Por qué tu pedido llega tarde: los ciberataques que paran los almacenes

Pides algo un martes con entrega prevista para el jueves. El jueves el pedido sigue “en preparación”. El viernes tampoco se mueve. Nadie te explica nada, o te dan una excusa genérica sobre “incidencias en el centro logístico”. Cada vez con más frecuencia, detrás de esa frase hay un ciberataque.

Los datos del sector son contundentes: los ataques a la cadena de suministro representaron el 22,5% de todas las brechas de seguridad globales en 2025, el doble que el año anterior. Y en los rankings de riesgos empresariales para 2026, sufrir un ciberataque ha escalado del 65% al 79% entre las preocupaciones prioritarias de las empresas.

Qué se ataca exactamente

Aquí está la parte que casi nadie explica bien. Cuando se habla de ciberataque, la imagen mental es la del correo corporativo con la contraseña robada. Eso sigue existiendo, pero ya no es lo importante.

Lo que se ataca hoy en logística es la maquinaria que mueve las cosas:

• WMS (sistemas de gestión de almacén): el cerebro que sabe en qué estantería está cada artículo. Si cae, el almacén sigue lleno de mercancía pero nadie sabe dónde está nada.
• TMS (sistemas de gestión de transporte): rutas, camiones, asignación de entregas.
• Integraciones por API entre proveedores, tiendas y transportistas, que son puertas con permisos amplios y vigilancia escasa.
• Dispositivos IoT de trazabilidad, esos sensores baratos repartidos por miles que casi nunca reciben actualizaciones.
• Robots de picking y terminales de radiofrecuencia, los aparatos que llevan los operarios en la mano.

Fíjate en el patrón: son sistemas industriales, no ofimáticos. Muchos llevan una década funcionando sin tocarse, con software que nadie quiere actualizar porque “si funciona, no lo toques”. Es el terreno perfecto para un atacante.

📌 Relacionado: Passkeys: qué son, cómo funcionan y por qué podrían acabar con las contraseñas

Un caso concreto: CEVA Logistics

Lo abstracto se entiende mejor con un ejemplo. Un ciberataque contra CEVA Logistics interrumpió las operaciones de ocho almacenes europeos y comprometió información utilizada para procesar pedidos y entregas.

Piensa en lo que eso significa aguas abajo. CEVA no vende al consumidor final: mueve mercancía para otras empresas. Cuando ocho de sus almacenes se paran, no se retrasa un pedido, se retrasan los pedidos de decenas de compañías que ni siquiera saben que dependen de ellos. Y el cliente final, tú, recibe un mensaje de la tienda donde compraste diciendo que hay “un retraso en el proveedor”.

👉 Te puede interesar: Windows 10 ya no recibe soporte: qué hacer con tu ordenador en 2026

Esa opacidad es la característica que define este tipo de incidentes: el daño se propaga por una cadena que nadie ve entera.

🔎 Más de Tecnología

Por qué la logística se ha vuelto un objetivo tan atractivo

Tres razones, y las tres son incómodas:

1. La presión del tiempo juega a favor del atacante. Una fábrica parada pierde dinero cada hora. Un almacén con mercancía perecedera lo pierde más rápido todavía. Esa urgencia hace que las víctimas de ransomware en este sector paguen más y antes que en otros.
2. Un solo objetivo, muchas víctimas. Atacar a un proveedor logístico que sirve a doscientas empresas es doscientas veces más rentable que atacar a una empresa.
3. La superficie es enorme y desigual. Una cadena de suministro incluye multinacionales con equipos de seguridad serios y transportistas de diez empleados con un ordenador sin actualizar. El atacante entra por el eslabón débil y camina hacia el fuerte.

A eso se suma la evolución del ransomware hacia modelos de triple extorsión: ya no basta con cifrar los datos y pedir rescate. Ahora amenazan además con publicarlos y con avisar a tus clientes y reguladores de que te han robado. Tres palancas de presión en lugar de una.

Qué puedes hacer tú como consumidor

Poco, seré honesta, pero no cero:

• Si un pedido se retrasa sin explicación clara y la empresa habla de “incidencia técnica”, no descartes que haya un incidente de seguridad detrás. Tienes derecho a preguntar si tus datos se han visto afectados.
• Vigila tu correo tras un retraso raro. Los datos filtrados en estos ataques (nombre, dirección, teléfono, qué compraste) son munición perfecta para estafas de suplantación muy creíbles. El clásico “su paquete está retenido, pague 1,95 € de aduanas” funciona mucho mejor cuando el estafador sabe que efectivamente esperas un paquete.
• Desconfía de los SMS de seguimiento que llegan justo cuando esperas algo. Entra siempre desde la web o la app de la empresa, nunca desde el enlace del mensaje.

Y si llevas una empresa pequeña

Tres cosas que sí están a tu alcance sin presupuesto de multinacional:

• Inventaría con quién estás conectado. La mayoría de empresas pequeñas no sabe cuántas integraciones activas tiene con proveedores, ni cuáles siguen abiertas años después de dejar de usarse.
• Segmenta. Que el sistema de facturación y el de almacén no vivan en la misma red plana donde un solo equipo comprometido lo alcanza todo.
• Ten un plan en papel. Literalmente en papel: si todo está cifrado, tu plan de respuesta guardado en el servidor no te sirve de nada.

Preguntas frecuentes

¿Me pueden robar los datos de mi tarjeta en uno de estos ataques? En los ataques a logística lo habitual es que se filtren datos de envío y contacto, no de pago, porque el operador logístico normalmente no maneja tu tarjeta. Aun así, esos datos bastan para montar estafas dirigidas muy convincentes.

¿Están obligadas las empresas a avisarme? En Europa, cuando una brecha afecta a datos personales y supone un riesgo alto para los afectados, existe obligación de comunicarlo a la autoridad de protección de datos y, según el caso, a las personas afectadas. En la práctica, los plazos y la claridad de esos avisos varían mucho.

¿Va a ir a más? Todo apunta a que sí. La combinación de ataques asistidos por IA, identidades digitales suplantadas y una cadena logística cada vez más automatizada apunta en esa dirección para lo que queda de 2026.

Lo que más me llama la atención de este cambio es lo poco visible que resulta. Cuando cae una red social, se entera el mundo entero en diez minutos. Cuando cae un sistema de gestión de almacén, lo único que percibimos es que un paquete no llega y que nadie sabe explicar por qué. La infraestructura que sostiene el comercio se ha vuelto digital y frágil a la vez, y seguimos midiendo su salud por si nuestro pedido llegó el jueves.