¿No hay leche en el súper? La importancia de la ciberseguridad en el sector de la alimentación

Las empresas deben potenciar la ciberseguridad en el sector de la alimentación para evitar incidentes graves que paralicen sus actividades y causen pérdidas millonarias

Hace unos días, se anunció en la Dark Web que el grupo de ransomware Akira había conseguido atacar con éxito a Vicky Foods, una compañía especializada en la fabricación de productos de panadería que se pueden encontrar en todos los supermercados españoles. Los ciberdelincuentes afirman poseer 10 GB de información corporativa incluyendo datos de contacto de clientes y trabajadores, licencias de la empresa, contratos con proveedores e información financiera. Si bien, por el momento, no se ha exfiltrado ningún dato y la compañía no ha arrojado luz sobre esta cuestión.

Este suceso evidencia, una vez más, que la ciberseguridad en el sector de la alimentación es una cuestión absolutamente estratégica para las empresas. Solo mediante estrategias de seguridad robustas, las compañías que fabrican, procesan y/o comercializan alimentos pueden hacer frente al creciente número de ciberataques que se ciernen sobre ellas.

Si a ello le sumamos que, como alertó el FBI hace unos meses, las amenazas son cada vez más complejas y graves, nos encontramos con que las organizaciones deben poner el foco en la ciberseguridad en el sector de la alimentación.

A continuación, vamos a abordar el panorama de amenazas al que se enfrentan las empresas alimentarias, así como las consecuencias de incidentes de seguridad graves y las exigencias del marco normativo.

1. Detrás de los espaguetis hay una potente infraestructura tecnológica

¿Por qué el sector de la alimentación está en el punto de mira de los grupos delictivos? Podríamos agrupar las causas en dos grandes grupos: su alta ciberexposición y las consecuencias de incidentes graves.

1.1. Tecnología, ciberexposición y falta de concienciación de los peligros a los que se enfrentan

• Es un ámbito del tejido productivo en el que la tecnología juega un papel trascendental. Las empresas alimentarias han experimentado en las últimas décadas una auténtica revolución tecnológica. La robotización y automatización de procesos se ha extendido por todas las empresas, no solo por las grandes compañías. ¿Por qué? Solo mediante el uso de tecnología pueden reducir los tiempos de fabricación, ahorrar costes, reducir el consumo de agua y resultar competitivas.
• Como consecuencia de ello, el nivel de ciberexposición de las empresas alimentarias es muy elevado y ha crecido de manera exponencial en los últimos años gracias a:
  • La implementación de dispositivos IIoT (Industrial Internet of Things) y sistemas ICS (Industrial Control Systems) en las fábricas.
  • El salto al Cloud para abaratar costes y facilitar la escalabilidad de los negocios.
  • El uso de SaaS (Software as a Service) para gestionar la comercialización de los productos alimentarios, la relación con clientes y proveedores, las cuestiones logísticas o las finanzas.
• Aunque existen grandes corporaciones, también hay un amplio ecosistema de pymes que no priorizan la ciberseguridad en el sector de la alimentación y no destinan los recursos necesarios para fortalecer su postura de seguridad.
• El alto nivel de madurez tecnológica de las empresas no se corresponde con el nivel de madurez en ciberseguridad. Por ello, las empresas alimentarias son un objetivo más accesible para los ciberdelincuentes que otras compañías con una infraestructura tecnológica similar.

1.2. Parálisis de la actividad y capacidad de extorsión

• Las consecuencias de incidentes de seguridad graves pueden ser extremadamente perniciosas para las compañías alimentarias, sobre todo, si se ven obligadas a desconectar sus sistemas para contener los ataques y, por ende, ven amenazada su continuidad de negocio.
• Precisamente, la situación de desesperación de las empresas las convierte en objetivos prioritarios para los ciberdelincuentes. Ya que a través de ataques de ransomware pueden extorsionar a las empresas y obtener beneficios económicos directos e inmediatos.

2. Ataques contra compañías logísticas, otra forma de poner en jaque la ciberseguridad en el sector de la alimentación

Hace unos años, los supermercados de los Países Bajos sufrieron el desabastecimiento de un producto clave para la felicidad de millones de personas: el queso.

El motivo de esta situación fue un ciberataque de ransomware exitoso contra Bakker Logistiek, una de las principales compañías logísticas del país. Como consecuencia de este incidente, la empresa estuvo varios días sin poder gestionar los pedidos de los supermercados y, por lo tanto, era incapaz de proveerlos.

Este incidente nos permite vislumbrar el papel que juega la cadena logística en la ciberseguridad del sector de la alimentación.

Así, las compañías alimentarias no solo deben contar con estrategias de ciberseguridad sólidas, sino que han de tener en cuenta las exigencias de ciberseguridad en el sector de la alimentación a la hora de contratar a sus proveedores logísticos.

3. Consecuencias de los ataques contra compañías alimentarias

3.1. Parálisis de los procesos de fabricación

La consecuencia más temida por muchas compañías alimentarias es que un ciberataque cause la parálisis de los procesos de elaboración o procesado de alimentos. En 2021, JBS, una multinacional cárnica, tuvo que interrumpir el funcionamiento de decenas de plantas de procesado de carne en Estados Unidos y Canadá durante dos días. Para salir de esta situación, JBS aceptó pagar a los delincuentes un rescate de 11 millones de dólares.

Ante un escenario similar se encontró en 2024 Duvel, una de las grandes compañías cerveceras belgas, que vio cómo un incidente paralizó la fabricación de cerveza durante días.

