Ahora la mayoría de las víctimas sufren filtraciones de datos de terceros

La próxima filtración que probablemente llegue a tu escritorio comienza dentro de una empresa que no te pertenece. Tu logotipo aparece en la carta de notificación, tu nombre está en la bandeja de entrada del regulador y tu junta directiva quiere saber por qué el error de un proveedor se convirtió en tu incidente. El informe Data Breach Outlook 2026 de Kroll pone cifras a ese patrón. Del total de personas afectadas en las filtraciones que Kroll gestionó de junio de 2025 a junio de 2026, el 69 por ciento fue impactado a través de un tercero.

Esa cifra merece más atención que el recordatorio habitual sobre el riesgo de proveedores. Describe personas, no incidentes, y muestra dónde se concentra el daño real. Un solo proveedor de tecnología comprometido puede alcanzar a millones de personas en cientos de clientes al mismo tiempo. El equipo de seguridad de cualquier cliente nunca lo vio venir y ninguno controlaba los sistemas que fallaron.

Este artículo analiza qué midió Kroll, por qué difiere del informe Data Breach Investigations Report de Verizon, qué dicen las reglas de notificación de HIPAA cuando un proveedor sufre una filtración y qué evidencia debe tener un CISO o responsable de cumplimiento antes de que suene el teléfono. En resumen: un cuestionario para proveedores no es evidencia. Un registro de qué se movió, quién lo tocó y bajo qué política, sí lo es.

Conclusiones Clave

1. Kroll detectó que el 69 por ciento de las personas afectadas fueron impactadas a través de un tercero, y el 79 por ciento de esos casos se rastrearon hasta proveedores de tecnología.

2. Kroll cuenta personas y Verizon cuenta filtraciones, así que ambos números miden cosas diferentes y nunca deben combinarse en una sola estadística.

3. Bajo HIPAA, la filtración de un asociado comercial no elimina el deber de la entidad cubierta de notificar a las personas, y el reloj puede iniciar cuando el proveedor es tratado como agente.

4. La brecha de liderazgo es el riesgo oculto, porque la encuesta de Kroll muestra que los líderes de TI son mucho más confiados que los de la alta dirección o los responsables de riesgos y cumplimiento.

5. La defensa más sólida es la evidencia que generas tú mismo, lo que implica un solo camino gobernado para contenido confidencial con un motor de políticas y un registro de auditoría.

Qué midió Kroll

Comienza por las definiciones, porque el titular viaja más rápido que la letra pequeña. Kroll publicó su Data Breach Outlook 2026 el 22 de octubre de 2026. Los casos analizados abarcan de junio de 2025 a junio de 2026. El comunicado de prensa de Kroll indica que 7 de cada 10 personas afectadas por filtraciones de datos lo fueron a través de un tercero, y la cifra exacta es 69 por ciento.

Fíjate en la unidad de medida. Kroll cuenta personas afectadas, es decir, aquellas cuya información fue expuesta. No cuenta el número de organizaciones que sufrieron una filtración. Esa distinción importa porque una filtración de proveedor se multiplica. Un incidente en un procesador de nómina, una plataforma de reclamaciones o un proveedor de transferencia de archivos puede exponer a los clientes de cada empresa que lo utilizó.

Kroll también realizó una encuesta a 250 líderes junto con su análisis de casos. El 69 por ciento de esos líderes dijo que sus organizaciones habían sufrido una filtración, y el 34 por ciento que habían sido víctimas más de una vez. Aquí aparece un segundo 69 por ciento, fácil de confundir con el primero. Uno describe personas alcanzadas a través de proveedores. El otro describe organizaciones que experimentaron una filtración. Cítalos por separado, siempre.

El resumen de Kroll no desglosa los resultados por país. Trata las cifras como un patrón global, no como una sentencia sobre un mercado específico. Si vas a informar a una junta en Londres, Riad o Chicago, dilo desde el principio y deja que la sección regulatoria local aporte el peso regional.

