Seguro cyber: los eventos de la semana del 7 al 14 de noviembre de 2026

Cinco eventos cyber de la semana del 7 al 14 de noviembre de 2026, desde Expedia afectada a través de la plataforma de datos de un proveedor hasta Maersk, el túnel de base del Brennero, Nitori y Vanderbilt University, unidos por sistemas periféricos, heredados o externalizados. Con el impacto asegurador y las preguntas para las renovaciones.

Semana del 7 al 14 de noviembre de 2026

La semana del 7 al 14 de noviembre de 2026 tiene un hilo común: el punto débil está donde la empresa menos mira. Un gran grupo de viajes en línea es alcanzado a través de la plataforma de datos de un proveedor, mientras un grupo criminal afirma haber robado casi mil millones de registros. Un gigante de la logística descubre la intrusión en un sistema heredado de una adquisición. La sociedad que construye el túnel de base del Brennero confirma el robo de datos de un servidor usado para intercambiar archivos con terceros. En Japón un gran distribuidor de muebles estima hasta 37,6 millones de registros expuestos y en Estados Unidos una universidad pide a todos que apaguen los ordenadores. Para quien hace la suscripción del riesgo cyber, la pregunta no es solo cómo está protegido el sistema principal del asegurado, sino qué sistemas secundarios, heredados o externalizados siguen conectados a sus datos.

En resumen

Expedia Group: el 12 de noviembre el grupo confirma un acceso a sus sistemas a través de un proveedor de plataformas de datos comprometido; el grupo n0n afirma tener más de 830 millones de registros de programas de fidelización, cifras no confirmadas.
Maersk: el 11 de noviembre el grupo confirma el robo de datos de un sistema heredado de una adquisición; no declara impacto en las operaciones.
Túnel de base del Brennero: el 7 de noviembre BBT SE confirma un ataque de mediados de octubre a datos accesibles desde internet; el grupo Everest afirma tener 812 GB y exige un rescate, que la sociedad rechaza.
Nitori: el 10 de noviembre el distribuidor japonés de muebles comunica hasta 37,62 millones de registros personales potencialmente sustraídos.
Vanderbilt University: el 9 de noviembre la universidad anuncia un ataque y pide apagar todos los dispositivos; el grupo BYOD la incluye en su sitio.

Los ataques de la semana

1. Expedia Group: el proveedor de la plataforma de datos

El jueves 12 de noviembre de 2026 Expedia Group confirmó que unos atacantes alcanzaron sus sistemas a través de un proveedor de plataformas de datos comprometido, en un ataque a la cadena de suministro que afectó también a otras empresas. El grupo declara que contuvo el incidente, que investiga con expertos externos y que sus plataformas siguen siendo seguras; no ha nombrado al proveedor ni el alcance de los datos afectados. Los investigadores de Wiz y Sentra documentaron un ataque entre el 14 y el 26 de octubre que afectó a Qubole, plataforma de datos en la nube que fue proveedora de Expedia; Expedia no ha confirmado la relación (Skift).

El grupo de extorsión n0n, aparecido a mediados de septiembre de 2026 y centrado en el robo de datos más que en el cifrado, afirma haber sustraído más de 830 millones de registros de 35 programas de fidelización, 58 millones de perfiles de viajeros, más de 333 millones de registros de cuentas y credenciales y unos 2,5 millones de registros de gasto con tarjeta vinculados a direcciones de correo sometidas a hash. Según Security Affairs, Wiz y Sentra indican que los atacantes usaron una clave de proveedor de Qubole robada para acceder a la plataforma de big data de Expedia. Expedia no ha confirmado las cifras de n0n (Security Affairs).

2. Maersk: el sistema heredado de una adquisición

El 11 de noviembre de 2026 Maersk comunicó un incidente de seguridad informática en «un sistema heredado de una adquisición anterior». Los atacantes obtuvieron acceso no autorizado y extrajeron datos; según las primeras comprobaciones no se habría divulgado información sensible. Maersk declara que el incidente parece limitado a ese sistema, sin indicios de compromiso de sus demás infraestructuras ni de los sistemas de clientes y socios conectados mediante API y EDI, y no ha informado de interrupciones en las actividades logísticas (IT Nerd).

