El agujero negro de los ciberseguros: cuando el breach viene de fuera

La semana pasada, mientras revisaba las últimas noticias de brechas de seguridad, me topé con el caso de Ledger.
No fue ransomware.
No fue phishing.
No fue un empleado despistado.

Fue algo mucho más común… y mucho menos cubierto: un breach en un proveedor tercero.

Según reportó BleepingComputer, Global-e, el procesador de pagos de Ledger, fue comprometido.
Resultado: datos de clientes expuestos, confianza dañada y aquí viene lo crítico probablemente cero cobertura por parte del ciberseguro. No porque no hubiera póliza. Sino porque el incidente vino de fuera.

El gap que nadie quiere mirar

La mayoría de pólizas de cyber insurance siguen diseñadas para un mundo que ya no existe: un perímetro claro, sistemas propios y riesgos “internos”.

Cubren bien:

• Tu servidor comprometido
• Tu empleado que cae en phishing
• Tu base de datos mal configurada

Pero cuando el incidente ocurre en:

• un proveedor SaaS
• un procesador de pagos
• una plataforma cloud
• un proveedor crítico de la cadena digital

la cobertura empieza a desaparecer.

Pregunta clave: ¿qué pasa cuando el problema no es tuyo… pero el impacto sí?

Respuesta corta: estás solo.
Respuesta larga: depende de la letra pequeña, pero normalmente estás solo.

Los números que deberían preocupar a cualquier dirección financiera

Un estudio de Qualys citado por CSO Online deja poco margen para el optimismo:

• 45% de máquinas virtuales en AWS mal configuradas
• 63% en Google Cloud Platform
• 70% en Azure

Siete de cada diez recursos mal configurados no es un accidente.
Es un problema estructural.

Y el dato más preocupante: el 28% de las empresas reportó brechas relacionadas con cloud o SaaS en el último año. Más de una de cada cuatro.

La distinción legal que te puede costar el año

Aquí es donde el ciberseguro se vuelve realmente peligroso si no lo entiendes bien.

Las aseguradoras suelen diferenciar entre:

1. Incidente fortuito

Puede estar cubierto… si la póliza lo contempla expresamente.

2. Negligencia

Normalmente no cubierta.

Y aquí viene el problema:
si tu proveedor crítico tenía fallos conocidos, malas configuraciones o controles débiles, la aseguradora puede argumentar que tú deberías haberlo sabido.

No basta con decir “es culpa del proveedor”.

Desde el punto de vista del seguro:

• Tú lo elegiste
• Tú dependías de él
• Tú asumiste el riesgo

Resultado: sin cobertura.

El mayor error de las empresas hoy

Comprar ciberseguro pensando que: “si pasa algo, el seguro responde” cuando en realidad:

• No han mapeado dependencias críticas
• No saben qué proveedores concentran más riesgo
• No han validado exclusiones por terceros
• No tienen claridad sobre cloud, SaaS y outsourcing

El problema no es el ataque. El problema es descubrir el agujero cuando ya estás dentro.

El enfoque correcto: cerrar el agujero antes de que trague todo

En Axyom vemos este patrón constantemente:
pólizas bien vendidas, pero mal alineadas con la realidad operativa del negocio.

Por eso abordamos el ciberseguro de otra forma:

• Analizando riesgo de terceros y cadena digital
• Identificando qué incidentes quedan fuera
• Ajustando coberturas a cloud, SaaS y proveedores críticos
• Integrando seguro, controles y gobernanza del riesgo

Porque hoy, el mayor agujero negro del cyber insurance no está dentro de tu empresa.

Está en todo aquello de lo que dependes… y que nadie te explicó si estaba cubierto o no.