Proveedores de tecnología y el radio de impacto

De las personas afectadas a través de un tercero, Kroll atribuye el 79 por ciento a proveedores de tecnología, el 9 por ciento a finanzas, el 6 por ciento a seguros y el 5 por ciento a salud. Solo el sector tecnológico está vinculado al 60 por ciento de todas las personas afectadas en el conjunto de datos de Kroll.

Si miras más de cerca, la clasificación cuenta una historia más precisa. La tecnología ocupó el séptimo lugar por número de organizaciones afectadas, pero el primero por número de personas impactadas. Seguros fue noveno por organizaciones y segundo por personas. Esos sectores no sufren más filtraciones que los demás. Simplemente almacenan más datos de terceros, así que cada incidente alcanza más lejos.

Esto es un problema de concentración, no de descuido. Tus proveedores no son necesariamente peores en seguridad que tú. Simplemente son puntos de agregación. Cuando un proveedor almacena, enruta o procesa datos para cientos de clientes, un atacante que logra entrar una vez obtiene una cosecha que normalmente requeriría cientos de intrusiones separadas.

Kroll también señaló que finanzas y servicios profesionales representaron cada uno el 20 por ciento de las filtraciones, con servicios profesionales aumentando un 45 por ciento. Firmas legales, consultoras, despachos contables y especialistas externos se encuentran en el centro de los intercambios confidenciales. Reciben contratos, registros financieros y datos personales, y los transmiten. Cada uno de esos traspasos es un punto donde tu política termina y comienza la de otro.

Si tu programa de gestión de riesgos de la cadena de suministro se limita a pedir a los proveedores que describan sus controles, solo mide intenciones. Las cifras de Kroll miden resultados, y los resultados se concentran en unas pocas categorías de proveedores que tu programa debería priorizar.

Verizon cuenta filtraciones, Kroll cuenta personas

Los responsables de seguridad buscarán rápidamente el Data Breach Investigations Report 2026 de Verizon para contrastar la historia de Kroll. El informe de Verizon detectó participación de terceros en el 48 por ciento de las filtraciones, frente al 30 por ciento de la edición anterior. Su periodo abarca de octubre de 2024 a noviembre de 2025 y cubre 145 países.

A primera vista, 48 por ciento y 69 por ciento parecen cifras contradictorias. No lo son. Verizon pregunta cuántas filtraciones involucraron a un tercero. Kroll pregunta cuántas personas fueron afectadas por uno. Como los incidentes de terceros suelen ser más grandes, la proporción de personas supera la de filtraciones. Ambas cifras pueden ser ciertas al mismo tiempo y, juntas, aportan más que por separado.

Leídas en conjunto, muestran dos tendencias. La participación de terceros en filtraciones está aumentando rápidamente, y las filtraciones que involucran a un tercero son más grandes. Un CISO que solo sigue el conteo de incidentes subestimará la exposición. Un CISO que solo sigue el número de personas afectadas pasará por alto lo habitual que se ha vuelto el patrón.

El informe Third-Party Breach Report 2026 de Black Kite añade una advertencia útil sobre la evidencia que suelen aportar los proveedores. Registró 136 eventos, 719 víctimas identificadas y unas 26,000 no identificadas, con una mediana de 73 días de retraso en la divulgación. La calificación promedio del proveedor fue de 90.27, pero el 53.77 por ciento de esos proveedores aún tenía una vulnerabilidad crítica. Una puntuación alta y una debilidad grave coexistían en la misma muestra. Por eso una calificación por sí sola no puede sustituir la prueba de cómo se gestionaron tus datos.

La brecha de liderazgo que nadie asume

El aspecto más revelador de la encuesta de Kroll no trata sobre atacantes. Trata sobre confianza. Cuando Kroll preguntó a los líderes cuán preparados se sentían, el 54 por ciento de los líderes de TI respondió que confiaba en su preparación. Entre la alta dirección, el 40 por ciento lo dijo. Entre los responsables de riesgos y cumplimiento, solo el 30 por ciento.

