{"id":3311,"date":"2026-08-24T15:00:20","date_gmt":"2026-08-24T19:00:20","guid":{"rendered":"https:\/\/orendasecurity.com\/?p=3311"},"modified":"2026-08-24T15:00:20","modified_gmt":"2026-08-24T19:00:20","slug":"ataques-cadena-suministro-software","status":"publish","type":"post","link":"https:\/\/orendasecurity.com\/es\/blog\/ataques-cadena-suministro-software\/","title":{"rendered":"Ataques a la cadena de suministro de software: lo que las organizaciones deben saber ahora"},"content":{"rendered":"

Por Orenda Security<\/em><\/p>\n

Resumen ejecutivo:<\/strong> El compromiso de la cadena de suministro de software es ahora el segundo vector de brecha m\u00e1s com\u00fan y el segundo m\u00e1s costoso seg\u00fan IBM: 4,91 millones de d\u00f3lares por incidente y 267 d\u00edas para contenerlo, el m\u00e1s largo de cualquier categor\u00eda. Sonatype identific\u00f3 m\u00e1s de 454.600 nuevos paquetes de c\u00f3digo abierto maliciosos en 2025, un aumento del 75 % interanual. Incidentes recientes \u2014el gusano npm Shai-Hulud y el compromiso de chalk\/debug\u2014 muestran que el riesgo de dependencias ha superado la gobernanza de la mayor\u00eda de las organizaciones. El desarrollo asistido por IA agrava el problema: los LLM alucinan paquetes inexistentes a tasas significativas, y casi la mitad del c\u00f3digo generado por IA introduce vulnerabilidades conocidas. Este art\u00edculo aborda el panorama de amenazas, el contexto regulatorio y los cambios de gobernanza y del ciclo de vida de desarrollo de software (SDLC) que vale la pena evaluar ahora.<\/p>\n

Un problema de gobernanza, no solo t\u00e9cnico<\/h2>\n

Las aplicaciones modernas se ensamblan a partir de componentes de c\u00f3digo abierto a una escala que ha superado la visibilidad que la mayor\u00eda de las organizaciones tiene sobre su propio riesgo. El informe OSSRA 2025 de Black Duck encontr\u00f3 que el 97 % de las bases de c\u00f3digo comerciales contienen componentes de c\u00f3digo abierto, con un promedio de 911 por aplicaci\u00f3n, el 64 % de ellos transitivos \u2014introducidos indirectamente, sin una decisi\u00f3n de revisi\u00f3n deliberada. Esa es la raz\u00f3n estructural por la que los ataques a la cadena de suministro se han convertido en el patr\u00f3n de intrusi\u00f3n dominante de 2025-2026: la superficie de ataque ha superado la gobernanza creada para controlarla.<\/p>\n

El informe de IBM de 2025 sobre el costo de una brecha de datos sit\u00faa el compromiso promedio de la cadena de suministro en 4,91 millones de d\u00f3lares y 267 d\u00edas para identificarlo y contenerlo, ambos por encima de los promedios generales de brechas. Una encuesta de BlackBerry de 2024 encontr\u00f3 que m\u00e1s del 76 % de las organizaciones hab\u00edan sufrido un ataque a la cadena de suministro en el a\u00f1o anterior, el 74 % de ellos a trav\u00e9s de un miembro que no monitoreaban activamente. Checkmarx encontr\u00f3 que el 63 % hab\u00eda sufrido uno en los \u00faltimos dos a\u00f1os, mientras que solo el 50 % solicitaba activamente SBOM a sus proveedores, y menos de la mitad sab\u00eda c\u00f3mo actuar sobre ellos.<\/p>\n

D\u00f3nde reside realmente la exposici\u00f3n<\/h2>\n

Cuatro patrones de ataque explican la mayor\u00eda de los incidentes actuales:<\/p>\n

Compromiso de cuentas de mantenedores.<\/strong> Los atacantes obtienen mediante phishing las credenciales de un mantenedor de confianza y luego publican una actualizaci\u00f3n maliciosa de un paquete ya confiado aguas abajo, eludiendo por completo la revisi\u00f3n de c\u00f3digo, ya que el c\u00f3digo llega a trav\u00e9s de un canal leg\u00edtimo y previamente verificado.<\/p>\n

Confusi\u00f3n de dependencias y typosquatting.<\/strong> Los atacantes registran paquetes p\u00fablicos que imitan nombres privados internos, o nombres lo suficientemente parecidos a paquetes populares como para ser incorporados por herramientas automatizadas o por error del desarrollador.<\/p>\n

