Ciberataque en EY: Goldman Sachs y Man Group entre las víctimas indirectas

El ciberataque que afectó a EY no solo marcó un hito en la historia de la ciberseguridad, sino que también expuso las fragilidades de las cadenas de suministro digitales en el sector financiero. La brecha de seguridad, originada por una vulnerabilidad en el software de Checkmarx, permitió a un grupo ciberdelincuente acceder a datos sensibles de clientes de alto perfil, incluyendo instituciones como Goldman Sachs y Man Group. Este incidente no solo puso en evidencia la dependencia de las empresas en proveedores tecnológicos, sino que también destacó la necesidad de reevaluar las estrategias de protección de datos en un entorno donde la digitalización avanza a pasos agigantados. La exposición de información personal y financiera, junto con la atribución del ataque al grupo ShinyHunters, ha generado una reflexión urgente sobre las medidas de defensa en la era de la inteligencia artificial y la automatización.

📅 Actualizado el 11 de octubre de 2026 · Revisado por el equipo editorial

📅 Actualizado el 17 de octubre de 2026 · Revisado por el equipo editorial

Marco normativo, contexto histórico y antecedentes

El ciberataque en EY no surge de la nada, sino de un contexto histórico marcado por la creciente dependencia de las empresas en software de terceros y la creciente complejidad de los ataques cibernéticos. Desde la década de 2010, la digitalización de los procesos empresariales ha llevado a una expansión exponencial del uso de herramientas de gestión de datos, muchas de las cuales son desarrolladas por proveedores externos. Este modelo, aunque eficiente, introduce un punto de vulnerabilidad: la dependencia de sistemas que no están bajo el control directo de las empresas. En este sentido, el incidente en EY refleja una tendencia global: la exposición de datos críticos por medio de brechas en software de terceros, un problema que ha sido documentado en múltiples estudios del sector.

Desde el punto de vista normativo, el incidente en EY se enmarca en leyes como la Ley de Protección de Datos Generales (GDPR) en la Unión Europea y la Ley de Privacidad en Estados Unidos (COPPA), que obligan a las empresas a informar a los reguladores cuando se produzca una brecha de seguridad. En este caso, EY notificó a los organismos reguladores de California, Texas, Massachusetts y Vermont, cumpliendo con los requisitos legales establecidos. Sin embargo, el cumplimiento legal no evitó el impacto en los clientes, lo que subraya la necesidad de una regulación más estricta en la gestión de riesgos cibernéticos, especialmente en sectores críticos como el financiero.

Antes de este incidente, EY ya había sido víctima de ciberataques menores, aunque no de la magnitud del que se produjo en 2023. En 2021, la firma informó de una brecha en su plataforma de servicios fiscales, que afectó a cientos de clientes. Aunque en ese caso no se atribuyó el ataque a un grupo específico, el incidente marcó un precedente que alertó a las empresas sobre la necesidad de reforzar sus defensas. El hecho de que el grupo ShinyHunters, un colectivo ciberdelincuente relativamente nuevo, haya sido el responsable del ataque en este caso, refleja una evolución en el tipo de amenazas que enfrentan las organizaciones: grupos menos estructurados, pero altamente capacitados en técnicas de hacking avanzadas.

Análisis detallado de los mecanismos y factores clave

El ciberataque en EY se produjo por medio de una vulnerabilidad específica en el software de Checkmarx, una herramienta utilizada para la detección de vulnerabilidades en código fuente. Esta brecha permitió a los atacantes acceder a la plataforma de EY sin necesidad de credenciales de usuario, lo que sugiere que se trató de un ataque de tipo «zero-day», es decir, una vulnerabilidad que no estaba previamente conocida ni parcheada. El uso de este tipo de vulnerabilidades es común en ataques cibernéticos de alto impacto, ya que permiten a los atacantes evitar los sistemas de detección tradicionales.