Interpreta esa diferencia como una señal de quién tiene la evidencia. Las personas más cercanas a la tecnología se sienten más seguras, y quienes deben responder ante reguladores, aseguradoras y juntas se sienten menos. Los responsables de cumplimiento no son pesimistas. Saben qué pedirá un auditor y que la respuesta suele estar en el sistema del proveedor, no en el propio.

La encuesta anual de Kiteworks apunta en la misma dirección. De 459 participantes, aproximadamente la mitad en la UE y Reino Unido y todos autodeclarados, solo el 14 por ciento mencionó una filtración de terceros como su principal riesgo. Mientras tanto, el 54 por ciento usa cuatro o más plataformas para intercambiar contenido confidencial y el 73 por ciento no tiene controles técnicos en esos canales. Solo el 4 por ciento opera una plataforma unificada y el 19 por ciento nunca ha comprobado si realmente puede revocar el acceso de terceros.

Detente en ese último número. Una de cada cinco organizaciones nunca ha confirmado que puede cortar el acceso de un proveedor. Si tu proveedor sufre una filtración un martes, la primera pregunta de tu CEO será si puedes desconectar la conexión. «Creemos que sí» no es una respuesta que acepte una junta, ni que registre favorablemente un investigador.

Llama a esto la brecha de evidencia. Es la distancia entre la confianza que reporta tu equipo de tecnología y la prueba que puede presentar tu equipo de cumplimiento cuando se le solicita. Los tres números de Kroll, 54, 40 y 30, son un mapa de esa distancia.

El deber de notificación no se transfiere

El sector salud ejemplifica la responsabilidad, porque HIPAA especifica quién debe notificar a quién. Según 45 CFR 164.410, un asociado comercial debe notificar a la entidad cubierta sobre una filtración sin demora injustificada y no más tarde de 60 días naturales tras el descubrimiento. La norma también indica que una filtración se considera descubierta cuando el asociado comercial lo sabe, y cuando cualquiera de sus empleados o agentes lo sabe.

Ahora observa el siguiente eslabón de la cadena. Según 45 CFR 164.404, la entidad cubierta notifica a las personas afectadas. El fallo del proveedor no transfiere ese deber. Sigues siendo la organización de la que oyen los pacientes y sigues siendo la que leen los reguladores en las cartas de notificación.

HHS abordó un punto sutil en su comentario de 2013 en el Federal Register. Si un asociado comercial actúa como agente de la entidad cubierta, el conocimiento de una filtración por parte del asociado comercial se atribuye a la entidad cubierta. En ese caso, el reloj de notificación de la entidad cubierta puede comenzar cuando el proveedor descubre la filtración, no cuando finalmente la comunica. Si un proveedor es agente depende de cuánto control ejerzas, así que es una cuestión legal que conviene resolver con asesoría antes de un incidente, no durante.

Aquí es donde la regla de seguridad de HIPAA entra en la conversación. La actualización propuesta aún no ha sido finalizada, y informes de HIPAA Journal indican que la acción final se ha pospuesto hasta julio de 2027. No esperes a que llegue. Las reglas de notificación ya aplican y tu evidencia de proveedores debe estar lista ahora. Para más información sobre la base normativa, consulta la visión general de cumplimiento de HIPAA de Kiteworks.

La misma lógica se aplica fuera de Estados Unidos. Según el artículo 33 del RGPD del Reino Unido, un responsable debe notificar al regulador en un plazo de 72 horas tras tener conocimiento de una filtración, cuando sea posible. La PDPL de Arabia Saudita también exige notificación al regulador en 72 horas, y una consulta abierta el 6 de octubre de 2026 propone endurecerla. Información de Pinsent Masons indica que el borrador eliminaría el umbral de daño actual, exigiría almacenamiento en el Reino y añadiría un plazo de respuesta de 20 días hábiles. La consulta cierra el 5 de noviembre de 2026 y estos detalles provienen de fuentes secundarias, así que revisa el texto original antes de actuar. El patrón es el mismo en todas las jurisdicciones. El proveedor puede causar la filtración, pero el responsable lleva el reloj.

