Si una de las “Big Four” —las cuatro firmas de auditoría y consultoría más grandes y mejor blindadas del planeta— puede terminar con datos fiscales de sus clientes en manos de un grupo de extorsión, ¿qué posibilidades reales tiene tu empresa si sigue creyendo que “a nosotros no nos va a pasar”?
El caso que debería quitarte el sueño (en el buen sentido)
El 17 de julio de 2026, Ernst & Young (EY) confirmó ante sus clientes una brecha de datos que comenzó meses antes: entre el 28 de marzo y el 12 de abril de 2026, un atacante no autorizado tuvo acceso a la plataforma externa de tickets de soporte de la firma. EY detectó la actividad anómala hasta el 23 de abril, semanas después de que el intruso ya estuviera adentro.
Según BleepingComputer, los documentos comprometidos podían incluir información fiscal y financiera personal utilizada para preparar declaraciones de impuestos de clientes.
Diez días después, el 27 de julio de 2026, el grupo de extorsión ShinyHunters reivindicó el ataque y afirmó haber obtenido credenciales de EY mediante un ataque a la cadena de suministro —un proveedor externo comprometido— y utilizarlas para moverse dentro de Jira, GitHub y Azure de la firma. EY no había confirmado ni negado públicamente esa participación.
Para ser precisos: EY no confirmó el volumen exacto de información robada. Lo que sí confirmó es el mecanismo: credenciales comprometidas a través de un tercero, no un exploit sofisticado.
Una firma con miles de millones de dólares en presupuesto de ciberseguridad fue vulnerada por la puerta más antigua de todas.
El dato que cambia la conversación
El reporte State of Ransomware 2026 de Sophos, basado en 2,158 líderes de TI y seguridad encuestados, encontró que el 79% de los ataques de ransomware se originan por compromiso de identidad.
Los exploits técnicos sofisticados cayeron a apenas 18%.
Y el dato más inquietante: el 97% de las víctimas con credenciales comprometidas sí tenía MFA activada.
El problema fueron los huecos de cobertura, no la ausencia total de controles.
Esto cambia completamente la conversación.
Tener MFA no significa automáticamente que tu empresa esté protegida. Si existen cuentas privilegiadas sin MFA, aplicaciones heredadas, accesos de proveedores sin controles suficientes, credenciales reutilizadas o sistemas que quedaron fuera de las políticas de identidad, todavía tienes puertas abiertas.
No es un problema de gigantes ni de otros países
Según Tantius, citado por Excélsior el 19 de junio de 2026, más del 60% de las PyMEs mexicanas sufrió intentos de robo de datos o accesos no autorizados durante el último año, y solo el 40% tiene un plan formal de respuesta.
México es el segundo país más atacado de América Latina y los ciberdelitos crecieron 25% entre 2022 y 2024, de acuerdo con datos del INEGI.
El punto es sencillo: no necesitas ser una empresa multinacional para convertirte en un objetivo.
Si tu empresa tiene dinero, información financiera, datos personales, propiedad intelectual, acceso a sistemas de clientes o relaciones con proveedores, tienes algo que un atacante puede intentar monetizar.
Y muchas veces no necesitan entrar directamente a tu infraestructura.
Les basta con conseguir una identidad válida.
Por qué esto importa más que el rescate
El rescate promedio bajó a 698,000 dólares, pero el costo de recuperación subió a 1.7 millones de dólares por incidente.
Lo caro ya no es necesariamente el rescate.
Lo caro es detener la operación.
Es reconstruir sistemas.
Es recuperar información.
Es investigar qué ocurrió.
Es contratar especialistas.
Es responder ante clientes y proveedores.
Es enfrentar posibles consecuencias legales y regulatorias.
Y, sobre todo, es recuperar la confianza que tu empresa tardó años en construir.
Para un CEO, esta es quizá la parte más importante: un ciberataque ya no debe verse únicamente como un problema de TI. Es un problema de continuidad del negocio.
Qué hacer esta semana
No necesitas esperar a sufrir un incidente para empezar.
1. Revisa tu MFA
No te limites a preguntar si “tenemos MFA”.
Pregunta algo más incómodo:
¿En qué sistemas críticos todavía no tenemos MFA?
Revisa especialmente cuentas administrativas, VPN, accesos remotos, firewalls, aplicaciones críticas, sistemas heredados y cuentas privilegiadas.
2. Audita a tus proveedores
Haz una lista de todos los terceros que tienen acceso a tus sistemas o información.