Ejecuci\u00f3n maliciosa durante la instalaci\u00f3n.<\/strong> Tanto npm como Python permiten la ejecuci\u00f3n de c\u00f3digo arbitrario durante la instalaci\u00f3n mediante hooks de ciclo de vida: la exposici\u00f3n ocurre antes de que un desarrollador llegue a usar la dependencia.<\/p>\n

Compromiso del pipeline de CI\/CD.<\/strong> Los sistemas de compilaci\u00f3n (build) contienen credenciales de despliegue, claves de firma y tokens de API, lo que los convierte en objetivos de alto valor independientemente de la calidad del c\u00f3digo. La brecha de tj-actions\/changed-files expuso secretos en m\u00e1s de 23.000 repositorios a partir de un \u00fanico token comprometido.<\/p>\n

Incidentes reales, consecuencias reales<\/h2>\n

SolarWinds (2020)<\/strong> sigue siendo el caso de referencia de compromiso del proceso de compilaci\u00f3n a gran escala: un actor estatal insert\u00f3 una puerta trasera en una actualizaci\u00f3n de Orion firmada leg\u00edtimamente, alcanzando aproximadamente 18.000 organizaciones, incluidas agencias federales de EE. UU., y dio forma a la respuesta regulatoria que se describe m\u00e1s abajo.<\/p>\n

El compromiso de chalk\/debug en npm (septiembre de 2025)<\/strong> ilustra el riesgo de concentraci\u00f3n: una sola cuenta de mantenedor comprometida mediante phishing se utiliz\u00f3 para publicar versiones maliciosas de paquetes fundamentales de JavaScript con m\u00e1s de 2.000 millones de descargas semanales combinadas; un an\u00e1lisis estim\u00f3 un radio de impacto de aproximadamente el 34 % de npm.<\/p>\n

El gusano npm Shai-Hulud (2025)<\/strong> marc\u00f3 un cambio en las t\u00e1cticas empleadas: el primer gusano autopropagante de npm recolect\u00f3 credenciales y las us\u00f3 para republicar autom\u00e1ticamente versiones maliciosas de los propios paquetes de la v\u00edctima, propag\u00e1ndose sin ninguna infraestructura de mando y control. Una segunda ola en noviembre comprometi\u00f3 cientos de paquetes adicionales y gener\u00f3 decenas de miles de repositorios maliciosos.<\/p>\n

Desarrollo asistido por IA: una nueva variable<\/h2>\n

Las herramientas de codificaci\u00f3n con IA introducen dos riesgos distintos y medibles. Alucinaci\u00f3n de paquetes (\u00abslopsquatting\u00bb): una investigaci\u00f3n de USENIX Security 2025 analiz\u00f3 576.000 muestras de c\u00f3digo en 16 LLM y encontr\u00f3 una tasa promedio de alucinaci\u00f3n de paquetes del 19,7 %, lo suficientemente repetible entre sesiones como para que los atacantes puedan registrar de antemano los nombres falsos m\u00e1s comunes. Un investigador lo demostr\u00f3 en la pr\u00e1ctica: un paquete alucinado registrado como prueba obtuvo m\u00e1s de 15.000 descargas org\u00e1nicas en tres meses, incluida su adopci\u00f3n en el repositorio p\u00fablico de una gran empresa tecnol\u00f3gica. Una r\u00e9plica de 2026 con modelos m\u00e1s recientes encontr\u00f3 tasas reducidas al 4,6 %-6,1 %: una mejora, pero no una eliminaci\u00f3n.<\/p>\n

Introducci\u00f3n de vulnerabilidades a nivel de c\u00f3digo:<\/strong> el informe GenAI Code Security 2025 de Veracode, que evalu\u00f3 m\u00e1s de 100 LLM en 80 tareas, encontr\u00f3 que el 45 % de las muestras de c\u00f3digo generado por IA introduc\u00edan vulnerabilidades del Top 10 de OWASP, una tasa que se mantuvo estable en el seguimiento de primavera de 2026 de Veracode. Apiiro encontr\u00f3 que el c\u00f3digo generado por IA estaba asociado con un 322 % m\u00e1s de rutas de escalada de privilegios en bases de c\u00f3digo de empresas Fortune 50.<\/p>\n

El c\u00f3digo asistido por IA y las dependencias sugeridas por IA merecen el mismo rigor de revisi\u00f3n que el c\u00f3digo proveniente de un colaborador externo no verificado.<\/p>\n

Fortalecer la resiliencia: qu\u00e9 deben hacer las empresas ahora<\/h2>\n

Gobernanza y postura de riesgo:<\/h3>\n