La matemática del seguro

Las aseguradoras también han detectado el mismo patrón. Un reportaje en Insurance Business halló que los proveedores causaron la mayoría de las grandes filtraciones de datos de salud de junio. Cuando los incidentes más grandes de un sector suelen comenzar con un proveedor, los suscriptores empezarán a hacer preguntas sobre tus proveedores.

Espera algunos cambios. Las solicitudes de seguro preguntarán cómo inventarías a los proveedores que manejan tus datos. En las renovaciones te pedirán demostrar quién accedió a qué, no solo si existe una política. Las reclamaciones dependerán de si puedes reconstruir los hechos rápidamente, porque una reclamación que no puedes documentar es una reclamación que podrías no cobrar.

El sector de seguros también ocupa una posición peculiar en los datos de Kroll. Fue noveno por organizaciones afectadas y segundo por personas impactadas. Las aseguradoras y sus administradores también son agregadores, lo que significa que quien calcula tu riesgo está expuesto al mismo efecto de concentración que tú.

La lección práctica es que el costo de una filtración de proveedor no lo fija el proveedor. Lo fija la rapidez con que puedas responder cuatro preguntas. ¿Qué datos tenía ese proveedor? ¿Quién autorizó el acceso? ¿Qué se compartió en los últimos 90 días? ¿Puedes probarlo? Cada respuesta proviene de tus propios registros o de la buena voluntad del proveedor.

Evidencia antes de que llame el proveedor

La mayoría de las organizaciones trata el riesgo de terceros como una función de compras. Envían un cuestionario, recogen un informe SOC 2, archivan los resultados y siguen adelante. Ese proceso tiene valor, pero produce afirmaciones sobre el entorno del proveedor. No produce evidencia sobre el movimiento de tus datos.

La diferencia determina lo que puedes hacer en el peor día. Una declaración del proveedor te dice lo que afirma hacer. Tus propios registros de auditoría te dicen qué pasó realmente con tu contenido. Durante un incidente, dependerás mucho más de la segunda fuente que de la primera, y un regulador también.

Aquí es donde importa la arquitectura del intercambio de contenido confidencial. El correo electrónico, el uso compartido de archivos, SFTP, la transferencia gestionada de archivos, los formularios web y las APIs son las rutas por las que los datos regulados salen de tu entorno. Si cada ruta tiene sus propias herramientas, políticas y registros, armar la cronología de un incidente se convierte en un proyecto forense. Los datos de la encuesta de Kiteworks muestran lo común que es esa fragmentación: el 54 por ciento de los encuestados usa cuatro o más plataformas.

Un enfoque de plano de control consolida esas rutas. Kiteworks gobierna el correo electrónico seguro, el uso compartido seguro de archivos, SFTP, la transferencia gestionada de archivos, formularios y APIs con un solo motor de políticas de datos, controles de RBAC y ABAC, un único registro de auditoría y una cadena de custodia defendible. Funciona como un dispositivo virtual reforzado de tenencia única, así que tus datos y tus claves no se mezclan con los de otros clientes. Los agentes de IA se rigen junto a los usuarios humanos bajo las mismas políticas, lo que es relevante a medida que más flujos de trabajo de proveedores se automatizan.

El principio es sencillo. Cuando algo sale mal en un proveedor, la pregunta no es qué sabía el proveedor. Es qué puedes probar sobre el contenido que enviaste y bajo qué reglas. Un camino gobernado responde eso en minutos, no en semanas.

La regla de mínimo necesario de HIPAA también es relevante aquí. Enviar menos datos a un proveedor reduce la cantidad de personas que pueden verse afectadas si ese proveedor falla. El hallazgo de concentración de Kroll y el principio de mínimo necesario apuntan en la misma dirección. Limita lo que sale y asegúrate de que lo que sale esté controlado por políticas y registrado.

Cinco acciones para los próximos 90 días

Un hallazgo como el de Kroll puede parecer demasiado grande para actuar. No lo es. Cinco acciones caben en un trimestre y cada una produce algo que puedes mostrar a un auditor.

