Una sola llamada de vishing a un proveedor de servicios externo permitió a los atacantes acceder a los datos de los clientes de Ericsson durante cinco días en abril de 2025, y Ericsson no fue notificado hasta siete meses después. La brecha expuso 15 661 registros, incluidos números de la Seguridad Social, detalles de cuentas financieras e información médica. La mayoría de los programas de concienciación sobre seguridad protegen a los empleados de la propia organización. Casi ninguno se extiende al personal de los proveedores. Esa es la brecha que los atacantes están aprovechando.
En abril de 2025, un atacante llamó a un empleado de uno de los proveedores de servicios externos de Ericsson. La llamada utilizó ingeniería social a través de voz: un ataque de vishing. Funcionó. Entre el 17 y el 22 de abril, el atacante accedió a sistemas que contenían nombres, números de la Seguridad Social, números de cuentas financieras e información médica de 15 661 personas.
El proveedor descubrió la intrusión el 28 de abril. Ericsson no fue notificado hasta el 10 de noviembre de 2025, casi siete meses después. El análisis forense concluyó el 23 de febrero de 2026. Ericsson reveló públicamente la brecha el 9 de marzo de 2026. (Fuente: The Register, 10 de marzo de 2026, theregister.com)
No fue un exploit técnico sofisticado. Fue una llamada telefónica.
Los atacantes no van a por el objetivo más difícil. Encuentran el camino de menor resistencia dentro de una relación de confianza.
Los proveedores externos suelen tener el mismo acceso a los datos que las organizaciones a las que sirven. Un proveedor de servicios que gestiona registros de clientes, facturación o funciones de soporte procesa datos confidenciales bajo el nombre de la organización principal, pero gestiona esos datos bajo su propia postura de seguridad. La brecha entre ambos es donde ocurren las filtraciones.
Las brechas de terceros representan ahora el 30% de todas las filtraciones de datos a nivel mundial, un aumento del 100% interanual según el Informe de Investigaciones de Brechas de Datos 2025 de Verizon. (Fuente: Verizon DBIR 2025, verizon.com) Cuando una brecha se origina en un proveedor, el coste medio asciende a 4,91 millones de dólares, en comparación con una media global de 4,44 millones de dólares. (Fuente: IBM Cost of a Data Breach 2025, ibm.com)
La economía es clara. Los proveedores son objetivos de mayor valor de lo que parecen desde fuera.
La mayoría de las organizaciones ejecutan un programa de formación en concienciación sobre seguridad. Muchos de esos programas están bien diseñados, cubren simulaciones de phishing, incluyen una cadencia regular y producen métricas de finalización que lucen bien en un informe para la junta directiva.
Cubren a los empleados de la propia organización.
Los ataques de vishing aumentaron un 442% entre la primera y la segunda mitad de 2024. (Fuente: CrowdStrike, citado en Secureframe Data Breach Statistics 2025, secureframe.com) Este aumento está directamente relacionado con la razón por la que la ingeniería social basada en voz es cada vez más efectiva: la mayoría de las capacitaciones de concienciación sobre seguridad se centran en el phishing por correo electrónico, no en las llamadas telefónicas. Los empleados de los proveedores reciben aún menos formación.
El problema estructural es que las llamadas telefónicas funcionan de manera distinta al correo electrónico. No hay un enlace sobre el cual pasar el cursor, ni una dirección de remitente que inspeccionar, ni tiempo para reflexionar. La voz genera urgencia y una autoridad percibida en tiempo real. Los programas de seguridad que entrenan principalmente en el reconocimiento de correos electrónicos no desarrollan los reflejos que requiere una llamada de vishing. Y esa brecha es mayor para los empleados de proveedores que se encuentran totalmente fuera de la cultura de seguridad de la organización.
Si extendemos ese problema a las poblaciones de proveedores —empleados que recibieron menos capacitación, menos simulaciones y menos inversión en cultura de seguridad—, la brecha se convierte en una vulnerabilidad estructural. Un atacante que logra entrar no necesita vulnerar un firewall. Simplemente llama.
La cronología de Ericsson contiene un detalle que trasciende la brecha en sí: el retraso de siete meses en la notificación.
El proveedor descubrió la brecha en abril. Ericsson se enteró en noviembre. Fueron 196 días durante los cuales los clientes de Ericsson no tuvieron forma de protegerse: ni bloqueo de crédito, ni cambio de contraseñas, ni monitoreo de fraudes.
Ese retraso no es inusual. El tiempo medio de divulgación para brechas de terceros es de 73 días. (Fuente: Black Kite, citado en Industrial Cyber, marzo de 2026, industrialcyber.co) Muchos contratos con proveedores especifican plazos de notificación en términos generales. Pocos establecen consecuencias por incumplirlos o exigen que los proveedores incluyan a la organización principal como parte interesada activa en la respuesta a incidentes.
Cuando un proveedor sufre una brecha, la organización principal se entera cuando el proveedor decide informarle. Durante 196 días, Ericsson no tuvo información sobre la cual actuar.
Este es el replanteamiento que vale la pena extraer de este caso.
