariar proveedores a inventariar accesos
La gestión del riesgo tampoco debería comenzar por contar contratos. Para Moreira, el punto de partida debe ser identificar los accesos, integraciones y tokens que permanecen activos y determinar qué alcance tienen.
“Aceptando que el objetivo no es controlar, es reducir la superficie de confianza”, plantea. A partir de allí, recomienda clasificar a los terceros según su capacidad para acceder a información regulada, afectar la continuidad operativa o disponer de privilegios elevados.
La concentración también debe formar parte del análisis. Un mismo proveedor puede estar detrás de múltiples organizaciones y convertirse en un punto único de falla. A esto se suman contratos con obligaciones específicas sobre notificación de incidentes, auditorías, subcontratistas y planes de salida.
“Si nunca probaste operar sin tu proveedor crítico, no tenés un plan: tenés un documento”, advierte.
Identidades no humanas, un nuevo frente
Otro de los principales desafíos está en las identidades externas y no humanas. Las organizaciones suelen administrar cuentas de proveedores, cuentas de servicio, tokens y agentes utilizando criterios pensados originalmente para empleados.
“Los clásicos siguen vigentes —privilegios excesivos, cuentas huérfanas, credenciales compartidas, falta de MFA—, pero el error de fondo hoy es otro: seguimos gobernando identidades como si fueran personas”, sostiene.
El problema se vuelve especialmente relevante con los tokens OAuth y las cuentas de servicio. A diferencia de una contraseña, un token válido puede permitir el acceso sin activar un segundo factor, mientras que la actividad puede parecer legítima al tratarse de una aplicación previamente autorizada.
Por eso, Moreira señala tres fallas principales: no inventariar tokens y cuentas de servicio, no establecerles vencimientos y no contar con mecanismos capaces de revocarlos rápidamente.
La llegada de la IA a la cadena de suministro
La inteligencia artificial agrega una nueva dimensión al problema. El especialista considera que existe un fenómeno de “shadow AI” también dentro de los proveedores, con el riesgo adicional de que las organizaciones no tengan visibilidad sobre el uso que terceros hacen de sus datos.
“Sí, y en los terceros es peor, porque no lo vemos”, afirma. Entre los nuevos riesgos menciona proveedores que incorporan modelos de IA sin informar a sus clientes, asistentes con permisos capaces de convertirse en canales de exfiltración y agentes que operan como nuevas identidades no humanas.
Frente a este escenario, considera necesario establecer contractualmente qué modelos utiliza cada proveedor, dónde procesa la información, cuánto tiempo la conserva y si existen agentes con acceso a datos corporativos.
Qué deberían medir los equipos de seguridad
La gestión del riesgo de terceros requiere combinar herramientas de TPRM y EASM con controles adicionales sobre las integraciones, identidades y componentes tecnológicos. Moreira recomienda sumar inventarios de integraciones SaaS y concesiones OAuth, gestión de identidades no humanas, SBOM para componentes críticos y monitoreo de credenciales filtradas.
En cuanto a las métricas, propone abandonar indicadores centrados exclusivamente en actividad administrativa.
“Si el tablero dice ‘cuestionarios completados: 94%’, no estamos midiendo riesgo, estamos midiendo trabajo administrativo”, señala.
En su lugar, plantea medir el tiempo medio de revocación de accesos de terceros, la antigüedad máxima de tokens y cuentas de servicio, el tiempo que demora un proveedor en remediar una vulnerabilidad crítica y la cobertura efectiva de MFA en accesos externos.
Como cierre, Moreira resume sus prioridades para 2026 en inventariar accesos, implementar monitoreo continuo basado en riesgo y concentración, y extender Zero Trust hacia terceros e identidades no humanas. Y agrega una consideración especialmente relevante para el ecosistema tecnológico: “si sos MSP, integrador o desarrollador, vos también sos el tercero de alguien”. Para el especialista, demostrar una postura de seguridad con evidencia dejó de ser solamente una exigencia de cumplimiento para convertirse también en un argumento comercial.
Leer más
- Día de las Infancias en Argentina: advierten sobre riesgos de ciberseguridad ante el aumento de regalos tecnológicos
- El dilema de la ciberseguridad en el sector financiero: cómo mejorar la prevención de fraude sin destruir la experiencia del cliente
- “Secure the Work”: Cómo Citrix transforma la ciberseguridad y la experiencia de usuario en el mercado local