El grupo WhiteArmour incluyó a Maersk en su sitio, afirmando tener más de 16.000 contraseñas de conductores guardadas en texto claro y exigiendo 5 millones de dólares en bitcoin; Maersk no ha confirmado la relación. Los investigadores de Cybernews vinculan el incidente con LF Logistics, empresa logística adquirida por Maersk en 2022 (Cybernews). Para un grupo que sufrió NotPetya en 2017, el caso confirma que las adquisiciones traen consigo sistemas, credenciales y conexiones que hay que revisar.

3. Túnel de base del Brennero: los datos de la obra

El 7 de noviembre de 2026 BBT SE, la sociedad que construye el túnel ferroviario de base del Brennero entre Italia y Austria, controlada por ÖBB y RFI, confirmó un ataque dirigido ocurrido a mediados de octubre. Los atacantes tuvieron acceso parcial a datos «accesibles a través de internet»; los sistemas afectados se aislaron y se recurrió a expertos externos y a las autoridades. El 17 de octubre el grupo Everest había incluido el túnel en su sitio, afirmando haber robado 812 GB; la cifra no está verificada (bluewin).

Según Escudo Digital, el punto de entrada fue un servidor conectado a internet usado para intercambiar datos con terceros, y los datos sustraídos incluyen documentos administrativos, datos topográficos y documentos de licitación. Everest exigió un rescate de importe no revelado; BBT SE se niega a negociar y a pagar y comunica cada contacto a la policía. La sociedad declara que el ataque no tuvo efectos técnicos en la excavación y que los sistemas de seguridad industrial están intactos; las investigaciones en Austria e Italia siguen abiertas (Escudo Digital).

4. Nitori: hasta 37,6 millones de registros

El 10 de noviembre de 2026 Nitori, gran distribuidor japonés de muebles y artículos para el hogar, comunicó que hasta 37,62 millones de registros personales «podrían haberse filtrado al exterior». La empresa detectó y bloqueó la intrusión el 6 de noviembre; según la investigación el atacante tenía acceso al sistema desde mediados de octubre. Están potencialmente afectados números de socio, nombres, correos, direcciones, teléfonos, fechas de nacimiento y género de los clientes, datos de clientes empresariales e información de pedidos en línea; Nitori descarta contraseñas y tarjetas de crédito. La cifra es una estimación máxima y el número de clientes realmente afectados aún no está determinado; la empresa comprueba también si hubo ransomware (BleepingComputer).

5. Vanderbilt University: apagarlo todo

El lunes 9 de noviembre de 2026 Vanderbilt University anunció un ataque informático que podía afectar a dispositivos y sistemas del campus. La universidad pidió a todos que apagaran los dispositivos, se desconectaran del wifi y avisaran de ventanas de alerta, cambios en archivos o peticiones de contraseña. El ataque salió a la luz después de que el grupo BYOD incluyera a la universidad en su sitio, con afirmaciones sobre robo de datos. No se indica si está afectado el Vanderbilt University Medical Center. BYOD, activo desde finales de septiembre según el experto Allan Liska, es el mismo grupo que reivindicó el ataque a la University of New Mexico (The Record).

Otros eventos a destacar

Microsoft 365 (tecnología): desde el 12 de noviembre una avería deja sin servicio durante casi 24 horas Outlook, Exchange Online y otros servicios en varias regiones; Microsoft señala un proceso de servidores sobrecargado y declara que no hay indicios de actividad maliciosa. Morningstar DBRS estima de forma preliminar pérdidas aseguradas globales de entre 300 y 500 millones de dólares (Actuarial Post).
Quantum Systems (defensa): el fabricante alemán de drones confirma un ataque de finales de octubre; según Der Spiegel y el Financial Times una actualización maliciosa del software de planificación de misiones se distribuyó desde el servidor del fabricante, y las fuerzas armadas alemanas mantuvieron los drones en tierra por precaución.
TSMC (semiconductores): el 12 de noviembre el fabricante de chips comunica que datos personales de empleados y exempleados, coincidentes con los de un proveedor en la nube, aparecieron en internet; sin pruebas de compromiso de sus propios sistemas.
Baker Tilly (servicios profesionales): la firma de auditoría notifica a sus clientes una brecha en un proveedor no nombrado, con números de la seguridad social; 10.456 personas solo en Texas.

