Ciberseguro para almacenes: tras un ataque de ransomware al WMS, llegan tres facturas

Tuvimos un cliente, un 3PL en el este de China que operaba una instalación de 40,000 metros cuadrados para marcas de consumo de alta rotación. Un martes por la mañana de septiembre de 2024, su pantalla de acceso al WMS se convirtió en una nota de rescate. Los atacantes habían entrado a través de un servidor de impresión que llevaba años sin parches, cifraron la base de datos y exigieron $350,000 en bitcoin: pagar en 72 horas o la clave de descifrado sería eliminada.

La primera pregunta del dueño para mí: «Susan, contratamos un ciberseguro el año pasado, ¿paga ahora?». Le dije: despacio. Sumemos primero las tres facturas y después miramos la póliza.

Factura uno: el rescate: pagar o no pagar

Aquí va un secreto a voces del lado del proveedor: de las empresas que pagan el rescate, menos de la mitad reciben una herramienta de descifrado que funcione del todo. El FBI y todas las agencias nacionales de ciberseguridad dicen «no paguen», pero la realidad es que muchas empresas pagaron en silencio en 2024, porque el tiempo de inactividad costaba más.

Este cliente no pagó. ¿Por qué? Su equipo de TI subcontratado determinó que, aunque la base de datos estaba cifrada, el WCS (sistema de control de almacén) y el equipo de automatización estaban en un segmento de red separado, intactos. El picking podía avanzar a duras penas con tickets en papel. Pagar $350,000 compraba una herramienta de descifrado que podría funcionar; no pagar significaba apretar los dientes durante unos días de operación manual. Ese equilibrio es distinto para cada almacén: cuanto más automatizada esté tu instalación, menos viable es «operaremos en manual unos días». Cuando cae el WMS de un AS/RS totalmente automatizado, todo el edificio es solo estantería de acero cara.

Y aquí viene lo contraintuitivo: la mayoría supone que el ransomware trata de robar datos. Para un almacén, lo letal es cifrar los sistemas de producción. Los datos de clientes filtrados son un problema legal y de relaciones públicas; un WMS cifrado es un problema que quema dinero cada minuto.

Factura dos: el tiempo de inactividad: lo que realmente cuesta un día detenido

Desde las 8 AM del martes, cuando lo descubrieron, hasta la noche del domingo, cuando los sistemas volvieron, estuvieron detenidos seis días completos. Les ayudé a hacer las cuentas:

Míralo con claridad: $350,000 de rescate frente a $1,030,000 en pérdidas por inactividad. El número de la nota de rescate nunca es el número más grande. El tiempo de inactividad sí. Por eso algunas empresas pagan en silencio: $350,000 para detener una sangría de $1,030,000 es buena aritmética, aunque nadie lo admita en público.

Tuvimos otro cliente, a principios de 2025, un almacén de comercio electrónico transfronterizo en el sur de China: una historia más típica. No fue un ataque dirigido: un administrativo hizo clic en un correo de phishing disfrazado de «factura», el malware se movió lateralmente y dos días después tanto el sistema financiero como el WMS estaban cifrados. Instalación pequeña, 3,000 pedidos al día, cuatro días detenidos, unos $150,000 en pérdidas. El dueño me dijo: «Susan, yo pensaba que los hackers solo iban tras las grandes empresas». A los hackers no les importa lo grande que sea tu almacén. Escanean rangos de IP automáticamente y los prueban uno por uno. Si entran, entran.

Factura tres: la recuperación de datos: si tus respaldos te salvan depende de tres cosas

Mucha gente compra respaldos y duerme tranquila. He visto demasiados «teníamos respaldos pero no pudimos restaurar»: respaldos en el mismo segmento de red, cifrados junto con producción; respaldos corriendo tres años sin una sola prueba: el día de la restauración aparecen archivos corruptos; una ventana de retención de 7 días mientras los atacantes llevaban 20 días merodeando, así que cada respaldo ya llevaba el malware.

