Cómo Suceden Realmente los Ciberataques: Los Métodos Detrás de Brechas como la de H&M

El 12 de octubre de 2026, H&M Group dijo que estaba investigando afirmaciones en línea de un incidente de ciberseguridad que involucraba "un alcance limitado de datos de H&M Group", según una declaración de la empresa reportada por Retail Gazette. El minorista dijo que no había encontrado ninguna indicación de que su entorno de datos hubiera sido comprometido y no había notificado a la Oficina del Comisionado de Información del Reino Unido, según Beinsure.

Las afirmaciones surgieron días después de que la minorista de moda ASOS confirmara una brecha el 6 de octubre, en la que los atacantes obtuvieron las credenciales de inicio de sesión de un empleado al suplantar a un contacto de confianza, luego usaron esas credenciales para acceder a nombres de clientes y detalles de contacto almacenados en plataformas de terceros, según el reportaje de Beinsure. Retail Gazette señaló que los informes han vinculado las alegaciones de H&M al mismo grupo de ciberdelincuentes, ShinyHunters, aunque ninguna confirmación independiente vincula los dos incidentes.

¿Quién es ShinyHunters?

ShinyHunters es un grupo de hackers motivado financieramente que ha estado activo desde 2020 y está vinculado a brechas en más de 400 organizaciones, según el proveedor de ciberseguridad DoControl. El grupo sigue un modelo de extorsión "pagar o filtrar": exige un rescate y amenaza con publicar datos robados en fórums de la dark web si el objetivo no paga, reportó DoControl. Los objetivos pasados nombrados por DoControl incluyen Salesforce, Google, Workday, Adidas, Coinbase, Qantas Airways y Jaguar Land Rover.

Los métodos detrás de la mayoría de brechas

El análisis de DoControl describe cinco técnicas que el grupo ha utilizado: abusar de tokens OAuth robados para suplantar usuarios y eludir la autenticación multifactor; explotar configuraciones mal configuradas en plataformas en la nube como Salesforce Experience Cloud o Google Workspace; comprometer proveedores de software de confianza para llegar a sus clientes posteriores de una vez; reclutar empleados en canales de Telegram a cambio de pago por acceso a sistemas internos; e utilizar llamadas de voz generadas por IA que simulan personal de TI para engañar al personal para que apruebe aplicaciones controladas por atacantes.

Estas técnicas reflejan datos más amplios de la industria. El Informe de Investigación de Brechas de Datos 2026 de Verizon, citado por Help Net Security, encontró que la explotación de vulnerabilidades de software superó las credenciales robadas como la forma más común en que los atacantes acceden por primera vez a una red — la primera vez que esto ha sucedido en los 19 años de historia del informe. El mismo informe encontró que solo el 26% de las vulnerabilidades en la lista "conocidas explotadas" de la Agencia de Ciberseguridad e Infraestructura de los EE.UU. habían sido completamente parcheadas por las organizaciones encuestadas, una disminución desde el 38% hace un año, y que el tiempo mediano para parchear un fallo había aumentado a 43 días.

Dónde encaja el factor humano

No todas las brechas dependen de un fallo de software. El resumen de Help Net Security del informe de Verizon encontró que las brechas que involucraban un elemento humano — como ser engañado por un mensaje de phishing o una llamada telefónica — seguían siendo comunes. El informe también encontró que los phishers generalmente tenían más éxito llegando a las víctimas a través de llamadas de voz y mensajes de texto que a través del correo electrónico, sin proporcionar una cifra de comparación exacta, y señaló que el "vishing" basado en teléfono ha sido cada vez más utilizado en esquemas de ransomware y extorsión.

La participación de terceros y la cadena de suministro en brechas aumentó un 60% año tras año, según el mismo informe, ahora presente en casi la mitad de todos los incidentes — un patrón que coincide con cómo el atacante de ASOS accedió a los datos de los clientes a través de una plataforma de terceros en lugar de los sistemas centrales propios de ASOS, según la cuenta de Beinsure del incidente.

Lo que permanece sin confirmar en el caso de H&M

Según la declaración de H&M reportada por Retail Gazette, la empresa no había confirmado que ningún sistema fuera comprometido, y no había vinculado las afirmaciones definitivamente a ShinyHunters o al incidente de ASOS. H&M dijo que su investigación estaba en curso y que no podía compartir más detalles en esa etapa, según el reportaje de Beinsure de la declaración de la empresa.