Mi veredicto, de entrada: si gestionas un 3PL o un almacén de comercio electrónico, el seguro cibernético merece una seria consideración. Según el Data Breach Investigations Report 2026 de Verizon, el 96% de las víctimas de ransomware cuyo tamaño de organización se conocía eran pequeñas y medianas empresas. Los atacantes no van a por los objetivos más grandes: van a por los más blandos. Y aunque la póliza cibernética de una pequeña empresa cuesta una mediana de unos $1,550 al año, un solo ataque puede costar fácilmente cientos de miles. Esa cuenta ni siquiera está cerca.
Otoño de 2024. Un 3PL que conozco en el sur de California: un par de cientos de miles de pies cuadrados, siete u ocho clientes de comercio electrónico. Martes, 6 de la mañana: el supervisor descubre que la pantalla de inicio de sesión del WMS no carga. Un solo mensaje en su lugar: tus datos están cifrados, paga en Bitcoin en 72 horas. Durante tres días, más de 80 operarios de picking se quedaron sentados en la sala de descanso. Carretillas aparcadas en los pasillos. Cada terminal RF del edificio era un ladrillo: con el WMS muerto, no se podían liberar oleadas, no se imprimían etiquetas y toda la operación retrocedió a la era del papel y lápiz. El teléfono del dueño no paraba de sonar con clientes enfadados. Los sistemas volvieron el tercer día, y las horas extra y las facturas de flete urgente de la semana siguiente quemaron otro agujero.
Lo que tres días con el WMS bloqueado cuestan de verdad
La mayoría piensa que el daño de un ciberataque es "el rescate". Error. El rescate es solo la primera línea de la factura. Desgloso la cuenta real.
Primero, el tiempo de inactividad. Un almacén no es una oficina: cuando los sistemas de oficina caen la gente aún puede contestar correos, pero cuando muere el WMS, 80 personas se quedan ociosas. Con 80 trabajadores a $20 la hora, tres días de mano de obra ociosa pagada son casi $40,000, con cero unidades enviadas. Si fallas el corte del transportista, los pedidos de todo el día salen tarde; si tu enlace EDI con un cliente minorista cae, los cargos por incumplimiento empiezan a llegar automáticamente.
Segundo, la recuperación. Entra una firma forense para rastrear la vía de intrusión, se reconstruyen los sistemas, se restauran los datos. Un contrato con un equipo externo de respuesta a incidentes empieza en decenas de miles. Intervienen abogados para decidir qué debe revelarse a clientes y reguladores: la ley de privacidad de California tiene plazos de notificación de brechas, y no cumplirlos trae sus propias multas.
Tercero, la sangría lenta posterior. La confianza de los clientes de un 3PL se contabiliza en "incidentes": una sola interrupción de tres días y tu próxima negociación de renovación empieza con una rebaja de tarifa. Las cifras públicas son aleccionadoras: una brecha de datos cuesta de media a una pequeña empresa entre $120,000 y $1.24 million, las reclamaciones de seguros relacionadas con ransomware promedian entre $269,000 y $631,000, y el 60% de las pequeñas empresas afectadas por un ciberataque grave cierran en seis meses. Solo el 17% de las pequeñas empresas tienen seguro cibernético: el 83% camina desprotegido.
Y la logística está en el punto de mira. El informe de amenazas 2026 de CrowdStrike señaló que la actividad de intrusiones contra el sector logístico aumentó un 85% en 2025. Los almacenes invierten crónicamente poco en TI: el WMS, el TMS, las interfaces EDI, el escritorio remoto, un montón de sistemas heredados expuestos a internet. Para un atacante, eso es una fila de cajeros automáticos.
Lo que el seguro cibernético cubre de verdad — y lo que no
Una póliza típica tiene dos cajones. La cobertura de primera parte paga tus propias pérdidas: forense, el equipo de respuesta a incidentes, pérdidas por interrupción del negocio, restauración de datos, negociación y pago del rescate, costes de notificación a clientes, monitorización de crédito. La cobertura de terceros paga cuando otros vienen a por ti: demandas de clientes tras una filtración de datos, costes de defensa regulatoria, acuerdos, honorarios legales.
Pero hay trampas, y he visto a gente quemarse con ellas:
Vulnerabilidades conocidas sin parchear. Los suscriptores preguntarán por tu disciplina de parches, y si resulta que existía un parche desde hace seis meses y nunca lo aplicaste, la carta de denegación prácticamente se escribe sola. Sin MFA y sin copias de seguridad offline. La mayoría de las pólizas convencionales ya exigen la autenticación multifactor y las copias externas como condiciones de cobertura: si tu cuenta de administrador del WMS sigue siendo "admin/123456", arréglalo esta semana. Y los actos intencionados de tu propio personal están excluidos, igual que en cualquier póliza de propiedad.
¿Cuánto cuesta? Los datos de la plataforma de corretaje Insureon sitúan la mediana en unos $129 al mes para una pequeña empresa — poco más de $1,500 al año — con un rango general de $400 a $8,000 según ingresos, volumen de datos y postura de seguridad. Un límite de $1 million es el tramo habitual para pequeñas empresas. Nótese que las tarifas generales bajaron de hecho cerca de un 11% en 2025, pero los analistas esperan un rebote del 15–20% a medida que se multipliquen los ataques impulsados por IA: comprar pronto probablemente gane a comprar tarde.
Te hago las cuentas
Toma un 3PL de 100 personas: prima anual de $2,000–3,000 por $1 million en cobertura. Un solo evento de ransomware de tamaño medio — sin contar ningún rescate — quema $200,000 sin despeinarse entre tres días de mano de obra ociosa, forense, abogados y fletes urgentes de recuperación. La prima es dos órdenes de magnitud menor que la pérdida. Esto no es realmente una pregunta de "¿debería contratar el seguro?"; es "gasta $1 para cubrir $100 de riesgo". Mi juicio es tajante: si tu operación de almacenamiento factura más de $5 million al año y no tienes esto, estás apostando.
Pero no llames aún al bróker. Lo más valioso de la póliza quizá no sea el pago: son las cuatro cosas que la suscripción te obliga a hacer primero: MFA en todas partes, copias 3-2-1 (tres copias, dos tipos de soporte, una offline), EDR en los terminales, parches aplicados en 30 días. Haz esas cuatro y tu riesgo real ya ha caído en picado — y tu cotización baja con él. La jugada más inteligente que he visto funciona al revés: pon tu seguridad al nivel de la suscripción primero, entra con los registros de remediación y mira cómo cae la prima.
Una cosa que puedes hacer esta semana: haz a tu TI dos preguntas. Primera, ¿los puntos de entrada expuestos a internet — WMS, escritorio remoto — tienen MFA en las cuentas de administrador? Segunda, ¿la copia de la semana pasada se probó de verdad la restauración — no "copia correcta", sino restaurada y verificada de verdad? Un "no" a cualquiera de las dos y tu póliza podría no pagar cuando importe, y los atacantes te bloquearán igual. Haz primero esas dos cosas y luego habla de la póliza.
(Nota: esto es pensamiento general de gestión de riesgos, no asesoramiento de venta de seguros. Los términos y tarifas cambian: revisa la póliza vigente de cada aseguradora y habla con un bróker autorizado antes de comprar.)
Traducido del inglés. En caso de discrepancia, prevalece la versión en inglés.