Después pregunta:
¿Qué información pueden consultar?
¿A qué sistemas pueden entrar?
¿Qué cuentas utilizan?
¿Tienen MFA?
¿Sus accesos están limitados?
¿Cuándo fue la última vez que revisaste esos permisos?
¿Qué ocurre con sus accesos cuando termina la relación comercial?
Un proveedor no debería tener más acceso del que realmente necesita.
3. Revisa las identidades privilegiadas
Una cuenta con permisos administrativos comprometida puede convertirse en una llave maestra.
Identifica quién tiene privilegios elevados, elimina cuentas innecesarias y aplica el principio de mínimo privilegio.
4. Ten un plan de respuesta antes de necesitarlo
Cuando ocurre un ataque, no es momento de decidir quién debe actuar.
Tu empresa necesita saber de antemano:
quién toma las decisiones;
quién contiene el incidente;
quién contacta a clientes y proveedores;
quién se comunica con abogados y autoridades;
quién gestiona la recuperación;
y quién tiene la autoridad para detener operaciones si es necesario.
Un plan que nunca has probado es solo un documento.
La pregunta que deberías hacerte hoy
No preguntes:
“¿Qué tan difícil sería hackear nuestra empresa?”
Pregunta:
“¿Qué pasaría si mañana un atacante consiguiera las credenciales de una persona que ya tiene acceso?”
Esa pregunta cambia la perspectiva.
Porque quizá tu firewall está actualizado.
Quizá tienes antivirus.
Quizá tienes MFA.
Quizá haces respaldos.
Pero si una identidad comprometida todavía puede abrir una puerta que nadie está vigilando, tu empresa sigue teniendo un riesgo importante.
El caso de EY no demuestra que ninguna empresa pueda protegerse.
Demuestra algo mucho más incómodo:
que incluso las empresas con enormes recursos de ciberseguridad pueden tener una puerta abierta donde menos lo esperan.
Y si eso puede pasarle a una de las firmas más grandes del mundo, vale la pena preguntarte:
¿cuántas puertas abiertas tiene hoy tu empresa?
Si quieres una evaluación honesta de los huecos de identidad y acceso en tu empresa, con gusto lo platicamos.
Le robaron las llaves a EY: cómo el robo de credenciales puede abrir la puerta de tu empresa
Si una de las “Big Four” —las cuatro firmas de auditoría y consultoría más grandes y mejor blindadas del planeta— puede terminar con datos fiscales de sus clientes en manos de un grupo de extorsión, ¿qué posibilidades reales tiene tu empresa si sigue creyendo que “a nosotros no nos va a pasar”?
El caso que debería quitarte el sueño (en el buen sentido)
El 17 de julio de 2026, Ernst & Young (EY) confirmó ante sus clientes una brecha de datos que comenzó meses antes: entre el 28 de marzo y el 12 de abril de 2026, un atacante no autorizado tuvo acceso a la plataforma externa de tickets de soporte de la firma. EY detectó la actividad anómala hasta el 23 de abril, semanas después de que el intruso ya estuviera adentro.
Según BleepingComputer, los documentos comprometidos podían incluir información fiscal y financiera personal utilizada para preparar declaraciones de impuestos de clientes.
Diez días después, el 27 de julio de 2026, el grupo de extorsión ShinyHunters reivindicó el ataque y afirmó haber obtenido credenciales de EY mediante un ataque a la cadena de suministro —un proveedor externo comprometido— y utilizarlas para moverse dentro de Jira, GitHub y Azure de la firma. EY no había confirmado ni negado públicamente esa participación.
Para ser precisos: EY no confirmó el volumen exacto de información robada. Lo que sí confirmó es el mecanismo: credenciales comprometidas a través de un tercero, no un exploit sofisticado.
Una firma con miles de millones de dólares en presupuesto de ciberseguridad fue vulnerada por la puerta más antigua de todas.
El dato que cambia la conversación
El reporte State of Ransomware 2026 de Sophos, basado en 2,158 líderes de TI y seguridad encuestados, encontró que el 79% de los ataques de ransomware se originan por compromiso de identidad.
Los exploits técnicos sofisticados cayeron a apenas 18%.
Y el dato más inquietante: el 97% de las víctimas con credenciales comprometidas sí tenía MFA activada.
El problema fueron los huecos de cobertura, no la ausencia total de controles.
Esto cambia completamente la conversación.