Acción 1. Clasifica a los proveedores por volumen de datos, no por valor de contrato. Haz una lista de todos los terceros que gestionan contenido regulado o confidencial y ordénalos según la cantidad de personas o registros que manejan. Los datos de Kroll indican que las categorías de tecnología y seguros merecen la primera revisión. Tu proveedor de mayor gasto y el de mayor exposición rara vez son la misma empresa.

Acción 2. Prueba la revocación, no solo la política. Elige tus cinco proveedores más riesgosos y corta su acceso en un ejercicio controlado. Registra cuánto tiempo tomó, quién participó y qué se rompió. El 19 por ciento de las organizaciones encuestadas nunca ha hecho esto, y es la forma más barata de salir de ese grupo.

Acción 3. Resuelve la cuestión del agente con asesoría legal. Decide, proveedor por proveedor, si la relación podría considerarse una agencia. Si es así, el comentario de HHS indica que el conocimiento del proveedor puede convertirse en tuyo. Tu plan de respuesta a incidentes debe indicar cuándo inicia el reloj de notificación en cada caso, y debe estar en tu plan de respuesta a incidentes.

Acción 4. Cierra la brecha de liderazgo con una sola evidencia compartida. Pon la visión de TI y la de cumplimiento en una sola página. Muestra qué intercambios de terceros están controlados técnicamente, cuáles dependen solo de políticas y cuáles no tienen registro. Cuando 54, 40 y 30 se convierten en una lista única de brechas identificadas, la diferencia de confianza se transforma en un plan de trabajo.

Acción 5. Consolida los canales que transportan datos regulados. Mapea cada ruta utilizada para mover contenido confidencial hacia o desde un tercero. Elimina las que nadie gobierna. Pasa el resto bajo un solo motor de políticas y un solo registro, para que la próxima cronología de incidentes sea un informe y no una investigación. Para programas relacionados, consulta la guía de Kiteworks sobre administración de riesgos de proveedores y TPRM.

Haz estas cinco cosas y la próxima conversación con tu junta será diferente. En vez de explicar cómo te falló un proveedor, podrás mostrar qué sabías, qué controlabas y cuán rápido respondiste.

Qué decirle a tu junta

Cuando los directores pregunten por el titular de Kroll, responde con tres frases. La mayoría de las personas perjudicadas por filtraciones lo son a través de proveedores, no de la empresa cuyo nombre aparece en la carta. Nuestro deber legal de notificar permanece con nosotros incluso si el proveedor es el responsable. Nuestra defensa es la evidencia que poseemos, y la estamos midiendo y mejorando según un calendario.

Lleva la evidencia. Una lista de proveedores clasificados por exposición, el resultado de una prueba de revocación y una cronología única de un intercambio confidencial, de principio a fin, valen más que cualquier puntuación de madurez. Las juntas confían en lo que pueden inspeccionar.

Una última advertencia sobre el alcance. Los casos de Kroll son una muestra global y los encuestados de la encuesta de Kiteworks son autodeclarados y tienden a la UE y Reino Unido. Ninguno de los conjuntos de datos predice lo que ocurrirá en tu organización. Sí muestran que la estructura del riesgo ha cambiado y que esa estructura premia a quienes pueden documentar cómo gestionan sus datos.

Compruébalo con tus propios datos

Kiteworks ofrece a los equipos de seguridad y cumplimiento un solo camino gobernado para contenido confidencial, con un motor de políticas y un registro de auditoría único para correo electrónico, uso compartido de archivos, SFTP, transferencia gestionada de archivos, formularios y APIs. Si quieres ver cómo se ve la cronología de una filtración de proveedor cuando la evidencia ya está en un solo lugar, solicita una demo personalizada hoy.

Recursos adicionales

• Artículo del Blog Arquitectura Zero Trust: Nunca confíes, siempre verifica
• Video Microsoft GCC High: Desventajas que impulsan a los contratistas de defensa hacia ventajas más inteligentes
• Artículo del Blog Cómo proteger datos clasificados una vez que DSPM los identifica
• Artículo del Blog Cómo generar confianza en la IA generativa con un enfoque Zero Trust
• Video Guía definitiva para el almacenamiento seguro de datos sensibles para líderes de TI