Si la recuperación te salva depende de tres cosas, todas innegociables:

1. Aislado y fuera del sitio: los respaldos deben estar físicamente aislados de la red de producción: cinta offline o almacenamiento inmutable. Un respaldo junto a producción no es un respaldo.
2. Simulacros regulares: ejecuta un simulacro de restauración completa cada trimestre, con cronómetro. Un simulacro te dice si tu «recuperación de 4 horas» es realmente de 4 horas o de 4 días.
3. Retención suficiente: al menos 30 días, idealmente 90. El tiempo de permanencia del ransomware se mide en semanas. Una ventana de retención de 7 días es teatro.

Este cliente terminó gastando $110,000 en recuperación y reconstrucción: una firma externa de seguridad para limpiar la red, reinstalar servidores, restaurar desde un respaldo offline de 40 días de antigüedad y luego reingresar manualmente seis días de operaciones con tickets en papel. $110,000 les compraron una lección cara.

Volviendo a la póliza: contrataste un ciberseguro, ¿realmente paga?

Ahora a la pregunta original del dueño. El ciberseguro normalmente cubre tres cosas: el rescate en sí (algunas pólizas), las pérdidas por interrupción del negocio y los costos de recuperación de datos. Suena genial. Pero aquí viene la parte interna que solo conoce el lado del proveedor: hay dos minas enterradas en las exclusiones.

La mina uno es «no mantener una seguridad razonable». Casi todas las pólizas la tienen. Traducido a lenguaje humano: si nunca aplicaste parches y tu contraseña seguía siendo admin123, la aseguradora puede calificarlo de negligencia grave y negar el reclamo. Para el cliente de arriba, ese servidor de impresión sin parches casi se convierte en el motivo de denegación: el bróker argumentó con fuerza que la gestión de parches había sido subcontratada al proveedor de TI, difuminando la línea de responsabilidad, y consiguió un pago parcial.

La mina dos es la «exclusión de guerra y actores estatales». Algunas pólizas más nuevas excluyen ataques «atribuibles a actores estatales», y la atribución en sí es un lío que nadie puede probar limpiamente. La aseguradora dice que parece una operación estatal; buena suerte probando lo contrario.

Así que mi veredicto: el ciberseguro no es una estafa, pero es un producto de pago condicional. Las primas anuales rondan el 1%–3% del monto de cobertura: una póliza de $2 million cuesta $20,000–$60,000 al año. Frente a $1,030,000 en pérdidas por inactividad, es dinero bien gastado, pero solo si tu seguridad base ya es lo bastante buena como para que las cláusulas de exclusión no te alcancen. De lo contrario, lo que compraste no es un seguro, es un placebo.

La próxima vez que negocies un contrato, haz estas tres preguntas

Ya sea que estés negociando la póliza con la aseguradora o la cláusula de responsabilidad de seguridad en un contrato de almacenamiento 3PL con tu cliente, haz estas tres:

1. «Bajo "no mantener una seguridad razonable", ¿qué cuenta específicamente?» Que lo enumeren punto por punto. Una exclusión que no pueden enumerar es solo intimidación.
2. «Para la interrupción del negocio, ¿pagan pérdidas reales o un monto diario fijo?» Si son pérdidas reales, pregunta qué pruebas exigen. Si es un monto diario, verifica si cubre tu gasto diario real.
3. «¿Los simulacros de respaldo y restauración están escritos en las condiciones de cobertura?» Algunas pólizas exigen simulacros trimestrales con registros archivados: si los omites, tu cobertura se reduce. Pregunta antes, no después del incidente.

Y una palabra honesta del lado del proveedor: estimados clientes, el gasto en seguridad siempre parece puro costo, hasta el día en que parece el dinero que te salvó. No esperes a que tu pantalla de acceso al WMS se convierta en una nota de rescate para preguntarle a Susan si conoce un buen bróker de seguros.

Por Susan, Directora de ventas 3PL

Traducido del inglés. En caso de discrepancia, prevalece la versión en inglés.