Los programas de gestión de riesgo humano que se detienen en el límite organizacional solo reducen el riesgo para las personas dentro de ese perímetro. Cada proveedor, socio y prestador de servicios que maneja sus datos representa también una exposición al riesgo humano. Sus empleados reciben llamadas telefónicas. Reciben intentos de ingeniería social. Toman decisiones bajo presión.
Que esas decisiones ocurran dentro o fuera de su cultura de seguridad depende totalmente de lo que usted haya exigido a sus proveedores. La mayoría de las organizaciones no ha exigido mucho.
El comportamiento es el control que la seguridad técnica no puede reemplazar. Un empleado de un proveedor que sabe reconocer una llamada de vishing y escalar el incidente correctamente es un control más eficaz que cualquier política que le obligue a hacerlo.
Si los proveedores representan una exposición al riesgo conductual, la pregunta es cómo extender la capacidad de seguridad hacia afuera, y no solo cómo redactar mejores contratos.
Las organizaciones que están avanzando en este aspecto no tratan la seguridad de los proveedores como un simple requisito de cumplimiento. La tratan como una extensión genuina de su propia postura de riesgo humano. Ese cambio transforma lo que analizan durante las revisiones de proveedores, las conversaciones que mantienen durante la incorporación y cómo enfocan los incidentes cuando ocurren.
Algunas áreas donde la brecha es más fácil de cerrar:
Preparación conductual, no solo tasas de finalización. No es lo mismo un empleado de un proveedor que ha completado un curso anual de concienciación sobre phishing que uno que ha practicado cómo responder ante un escenario de ingeniería social por voz. La métrica que realmente importa es la exposición a simulaciones realistas, no la finalización de módulos de formación, y si esta incluye específicamente escenarios basados en voz.
Visibilidad compartida del riesgo. La mayoría de los procesos de riesgo de terceros generan una puntuación de riesgo puntual al firmar el contrato y luego quedan en el olvido. La cronología del caso Ericsson —196 días entre el descubrimiento y la notificación— refleja lo que sucede cuando no existe una visibilidad compartida continua. Unas relaciones más estrechas con los proveedores clave incluyen revisiones de seguridad periódicas, no solo cláusulas contractuales.
La respuesta a incidentes como proceso compartido. Un proveedor que maneja datos confidenciales en su nombre debería incluirle como parte interesada activa en su plan de respuesta a incidentes, con plazos de comunicación definidos. La alternativa es enterarse siete meses después.
Plazos de notificación basados en la realidad. Para los proveedores relevantes en la UE, el plazo de notificación inicial de 72 horas de la directiva NIS2 ofrece un punto de referencia útil sobre lo que significa "oportuno" en la práctica. Para otros, es una conversación que merece la pena tener antes de que ocurra una brecha, no después.
Nada de esto requiere que un proveedor tenga el mismo programa de seguridad que su organización. Requiere una comprensión compartida de dónde termina su exposición y dónde empieza la suya, y el reconocimiento de que, desde la perspectiva de un atacante, esa frontera no existe.
La brecha de Ericsson no requirió una vulnerabilidad de día cero. Requirió una llamada telefónica y un empleado del proveedor que no estaba preparado para ella.
Las organizaciones que reducen la exposición a nivel de proveedor son aquellas que tratan el riesgo humano de sus proveedores como propio, no como responsabilidad de un tercero. Extienden los requisitos de seguridad conductual a la fase de contratación. Verifican, no asumen.
La cultura de seguridad no se transmite por contrato de forma automática. Se transmite mediante una extensión deliberada.
Si está revisando su postura de riesgo frente a terceros ante las nuevas amenazas de ingeniería social potenciadas por IA, nuestro libro electrónico Human Risk and GenAI 2026 cubre los riesgos de vishing, clonación de voz por IA y la IA en la sombra en entornos empresariales.
Cómo Zepo ayuda a las empresas
Paula Pereira
Gerente de Seguridad de la Información Digital
“Recomendaría Zepo a colegas de otras empresas porque creo que ha satisfecho todas nuestras necesidades. Nos ha permitido ejecutar tres tipos de campañas que otras herramientas que hemos probado simplemente no pueden hacer. Y más allá del producto en sí, el apoyo de todo el equipo nos ha ayudado a sacarle mucho más partido.”
+9K
Empleados Protegidos
–10%
Tasa de clics en ataques
+18%
Tasa de finalización de la capacitación
Ramon Fernandez Blanco
Ciberseguridad y Gerente de Producto Digital
“Desde la implementación de Zepo, la concienciación de los empleados ha aumentado significativamente. Los empleados ahora debaten activamente sobre ciberseguridad y campañas de phishing, y los correos electrónicos sospechosos se reportan rápidamente en lugar de ser ignorados.”
+600
Empleados Protegidos
–15%
Credenciales enviadas
+26%
Tasa de finalización de la capacitación
Jonathan Nelson
Director de Inteligencia de Riesgos
“La visión de Zepo para una solución de ciberseguridad en tiempo real, hiperpersonalizada y multiplataforma es verdaderamente única y está muy por encima de la competencia”
+100
Empleados Protegidos
Anticípate antes de que ataquen.
.png)
