Los ciberataques más grandes de la historia: casos clave y qué aprendimos

1) NotPetya (2017) — el wiper que paralizó Ucrania y contagió al mundo

Qué pasó: ataque a la cadena de suministro através del software fiscal M.E.Doc. NotPetya se comportó como un gusano (worm) con Mimikatz (cred dumping) y exploits tipo EternalBlue/EternalRomance, arrasando redes Windows. No era ransomware real: no había descifrado posible. Empresas globales (logística, alimentación, farma, manufactura) sufrieron paradas masivas.

Por qué es “mayor”: daño operativo sistémico (puertos, mensajería, fábricas), efecto dominó internacional, y un claro componente geopolítico.

Experiencia integrada: yo viví de cerca la investigación técnica. Cuando vi el flujo que consultaba la existencia de perfc, entendí el kill switch: crear ese archivo solo lectura frenaba la ejecución en esa máquina. Fue una vacuna reactiva, tarde para muchos, pero demostró que pequeños detalles técnicos salvan días de caos.

Lecciones

• Segmentación de red + control de SMB y credenciales (LAPS/LSA Protection).

• Backups 3-2-1 inmutables y restores practicados (tabletop + drills).

• Detección de movimiento lateral (EDR, honeytokens) y listas de bloqueo de protocolos innecesarios.

• Evaluación seria de proveedores críticos (supply chain).

2) WannaCry (2017) — ransomware planetario a velocidad de gusano

Qué pasó: explotación masiva de SMBv1 a través de EternalBlue; cifrado rápido, especial daño en servicios públicos y sanidad.

Por qué: masividad y velocidad; mostró lo devastador que es no parchear vulnerabilidades críticas con exposición de red.

Lecciones

• Deshabilitar SMBv1, parcheo acelerado de CVEs críticas, segmentación y EDR que corte lateral movement.

• “Air-gap lógico” para backups y plan de continuidad (BCP/DRP) probado.

3) Stuxnet (2010) — la primera “ciber-arma” industrial

Qué pasó: malware sofisticado dirigido a PLCs/SCADA, causando daño físico.
Por qué: elevó el listón técnico y puso OT/ICS en la diana.
Lecciones

• Inventario y bastionado OT, segmentación IT/OT, gestión de parches específicos y monitorización de ingeniería (no solo TI).

4) SolarWinds (2020) — espionaje a la cadena de suministro

Qué pasó: actualización comprometida de software de gestión, acceso silencioso y persistente a múltiples organizaciones.
Por qué: alcance y sigilo; el supply chain dejó de ser teoría.
Lecciones

• SBOM, controles de integridad del build, revisiones de firmas y telemetría de actualizaciones; Zero Trust real.

5) Yahoo (2013–2014) — la mayor brecha de cuentas

Qué pasó: robo de datos de miles de millones de cuentas; impacto sostenido en confianza y valor.
Lecciones

• Cifrado fuerte de credenciales (bcrypt/Argon2), detección de anomalías en acceso, higiene de sesiones y rotación de secretos.

6) Equifax (2017) — vulnerabilidad conocida, impacto masivo

Qué pasó: explotación de un parche no aplicado en un componente crítico, exfiltración de PII.
Lecciones

• Vulnerability management maduro (SLA por criticidad), asset discovery continuo y WAF/RASP bien afinados.

7) Sony Pictures (2014) — filtraciones y sabotaje con motivación política

Qué pasó: robo de correos, guiones y borrado de equipos; impacto reputacional y operativo.
Lecciones

• DLP, segregación de contenidos sensibles, hardening de endpoints y preparación de crisis comunicacional.

8) Estonia (2007) — DDoS a escala país

Qué pasó: ofensiva DDoS coordinada contra servicios gubernamentales y financieros.
Lecciones

• DDoS scrubbing, redundancias geográficas, anycast, y playbooks con proveedores de mitigación.

9) Georgia (2008) — preludio de guerra híbrida

Qué pasó: campañas DDoS y defacement durante hostilidades.
Lecciones

• Integrar ciber en gestión de crisis nacional: canales alternativos y ejercicios inter-agencia.

10) Cadena SER (2019) — caso local, impacto real en medios

Qué pasó: ataque que afectó la operación editorial y técnica.
Lecciones

• Inventario y bastionado de endpoints, aislamiento rápido, procedimientos de continuidad para redacciones.