El grupo ShinyHunters, según informes de la dark web, utilizó técnicas de ingeniería social combinadas con exploits de código para acceder a los sistemas de EY. Una de las estrategias clave fue la explotación de un error de configuración en el software de Checkmarx, que permitió a los atacantes inyectar código malicioso en la plataforma. Este tipo de ataque, conocido como «injection attack», es especialmente peligroso porque puede permitir a los ciberdelincuentes acceder a bases de datos sin necesidad de credenciales. En este caso, los atacantes aprovecharon la falta de actualización de parches en el software de Checkmarx, un error que podría haberse evitado con una gestión más rigurosa de las actualizaciones de seguridad.

Además, el incidente revela una debilidad en la cadena de suministro digital: la dependencia de proveedores tecnológicos para la gestión de datos críticos. En este caso, EY utilizaba el software de Checkmarx para auditar la seguridad de sus clientes, lo que significa que una vulnerabilidad en el propio software de Checkmarx se convirtió en un punto de entrada para los atacantes. Este tipo de dependencia introduce un riesgo sistémico: si un proveedor tecnológico es vulnerable, todos sus clientes potenciales se ven expuestos a riesgos de seguridad. Este hecho ha llevado a organizaciones como la Agencia de Seguridad Nacional de Estados Unidos (NSA) a emitir advertencias sobre la necesidad de diversificar los proveedores tecnológicos y evitar la dependencia excesiva en un solo proveedor.

Repercusiones prácticas y consecuencias para el ciudadano/empresa

El impacto del ciberataque en EY se extiende más allá de las empresas directamente afectadas, como Goldman Sachs y Man Group. Para los ciudadanos, la exposición de datos personales y financieros puede tener consecuencias profundas, desde el riesgo de fraude y phishing hasta la posibilidad de extorsión. Según estudios del sector, el costo promedio de un incidente de brecha de datos para una empresa es de aproximadamente 4 millones de dólares, un costo que se traduce en pérdidas directas y en daños a la reputación. En este caso, EY ha anunciado que ofrecerá servicios de supervisión de crédito y protección de identidad a través de un proveedor externo, una medida que, aunque bienvenida, no elimina el riesgo de que los datos ya expuestos sean utilizados por delincuentes.

Para las empresas, el incidente subraya la necesidad de reevaluar sus estrategias de ciberseguridad, especialmente en el contexto de la dependencia de proveedores tecnológicos. Goldman Sachs, por ejemplo, ha confirmado que sus sistemas no se vieron comprometidos directamente, pero ha señalado que está revisando independientemente el trabajo de EY para garantizar que las medidas correctoras sean efectivas. Esta acción refleja una tendencia creciente en el sector financiero: la exigencia de auditorías externas y la validación por terceros de las medidas de seguridad implementadas. Sin embargo, este enfoque no resuelve el problema estructural de la dependencia en software de terceros, que sigue siendo un punto de vulnerabilidad para muchas organizaciones.

Además, el incidente ha generado una reflexión sobre la responsabilidad legal y ética de las empresas en la protección de datos. En este caso, EY ha asegurado que el incidente «no afectó a los sistemas corporativos generales de EY ni supone una amenaza para la continuidad del negocio», una declaración que, aunque técnica, no aborda las preocupaciones de los clientes afectados. La falta de transparencia en la comunicación de los detalles del incidente ha generado desconfianza entre los usuarios, lo que puede tener un impacto a largo plazo en la relación entre EY y sus clientes. Este tipo de situaciones ha llevado a organismos reguladores como la Comisión Europea a exigir a las empresas que adopten políticas de transparencia más estrictas en caso de brechas de seguridad. En esta misma línea, conviene tener presente la evolución en torno a IA en ciberseguridad y Europa.

Casos prácticos ilustrativos, simulaciones y comparativa

Para comprender mejor el alcance del ciberataque en EY, es útil analizar casos similares que han ocurrido en el pasado. Un ejemplo relevante es el ataque a Equifax en 2017, donde una vulnerabilidad en un software de terceros permitió a los atacantes acceder a los datos de 147 millones de personas en Estados Unidos. Este incidente, al igual que el de EY, se originó por una brecha en el software de una empresa de tecnología, lo que subraya la importancia de la gestión de riesgos en la cadena de suministro digital. En ambos casos, la dependencia en proveedores tecnológicos se convirtió en un punto de entrada para los atacantes, lo que refleja una tendencia global en la industria.