Impacto asegurador

El cuadro común es la periferia: proveedores de datos, sistemas heredados, servidores de intercambio de archivos y servicios en la nube compartidos. Para cada evento, el posible impacto en las pólizas puede leerse así.

Expedia Group. Coberturas potencialmente activadas: gestión del incidente, notificación, responsabilidad por privacidad, extorsión. Potencial de acumulación: alto, porque la misma plataforma de datos daba servicio a varias empresas. Nodo contractual: el daño originado en un proveedor y la posibilidad de repetición, junto con afirmaciones no verificadas del grupo criminal.
Maersk. Coberturas potencialmente activadas: gestión del incidente, notificación, extorsión. Potencial de acumulación: bajo. Nodo contractual: los sistemas de las sociedades adquiridas y su inclusión en la definición de sistema informático del asegurado.
Túnel de base del Brennero. Coberturas potencialmente activadas: gestión del incidente, extorsión, responsabilidad frente a terceros por documentos de licitación y técnicos. Potencial de acumulación: bajo. Nodo contractual: la confidencialidad de datos técnicos de una infraestructura estratégica y las exclusiones por operaciones estatales, si surgiera un vínculo.
Nitori. Coberturas potencialmente activadas: notificación, responsabilidad por privacidad, sanciones donde sean asegurables. Potencial de acumulación: bajo. Nodo contractual: los sublímites de notificación frente a un número de personas aún indeterminado.
Vanderbilt University. Coberturas potencialmente activadas: restablecimiento, interrupción de actividad, extorsión, notificación. Potencial de acumulación: medio, porque el mismo grupo actúa contra varias universidades. Nodo contractual: la parada decidida por el asegurado para contener el ataque.

El proveedor de datos es un punto de acumulación. Expedia, TSMC y Baker Tilly ven sus datos afectados en terceros. El cuestionario debe preguntar dónde están los datos, no solo quién los posee.

Las adquisiciones traen riesgos ocultos. Maersk descubre la intrusión en un sistema heredado. En la suscripción del riesgo cuentan los sistemas de las sociedades adquiridas y el plazo previsto para integrarlos o apagarlos.

Una avería no es un ataque, pero pesa igual. La caída de Microsoft 365 no nace de un ataque y en muchas pólizas podría no activar la cobertura. Las condiciones sobre fallos de sistema y sobre proveedores indican quién paga realmente.

Qué llevar a las renovaciones

¿Qué proveedores de plataformas de datos y de análisis conservan copias de los datos de clientes del asegurado, y con qué claves de acceso?
¿Se rotan y revocan las claves y credenciales concedidas a los proveedores cuando la relación cambia o termina?
¿Qué sistemas de las sociedades adquiridas siguen activos y conectados a la red o a los datos del grupo?
¿Están censados, protegidos y vigilados los servidores usados para intercambiar archivos con terceros?
¿Cubre la póliza la interrupción causada por una avería no maliciosa de un proveedor en la nube, y con qué periodo de carencia?
¿Tiene el asegurado un procedimiento para apagar los dispositivos de forma ordenada y volver a arrancar, y lo ha probado?
¿Cómo se tratan las extorsiones por datos sustraídos sin cifrado de los sistemas?

En el lado de la cartera conviene censar a los asegurados que usan las mismas plataformas de datos en la nube y el mismo proveedor de correo y colaboración, y simular un escenario en el que un solo proveedor afecta a muchos asegurados con un robo de datos o una caída.