Cleo, el segundo MOVEit: un software de transferencia de archivos y cientos de violaciones

En diciembre de 2024 dos vulnerabilidades en los productos de transferencia de archivos de Cleo fueron explotadas en masa por Clop, con cientos de víctimas reivindicadas y confirmaciones como Hertz y Chicago Public Schools. El análisis: robo de datos, parches insuficientes, cúmulo y preguntas para las renovaciones.

Archivo: reconstrucción escrita en noviembre de 2026

Tema del mes de diciembre de 2024 · por cybercoverinsurance

En diciembre de 2024 dos vulnerabilidades en los productos de transferencia de archivos de Cleo se explotaron de forma masiva. El grupo Clop reivindicó los ataques, anunció decenas de víctimas a final de mes y en los meses siguientes enumeró cientos. Entre las empresas que confirmaron después el robo de datos están Hertz, con cerca de un millón de personas notificadas, y las escuelas públicas de Chicago, con unas 700.000.

El caso repite casi al pie de la letra MOVEit, la campaña de 2023 del mismo grupo. Un único software, presente en muchas empresas sin ser central para ninguna, se convierte en la puerta de entrada de un robo de datos a gran escala. Para quien asume el riesgo cyber, Cleo es el segundo ejemplo de un escenario de cúmulo que ya se repite: muchos siniestros similares, en el mismo periodo, por una única causa técnica.

Lo que se sabe

Las vulnerabilidades. La primera, CVE-2024-50623, afecta a Cleo Harmony, VLTrader y LexiCom. Se había hecho pública en octubre de 2024 y permite subir y descargar archivos sin restricciones. El 13 de diciembre la CISA la incluyó en su catálogo de vulnerabilidades explotadas, señalando su uso en ataques de ransomware. Huntress descubrió que la corrección de octubre no bastaba, y de ahí surgió un segundo fallo, CVE-2024-55956, que permite a un usuario no autenticado ejecutar comandos. La explotación de ambas empezó como muy tarde el 3 de diciembre. El 15 de diciembre Shadowserver contaba 930 servidores aún vulnerables, unos 720 en Estados Unidos (Cybersecurity Dive).

La reivindicación. El 9 de diciembre Huntress señalaba al menos 10 empresas con servidores Cleo comprometidos. Clop declaró después estar detrás de los ataques y haber seguido explotando el software tras la corrección de octubre. El grupo dijo no conocer el número exacto de víctimas, pero habló de «bastantes» (SC Media). En diciembre publicó de forma oculta los nombres de 66 presuntas víctimas, revelados el 14 y 15 de enero de 2025. Alrededor del 20% de las víctimas pertenece a supply chain y logística, frente al 2,8% del total del ransomware, y cerca del 80% es norteamericano (ZeroFox).

Las confirmaciones. En abril de 2025 Hertz comunicó que datos de clientes habían sido sustraídos por quien explotó las vulnerabilidades de Cleo en octubre y diciembre de 2024. Entre los datos: nombres, contactos, fechas de nacimiento, tarjetas de pago y permisos de conducir. Hertz declaró que no había pruebas de un impacto en su propia red (ITPro). Hertz notificó a 1.000.175 personas. Otras confirmaciones vinculadas a Cleo: Chicago Public Schools (700.000 personas), Western Alliance Bank (22.000), Champion Home Builders y WK Kellogg. En esa fecha Clop había añadido más de 350 víctimas a su sitio de publicación de datos (Comparitech).

El precedente. La campaña MOVEit de 2023, también de Clop, afectó a casi 2.800 organizaciones (SC Media).

Lo que no se sabe. El número total de empresas a las que realmente se sustrajeron datos, cuántas pagaron y el coste global de la campaña no son públicos. No todas las reivindicaciones de Clop están verificadas.

Un software periférico, un daño central

La transferencia de archivos no es un sistema crítico, pero toca datos críticos. Cleo, como MOVEit, sirve para intercambiar archivos con clientes, proveedores y socios. No es el núcleo de la empresa y a menudo no tiene un responsable de alto nivel. Pero en los archivos que circulan hay datos personales, pedidos, datos de pago y documentos de empleados.

El daño es el robo, no la parada. Clop no bloqueó los sistemas de las víctimas. Copió datos y pidió un pago para no publicarlos. Para la póliza, el siniestro típico no es de business interruption, sino de violación de datos: análisis forense, notificaciones, asistencia a las personas, gastos legales y posibles acciones de terceros.

El dato no está en los sistemas del asegurado, pero responde el asegurado. Hertz declaró que su propia red no había sido afectada. Los datos se sustrajeron de un sistema de transferencia de archivos. Para quien asume el riesgo, la clave es que los datos personales son del asegurado aunque pasen por un software de terceros, y la responsabilidad frente a las personas sigue siendo suya.

Correcciones que no corrigen

El parche de octubre no bastaba. CVE-2024-50623 se había corregido en octubre. Huntress demostró que la corrección podía eludirse, y la explotación continuó hasta una segunda corrección en diciembre (Cybersecurity Dive). Una empresa que había actualizado enseguida podía seguir expuesta.

El cuestionario pregunta si se actualiza, no qué queda expuesto. Las preguntas sobre gestión de parches miden la disciplina. No dicen qué aplicaciones son accesibles desde internet. Para un software de transferencia de archivos, la pregunta útil es si el servidor es público, y si tiene que serlo. Rapid7 recomendó precisamente retirar los productos Cleo del acceso público (SC Media).

El tiempo de exposición cuenta más que el tiempo de parcheo. Entre el 3 y el 15 de diciembre cientos de servidores siguieron vulnerables. Para quien asume el riesgo, la fecha de inicio de la explotación decide qué pólizas están implicadas y qué periodo de cobertura responde.

Cúmulo: el patrón se repite

Dos campañas en menos de dos años del mismo grupo. MOVEit en 2023, Cleo en 2024. El patrón es el mismo: una vulnerabilidad desconocida en un software de transferencia de archivos, explotada a gran escala en pocos días, seguida de meses de reivindicaciones y notificaciones. Un evento así ya no es una excepción, es un escenario de daño que hay que modelizar.

La cola de siniestros es larga. Las víctimas se revelaron por etapas: nombres ocultos en diciembre, nombres visibles en enero, datos publicados desde enero, confirmaciones oficiales hasta abril de 2025 y más allá. Una cartera afectada ve llegar las declaraciones de siniestro durante meses, no todas a la vez. Una reserva calculada en enero habría estado incompleta.

El cúmulo se concentra por sector. Según ZeroFox, logística y supply chain pesaban mucho más de lo habitual entre las víctimas. Un software extendido en un sector crea un cúmulo sectorial: un asegurador con muchos operadores logísticos en cartera estaba más expuesto que uno diversificado.

Las cláusulas de evento único se vuelven decisivas. Varios siniestros por la misma vulnerabilidad pueden ser un único evento a efectos de reaseguro o de agregación de franquicias. Los condicionados que definen «evento» y «causa común» determinan cuánto pesa la campaña en las cuentas de un asegurador.

Qué llevar a las renovaciones

Impacto para las aseguradorasAlto

Un solo software de transferencia de archivos produjo cientos de violaciones de datos en pocos meses, repitiendo el patrón de MOVEit.

En el lado de la cartera, el trabajo útil es saber cuántos asegurados usan el mismo software de transferencia de archivos y cuántos lo exponen a internet. El dato se obtiene con una pregunta en el cuestionario o con un escaneo externo. Con MOVEit y Cleo como precedentes, un escenario «MFT» con cientos de siniestros de violación de datos en el mismo trimestre es una base razonable para probar límites y reaseguro.