Tener MFA no significa automáticamente que tu empresa esté protegida. Si existen cuentas privilegiadas sin MFA, aplicaciones heredadas, accesos de proveedores sin controles suficientes, credenciales reutilizadas o sistemas que quedaron fuera de las políticas de identidad, todavía tienes puertas abiertas.
No es un problema de gigantes ni de otros países
Según Tantius, citado por Excélsior el 19 de junio de 2026, más del 60% de las PyMEs mexicanas sufrió intentos de robo de datos o accesos no autorizados durante el último año, y solo el 40% tiene un plan formal de respuesta.
México es el segundo país más atacado de América Latina y los ciberdelitos crecieron 25% entre 2022 y 2024, de acuerdo con datos del INEGI.
El punto es sencillo: no necesitas ser una empresa multinacional para convertirte en un objetivo.
Si tu empresa tiene dinero, información financiera, datos personales, propiedad intelectual, acceso a sistemas de clientes o relaciones con proveedores, tienes algo que un atacante puede intentar monetizar.
Y muchas veces no necesitan entrar directamente a tu infraestructura.
Les basta con conseguir una identidad válida.
Por qué esto importa más que el rescate
El rescate promedio bajó a 698,000 dólares, pero el costo de recuperación subió a 1.7 millones de dólares por incidente.
Lo caro ya no es necesariamente el rescate.
Lo caro es detener la operación.
Es reconstruir sistemas.
Es recuperar información.
Es investigar qué ocurrió.
Es contratar especialistas.
Es responder ante clientes y proveedores.
Es enfrentar posibles consecuencias legales y regulatorias.
Y, sobre todo, es recuperar la confianza que tu empresa tardó años en construir.
Para un CEO, esta es quizá la parte más importante: un ciberataque ya no debe verse únicamente como un problema de TI. Es un problema de continuidad del negocio.
Qué hacer esta semana
No necesitas esperar a sufrir un incidente para empezar.
1. Revisa tu MFA
No te limites a preguntar si “tenemos MFA”.
Pregunta algo más incómodo:
¿En qué sistemas críticos todavía no tenemos MFA?
Revisa especialmente cuentas administrativas, VPN, accesos remotos, firewalls, aplicaciones críticas, sistemas heredados y cuentas privilegiadas.
2. Audita a tus proveedores
Haz una lista de todos los terceros que tienen acceso a tus sistemas o información.
Después pregunta:
Un proveedor no debería tener más acceso del que realmente necesita.
3. Revisa las identidades privilegiadas
Una cuenta con permisos administrativos comprometida puede convertirse en una llave maestra.
Identifica quién tiene privilegios elevados, elimina cuentas innecesarias y aplica el principio de mínimo privilegio.
4. Ten un plan de respuesta antes de necesitarlo
Cuando ocurre un ataque, no es momento de decidir quién debe actuar.
Tu empresa necesita saber de antemano:
Un plan que nunca has probado es solo un documento.
La pregunta que deberías hacerte hoy
No preguntes:
“¿Qué tan difícil sería hackear nuestra empresa?”
Pregunta:
“¿Qué pasaría si mañana un atacante consiguiera las credenciales de una persona que ya tiene acceso?”
Esa pregunta cambia la perspectiva.
Porque quizá tu firewall está actualizado.
Quizá tienes antivirus.
Quizá tienes MFA.
Quizá haces respaldos.
Pero si una identidad comprometida todavía puede abrir una puerta que nadie está vigilando, tu empresa sigue teniendo un riesgo importante.
El caso de EY no demuestra que ninguna empresa pueda protegerse.
Demuestra algo mucho más incómodo:
que incluso las empresas con enormes recursos de ciberseguridad pueden tener una puerta abierta donde menos lo esperan.
Y si eso puede pasarle a una de las firmas más grandes del mundo, vale la pena preguntarte:
¿cuántas puertas abiertas tiene hoy tu empresa?
Si quieres una evaluación honesta de los huecos de identidad y acceso en tu empresa, con gusto lo platicamos.
Síguenos en todas nuestras redes:
Facebook: https://www.facebook.com/CareTelecom
Twitter: https://twitter.com/caretelecom?
Linkedin: https://www.linkedin.com/company/care-telecom/
Correo: info@caretelecom.com
Instagram: https://instagram.com/caretelecom?
Spotify PODCAST: Escudo Digital: https://spoti.fi/3FSvKoA
Categorías Populares
Instagram Feeds
[instagram-feed]
Popular Tags
Archivos
Nuestros Servicios