Otro caso comparativo es el ataque a Target en 2013, donde los ciberdelincuentes accedieron a los datos de 40 millones de clientes mediante la explotación de una vulnerabilidad en el software de un proveedor de servicios de refrigeración. Este incidente, al igual que el de EY, demostró que incluso empresas con sistemas de seguridad avanzados pueden ser vulnerables si sus proveedores no cumplen con las normas de seguridad. En ambos casos, la responsabilidad de la brecha de datos recae en parte sobre los proveedores tecnológicos, lo que ha llevado a organizaciones como el Departamento de Seguridad Nacional de Estados Unidos a exigir a las empresas que realicen auditorías más rigurosas de sus proveedores.

En términ息, el ciberataque en EY no es un fenómeno aislado, sino parte de una tendencia más amplia en la que las empresas son vulnerables a brechas de seguridad por medio de proveedores tecnológicos. La comparación con casos anteriores revela que, aunque las empresas han mejorado sus estrategias de ciberseguridad, la dependencia en software de terceros sigue siendo un riesgo significativo. Este hecho ha llevado a la creación de estándares como el ISO 27001, que establece requisitos para la gestión de la seguridad de la información, y a la adopción de enfoques como la «seguridad por defecto» en el desarrollo de software, que busca minimizar el riesgo de brechas desde el diseño inicial.

Perspectivas futuras, riesgos potenciales y recomendaciones

El ciberataque en EY no solo ha generado una reflexión sobre las medidas de ciberseguridad actuales, sino que también ha abierto la puerta a un debate sobre las perspectivas futuras en la lucha contra los ciberdelincuentes. En un contexto donde la inteligencia artificial y la automatización son cada vez más comunes en el sector tecnológico, los riesgos de brechas de seguridad se están multiplicando. Según un informe de la Agencia de Seguridad Nacional de Estados Unidos (NSA), el número de ataques cibernéticos de alto impacto ha aumentado un 30% en los últimos cinco años, un crecimiento que se debe en parte a la evolución de las técnicas de los ciberdelincuentes y a la creciente dependencia de las empresas en tecnologías digitales. Para profundizar en esta vertiente, resulta clave consultar las claves sobre TI y ciberseguridad y estrés laboral.

En este escenario, las empresas deben adoptar estrategias más proactivas para mitigar los riesgos. Una de las recomendaciones clave es la implementación de sistemas de detección de amenazas en tiempo real, que permitan identificar y responder a los ataques antes de que puedan causar daños significativos. Además, la adopción de enfoques como la «seguridad por defecto» en el desarrollo de software, que busca minimizar el riesgo de brechas desde el diseño inicial, podría ser una medida efectiva para reducir la dependencia en proveedores tecnológicos vulnerables.

Otra recomendación es la diversificación de proveedores tecnológicos, un enfoque que busca evitar la dependencia excesiva en un solo proveedor. Este tipo de estrategia no solo reduce el riesgo de brechas de seguridad, sino que también fomenta la competencia en el sector tecnológico, lo que puede llevar a mejores prácticas de seguridad. Además, la adopción de estándares internacionales como el ISO 27001, que establece requisitos para la gestión de la seguridad de la información, podría ayudar a las empresas a implementar medidas más rigurosas para proteger sus datos.

En el ámbito regulatorio, es necesario que los gobiernos adopten leyes más estrictas sobre la responsabilidad de los proveedores tecnológicos en caso de brechas de seguridad. En este sentido, la creación de un marco legal que obligue a los proveedores a informar a sus clientes sobre las vulnerabilidades en sus software podría ser una medida efectiva para prevenir incidentes similares al de EY. Además, la exigencia de auditorías externas y la validación por terceros de las medidas de seguridad implementadas por las empresas podría ayudar a garantizar que las brechas de seguridad se detecten y respondan de manera oportuna.

❓ Preguntas Frecuentes (FAQ)

¿Qué consecuencias tiene el ciberataque en EY para los clientes afectados?