Como apuntamos antes, no solo las grandes compañías están en la diana de los actores maliciosos. Este verano, Vital Bircher, una pequeña granja suiza sufrió un ciberataque en sus sistemas de extracción de leche y de control del estado de salud de sus vacas. Los delincuentes exigían el pago de un rescate de 10.000 dólares. La granja no los abonó y finalmente una vaca embarazada y su cría murieron.

3.2. Disrupciones en la gestión de pedidos

No solo las fases elaboración y procesamiento se pueden ver afectadas por los ciberataques. También en el último verano, Alcampo, una multinacional francesa de hipermercados, sufrió un incidente de seguridad que afectó a sus sistemas de pedidos de las tiendas, lo que provocó el desabastecimiento de algunos productos.

Lo mismo le había ocurrido unos días antes a Co-op, otra compañía de supermercados, en este caso canadiense.

3.3. Robo de datos y propiedad industrial

A estas consecuencias de los incidentes de seguridad debemos sumar el hecho de que los ataques de ransomware se pueden saldar con el robo de datos de contacto e información financiera de clientes, proveedores o trabajadores.

Además, entre los objetivos de los actores maliciosos también están el espionaje industrial o la vulneración de propiedad intelectual e industrial, una cuestión especialmente sensible para las compañías alimentarias. Al fin y al cabo, como se dice popularmente, la fórmula de la Coca-Cola es el secreto mejor guardado del mundo.

Habida cuenta de las consecuencias que acabamos de exponer, debemos hacer hincapié en que la ciberseguridad en el sector de la alimentación es crítica para evitar pérdidas económicas severas y difíciles de cuantificar, así como daños reputacionales que pueden menoscabar la relación de las empresas con sus clientes y poner en jaque su modelo de negocio.

4. Fortalecer la ciberseguridad en el sector de la alimentación va a ser una obligación legal

La gravedad de las consecuencias a las que se exponen las compañías que sufren incidentes graves evidencia la necesidad de fortalecer la ciberseguridad en el sector de la alimentación.

Aun así, algunas empresas siguen sin situar la ciberseguridad en el centro de sus estrategias. Una situación que va a cambiar para las medianas y grandes compañías cuando entre en vigor la futura Ley de Coordinación y Gobernanza de la Ciberseguridad, una norma que transpone la directiva NIS2.

Esta ley que será aprobada a lo largo de 2025 establece una serie de obligaciones en materia de ciberseguridad, gestión de vulnerabilidades y respuesta a incidentes a empresas de 20 sectores económicos entre los que se halla la alimentación.

¿Qué compañías deberán reforzar por mandato legal su ciberseguridad en el sector de la alimentación?

Todas las organizaciones que operen en nuestro país y cumplan estos dos requisitos:

1. Tengan a 50 o más trabajadores en plantilla.
2. Hayan registrado un volumen de negocios global superior a los 10 millones de euros en el último año.

Por lo tanto, optimizar la ciberseguridad en el sector de la alimentación pasará a ser una obligación legal en el corto plazo para decenas de empresas. Las compañías incumplidoras se exponen a sanciones millonarias, a la pérdida de certificaciones, a la imposición de multas coercitivas y a la suspensión de sus CEOs.

5. Servicios de ciberseguridad para proteger a las empresas y a sus modelos de negocio frente a los ataques

¿Qué pueden hacer las empresas alimentarias para reforzar sus estrategias de ciberseguridad, mejorar sus capacidades de detección y respuesta a incidentes y adaptarse a la futura Ley de Ciberseguridad?

Las organizaciones tienen a su disposición un amplio abanico de servicios de ciberseguridad que les ayudarán a optimizar su postura de seguridad y a incrementar su resiliencia frente a los ataques:

• Auditorías de seguridad web, Cloud, IoT. Realizar auditorías de seguridad de manera recurrente es fundamental para monitorizar todos los activos de la infraestructura tecnológica de una empresa y detectar vulnerabilidades antes de que sean explotadas por los actores maliciosos.
• Gestión de vulnerabilidades a lo largo de su ciclo de vida para priorizar su remediación en función de los recursos de la empresa y el nivel de criticidad de la vulnerabilidad para su modelo de negocio.
• Servicios de Red Team que lleven a cabo simulaciones de ransomware y otros escenarios específicos para las empresas alimentarias. A la luz de los ejemplos que hemos ido desgranando en este artículo sobre ciberseguridad en el sector de la alimentación resulta evidente que la ejecución de ransomware en sus sistemas es una de las grandes amenazas a las que se enfrentan. Los profesionales del Red Team replican las técnicas, tácticas y procedimientos de los actores maliciosos para llevar a cabo ataques simulados 100% realistas y evaluar los mecanismos de prevención, detección y respuesta de las organizaciones.
• Servicios de respuesta a incidentes proactivos que comiencen a trabajar nada más se detecte un incidente, puedan contenerlo, expulsar al actor malicioso y permitir que la empresa vuelva a la normalidad en el menor tiempo posible.

5.1. La ciberseguridad en el sector de la alimentación permite a las empresas beneficiarse de la tecnología y protegerla

En definitiva, aunque no se le presta tanta atención como en otros ámbitos, la ciberseguridad en el sector de la alimentación se ha convertido en una cuestión de vital importancia para las empresas, dado su alto nivel de robotización y digitalización.

Los ciberataques contra las compañías alimentarias van en aumento y, además, cada vez son más complejos y sofisticados. Si a ello le sumamos que el marco normativo es cada vez más exigente, podemos concluir que las empresas que operan en el ámbito de la alimentación deben contar con estrategias de seguridad robustas que les permitan prevenir los ataques y limitar sus consecuencias.