El riesgo que entra por terceros: contador, diseñador y hosting

Una inmobiliaria de ocho personas en Cuautitlán Izcalli. El contador externo tiene la contraseña del banco “para subir las dispersiones”. El diseñador que hizo la página hace tres años sigue siendo administrador del sitio y del Facebook. El hosting lo contrató un sobrino y nadie sabe a qué correo llegan los avisos. Ninguno de los tres trabaja en la inmobiliaria. Los tres pueden entrar a ella.

Esto es lo que en seguridad se llama riesgo de terceros o de cadena de suministro: la puerta no la abre tu equipo, la abre alguien a quien tú le diste llave. Te explico por qué es la puerta que más crece y cómo cerrarla sin dejar de trabajar con tu contador.

El dato que cambió en 2025

El reporte de Verizon sobre brechas de datos de 2025 (DBIR) registró que un tercero estuvo involucrado en el 30% de las brechas analizadas. El año anterior era la mitad. Se duplicó en doce meses.

¿Qué es un “tercero” aquí? Un proveedor de software, un despacho que te da servicio, alguien con acceso a tus sistemas que no está en tu nómina. En el mismo reporte, el abuso de credenciales (contraseñas robadas o filtradas) fue la puerta de entrada en el 22% de las brechas. Junta ambas cosas y tienes el escenario típico: la contraseña de un proveedor tuyo se filtra y el atacante entra a tu negocio pasando por el suyo.

En México el número es peor

Kaspersky publicó en 2026 un estudio sobre ataques a la cadena de suministro. A nivel global, el 31% de las empresas encuestadas sufrió un incidente de este tipo en los últimos doce meses. En México, el 43%. Brasil y Colombia, 36% cada uno.

Un segundo dato del mismo estudio pesa más para un negocio chico: los ataques que explotan “relaciones de confianza” afectaron al 31% de las empresas mexicanas. Relación de confianza es tu contador, tu agencia, tu soporte técnico. Gente a la que no le pides identificación cuando te escribe.

Y el tercer dato explica por qué sigue pasando: solo el 9% de las empresas considera la cadena de suministro su principal preocupación. Todos miran al hacker de película. Nadie mira al proveedor con acceso de administrador.

Del lado europeo, ENISA (la agencia de ciberseguridad de la Unión Europea) clasificó el 10.6% de los 4,875 incidentes que analizó entre julio de 2024 y junio de 2025 como riesgos de cadena de suministro, y señala que los atacantes buscan cada vez más a proveedores porque con uno comprometido llegan a muchos clientes. Es el mayoreo aplicado al crimen.

Tus terceros no son los de un corporativo, pero son más peligrosos

Un corporativo tiene cien proveedores con acceso y un área que los revisa. Tú tienes cinco o diez y nadie los revisa. En los negocios que diagnostico, casi siempre son estos:

• El contador o despacho externo. Tiene la FIEL, la contraseña del SAT, muchas veces el banco y la facturación. Es el tercero con más poder y el que menos se cuestiona.
• El diseñador o agencia. Administrador de tu sitio, tu dominio, tus redes y a veces tu correo. Se fue hace años y el acceso sigue vivo.
• El hosting y el dominio. Si el correo de recuperación es de alguien que ya no está, el día que caduque o lo ataquen no lo vas a recuperar.
• El soporte técnico. Entra por control remoto a tus computadoras. Si su cuenta se compromete, el atacante entra con el mismo programa.
• Las plataformas de software. Punto de venta, CRM, nómina. Si los atacan a ellos, tus datos salen con los de todos sus clientes.

Ninguno es malo. El problema es que les diste acceso total cuando necesitaban acceso parcial, y nunca se lo quitaste.

Cómo lo veo cuando llego a un negocio

Mi primera pregunta en un diagnóstico es: “¿quién puede entrar a tu correo, a tu banco y a tu WhatsApp Business sin ser empleado tuyo?”. La respuesta tarda porque el dueño tiene que pensar. Esa pausa ya es el hallazgo.

Lo segundo que reviso es cómo te piden las cosas. Si tu contador te manda un WhatsApp con “pásame la contraseña nueva del banco” y se la pasas, no hace falta atacar a tu contador: basta con clonarle el WhatsApp. En mi experiencia, la mayoría de los fraudes por terceros no requieren hackear nada. Requieren hacerse pasar por el proveedor de siempre.

Lo tercero es qué pasaría si ese tercero desapareciera mañana. Si tu agencia cierra y era dueña de tu dominio, te quedas sin página y sin correo. Eso no es un ataque. Es dependencia sin contrato.

Lo mínimo que le debes pedir a cada tercero

No es desconfiar. Son reglas que un proveedor serio acepta sin problema:

1. Un acceso por persona, con su nombre. Nada de “la cuenta del contador” compartida entre tres personas de su despacho.
2. Acceso mínimo para su tarea. El diseñador edita el sitio; no es dueño del dominio. El contador sube la nómina; no mueve dinero solo.
3. MFA obligatorio en su cuenta. MFA es el segundo candado: contraseña más código en el teléfono. Si tu proveedor no lo usa, su descuido es tu riesgo.
4. Fecha de fin. Cuando el proyecto termina, el acceso termina. Lo pones en el acuerdo.
5. Un canal de confirmación. Todo cambio de cuenta, contraseña o pago se confirma por llamada al número conocido, nunca por el chat donde llegó.

Cabe en una hoja. Y un proveedor que se molesta porque se lo pides te está diciendo algo.

Qué puedes hacer esta semana

1. Haz una lista de todos los externos con acceso a algo tuyo: nombre, qué acceso tiene, desde cuándo.
2. Quita hoy los accesos de quien ya no te da servicio. Empieza por el sitio, las redes y el correo.
3. Revisa quién es el dueño registrado de tu dominio y a qué correo llegan los avisos de renovación. Si no es tuyo, cámbialo.
4. Acuerda con tu contador y tu banco que ninguna dispersión o cambio de cuenta se ejecuta sin una llamada tuya.
5. Pregunta a cada proveedor con acceso si usa MFA. Si la respuesta es “¿qué es eso?”, ya sabes dónde está tu riesgo.

Cómo ayuda AgileNext

Blindaje Empresarial es protección que puedes demostrar a clientes y socios, en un sprint de 45 días: inventariamos quién entra a tu negocio, dejamos accesos mínimos con MFA y contraseñas controladas, probamos respaldos de verdad y validamos con aliados especializados. Alineado a ISO 27001 sin obligarte a certificarte, incluye gestión de riesgos de proveedores, seguridad de la información y continuidad del negocio.

Haz el autodiagnóstico de seguridad sin costo y sabrás cuántas llaves de tu negocio están en manos de otros.

Te puede interesar: Respaldo no es lo mismo que continuidad del negocio · Qué le pasa a tu negocio si pierdes tu WhatsApp Business