El ciberataque en EY ha tenido consecuencias significativas para los clientes afectados, especialmente en términos de exposición de datos personales y financieros. La filtración de información sensible, como nombres, direcciones, identificaciones fiscales y correos electrónicos, ha generado un riesgo elevado de fraude, phishing y extorsión. EY ha anunciado que ofrecerá servicios de supervisión de crédito y protección de identidad a través de un proveedor externo, una medida que, aunque bienvenida, no elimina el riesgo de que los datos ya expuestos sean utilizados por delincuentes. Para los clientes afectados, el impacto puede ser tanto financiero como emocional, ya que la pérdida de control sobre la información personal puede generar un sentimiento de vulnerabilidad y desconfianza hacia las instituciones que manejan sus datos. Además, la exposición de datos financieros puede tener consecuencias legales, especialmente si se utilizan para actividades ilegales como el lavado de dinero o la evasión fiscal.

¿Cómo respondieron Goldman Sachs y Man Group al incidente?

Goldman Sachs y Man Group respondieron al incidente de manera distinta, aunque ambas afirmaron que sus sistemas no se vieron comprometidos directamente. Goldman Sachs, por ejemplo, ha confirmado que está revisando independientemente el trabajo de EY para garantizar que las medidas correctoras sean efectivas. Esta acción refleja una tendencia creciente en el sector financiero: la exigencia de auditorías externas y la validación por terceros de las medidas de seguridad implementadas. Por su parte, Man Group confirmó que no se vieron comprometidos directamente, aunque reconoció que EY le notificó un incidente relacionado con un software de terceros. Esta respuesta subraya la importancia de la colaboración entre empresas y proveedores tecnológicos para garantizar que las medidas de seguridad sean efectivas. Sin embargo, ambas instituciones han señalado que la dependencia en proveedores tecnológicos sigue siendo un riesgo significativo, lo que ha llevado a la adopción de estrategias más rigurosas para proteger los datos de sus clientes.

¿Qué papel jugó el grupo ShinyHunters en el ciberataque?

El grupo ShinyHunters se atribuyó la autoría del ciberataque en la dark web, según un comunicado publicado en su sitio de filtraciones. Este colectivo, compuesto por jóvenes hackers poco estructurados, ha sido responsable de filtraciones a gran escala desde 2020. Según informes del FBI, el grupo ha vulnerado presuntamente más de 140 organizaciones y obtenido al menos 70 millones de dólares en pagos por extorsión. En este caso, el grupo utilizó técnicas de ingeniería social combinadas con exploits de código para acceder a los sistemas de EY, lo que sugiere que se trató de un ataque de tipo «zero-day», es decir, una vulnerabilidad que no estaba previamente conocida ni parcheada. La atribución del ataque al grupo ShinyHunters refleja una evolución en el tipo de amenazas que enfrentan las organizaciones: grupos menos estructurados, pero altamente capacitados en técnicas de hacking avanzadas. Este tipo de grupos ha generado una preocupación creciente en el sector de la ciberseguridad, ya que su capacidad para atacar infraestructuras empresariales complejas, incluso aquellas que se suponen altamente protegidas, ha llevado a la adopción de medidas más estrictas en la gestión de riesgos cibernéticos.

¿Qué medidas se han implementado para prevenir futuros incidentes similares?

Para prevenir futuros incidentes similares al ciberataque en EY, se han implementado una serie de medidas que buscan fortalecer la ciberseguridad en el sector profesional. Una de las principales acciones es la adopción de sistemas de detección de amenazas en tiempo real, que permiten identificar y responder a los ataques antes de que puedan causar daños significativos. Además, se ha promovido la implementación de enfoques como la «seguridad por defecto» en el desarrollo de software, que busca minimizar el riesgo de brechas desde el diseño inicial. Esta estrategia no solo reduce la dependencia en proveedores tecnológicos vulnerables, sino que también fomenta la competencia en el sector tecnológico, lo que puede llevar a mejores prácticas de seguridad. Asimismo, este contexto guarda estrecha relación con el análisis sobre ataques de phishing y plataformas cloud.