ANÁLISIS
BridgePay, pagos parados durante días: la dependencia que las pequeñas empresas no ven
El 6 de febrero de 2026 un ransomware paró durante al menos cuatro días la plataforma de pagos estadounidense BridgePay: comercios obligados a aceptar solo efectivo, municipios y empresas de agua sin cobros en línea. El análisis: el proveedor oculto, periodo de carencia y franquicias, cúmulo en los pagos y preguntas para las renovaciones.
Archivo: reconstrucción escrita en noviembre de 2026
Tema del mes de febrero de 2026 · por cybercoverinsurance
El 6 de febrero de 2026, hacia las 3:30 de la madrugada hora de la costa este, la plataforma de pagos estadounidense BridgePay dejó de funcionar. Por la tarde la empresa confirmó un ataque de ransomware. Pasarela, terminales virtuales, páginas de pago y portales de socios permanecieron apagados durante días. Algunos comercios aceptaron solo efectivo, y ciudades y empresas de agua no pudieron cobrar las facturas en línea.
Para quien asume el riesgo cyber el caso es un ejemplo de interrupción por dependencia para las pequeñas empresas: comercios de todo el país que podían no saber que dependían de BridgePay, porque la plataforma trabajaba detrás del software de caja o de facturación que usaban. Es también un ejemplo de cúmulo en los pagos.
Lo que se sabe
El ataque. El 6 de febrero BridgePay informó de la degradación de sus sistemas a las 3:29, identificó un incidente de ciberseguridad a las 6:34 y confirmó el ransomware por la tarde. Intervinieron el FBI, el Servicio Secreto y especialistas externos. No se indicó el grupo responsable (Cyber Security News).
Los servicios caídos. Estaban fuera de servicio la interfaz de la pasarela de pago, el servicio en la nube para terminales, el terminal virtual con los informes, las páginas de pago alojadas y los portales de socios. Según los primeros análisis forenses, los datos de las tarjetas no se vieron comprometidos y los archivos solo estaban cifrados, sin pruebas de exposición de datos utilizables (BleepingComputer).
Los efectos. Algunos comercios solo pudieron aceptar efectivo, entre ellos un restaurante citado por la prensa. La ciudad de Palm Bay, en Florida, pidió a los residentes que pagaran en persona. También Frisco, en Texas, y las plataformas Lightspeed Commerce y ThriftTrac informaron de problemas (BleepingComputer). El 9 de febrero todos los servicios seguían apagados y BridgePay no daba fecha de restablecimiento (Payment Expert).
Las empresas de agua. WaterISAC informó el 12 de febrero de que varias empresas municipales de agua, sobre todo en Texas pero también en Kansas, Michigan, Wisconsin y Florida, no podían cobrar las facturas. Wichita restableció los pagos en línea gracias a una solución de su proveedor que evitaba BridgePay, mientras la plataforma seguía apagada (WaterISAC).
Lo que no se sabe. No se han hecho públicos el número de comercios afectados, la fecha del restablecimiento completo, la vía de entrada, el grupo responsable ni si se pagó un rescate.
La dependencia que nadie conoce
El proveedor oculto. La tecnología de BridgePay trabaja a menudo detrás de plataformas de software de terceros (Payment Expert). Un restaurante elige un software de caja, no una pasarela de pago. Cuando la pasarela se detiene, el comercio descubre una dependencia que nunca había declarado.
El cuestionario no la ve. Las preguntas sobre proveedores críticos recogen los nombres que el asegurado conoce: la nube, el software de gestión, el software de caja. El proveedor del proveedor queda fuera. Para una garantía de interrupción por dependencia limitada a los proveedores designados, BridgePay no habría estado entre ellos.
El efectivo como plan de continuidad. Para un pequeño comercio, aceptar solo efectivo significa perder una parte importante de la caja. El daño es una pérdida de facturación repartida entre muchas pequeñas empresas, cada una a menudo cerca de la franquicia o por debajo de ella.
El periodo de carencia y la duración
Días, no horas. La parada duró al menos cuatro días (Payment Expert). Con periodos de carencia que por lo general se miden en horas, muchos comercios habrían superado el umbral temporal. Su problema es el importe: unos días de cobros con tarjeta perdidos pueden quedar por debajo de la franquicia.
La solución alternativa reduce el daño. Wichita restableció los pagos gracias a un proveedor que evitó BridgePay (WaterISAC). Los asegurados con un segundo canal de pago, o con un proveedor capaz de cambiarlo deprisa, limitan la duración del siniestro.
Los entes públicos cobran menos, pero no pierden. Para ciudades y empresas de agua el daño es sobre todo un retraso en los cobros y costes de gestión manual. El daño asegurable es menor, pero la presión sobre el servicio a los ciudadanos es alta.
El cúmulo en los pagos
Un evento, muchos asegurados pequeños. Una parada de la plataforma afectó a comercios de varios sectores, municipios y empresas de agua en varios estados. Para una cartera de pequeñas empresas, los pagos son un punto de cúmulo como la nube.
La cadena es larga. Comercio, software de caja, pasarela, procesador, red de tarjetas. Cada eslabón puede detenerse. El cúmulo no depende del nombre del proveedor que el asegurado conoce, sino del que está más abajo en la cadena.
El proveedor de pagos como asegurado. Para quien asegura a BridgePay o plataformas similares, el mayor riesgo es la responsabilidad frente a socios y comercios por los cobros perdidos. Los contratos suelen limitar esa responsabilidad, pero el número de contrapartes es muy alto.
Qué llevar a las renovaciones
Impacto para las aseguradorasMedio
Un ransomware paró durante al menos cuatro días una plataforma de pagos estadounidense, obligando a comercios a trabajar solo con efectivo e impidiendo a municipios y empresas de agua cobrar en línea.
En cuanto a la cartera, el caso BridgePay sugiere mapear la cadena de pagos de las pequeñas empresas aseguradas, al menos para las principales pasarelas y procesadores de cada mercado. Un escenario de parada de una semana de una pasarela extendida, con pérdidas pequeñas pero en miles de asegurados, es una prueba útil para el cúmulo y para las franquicias de las garantías de interrupción por dependencia.