Violaciones de datos por parte de terceros: lo que necesita saber

Third-party data breaches are becoming increasingly common as technology makes it easier for businesses to connect and as global supply chains grow in complexity. Third parties are now involved in 48% of data breaches, a 60% increase over the prior year, according to the 2026 Verizon Data Breach Investigations Report.

What’s more, third-party breaches are among the most expensive for organizations to recover from. The global average cost of a data breach reached $4.99 million in 2026, up 13% from the prior year, and breaches took an average of 247 days to identify and contain, per IBM’s 2026 Cost of a Data Breach Report.

Por qué están aumentando las violaciones de datos de terceros

En la última década, muchas grandes organizaciones han realizado importantes inversiones en seguridad de la información. Ningún sistema puede ser totalmente seguro, pero las grandes inversiones en ciberseguridad dificultan mucho más que los actores maliciosos puedan comprometer a las organizaciones con buenos recursos. Los hackers se ven cada vez más incentivados a atacar a subcontratistas más pequeños para eludir los programas de ciberseguridad robustos y bien financiados. Comprometer a un pequeño contratista de climatización y utilizar esa organización como un caballo de Troya involuntario es mucho más fácil que comprometer directamente a una empresa de la lista Fortune 500 con un centro de operaciones de seguridad con personal completo y varias capas de controles de seguridad.

Las pequeñas empresas siempre han ido a la zaga en la adopción de prácticas sólidas de seguridad de la información, a pesar de que el 43 % de los ataques se dirigen contra ellas. Esto permite a los actores maliciosos comprometer a terceros más pequeños y robar los datos que se les han confiado o secuestrar su acceso a sistemas sensibles en organizaciones más grandes. Las violaciones de datos de terceros pueden ser extremadamente perjudiciales y dar lugar a multas, gastos legales y sanciones por valor de millones de dólares, además de un daño excesivo a la reputación.

Repercusiones financieras y operativas de las principales violaciones de datos de terceros

Las repercusiones de una filtración importante de datos de terceros van mucho más allá del compromiso inicial y afectan a las organizaciones donde más les duele: sus finanzas, operaciones y reputación. Cuando un atacante utiliza a un proveedor, distribuidor o socio tecnológico de confianza como trampolín, el efecto dominó puede perturbar toda la cadena de suministro, y las cifras hablan por sí solas.

Consecuencias financieras

Las organizaciones afectadas por violaciones de datos de terceros se enfrentan regularmente a costes elevados relacionados con la respuesta a incidentes, investigaciones forenses, acciones legales, sanciones reglamentarias y notificaciones a los clientes. En casos especialmente graves, estos costes representan un porcentaje significativo de los ingresos anuales, que en ocasiones ascienden a millones. Las reclamaciones de seguros suelen ser insignificantes en comparación con el verdadero coste financiero, que incluye la pérdida de negocio, la disminución del valor de mercado y las consecuencias contractuales a largo plazo.

Interrupciones operativas

Un proveedor comprometido puede paralizar la producción, obligar a suspender operaciones comerciales críticas y descarrilar proyectos importantes en cuestión de horas. No es raro que las empresas detengan la fabricación, cierren las plataformas de atención al cliente o corten el acceso a la red con sus socios, aunque solo sea por precaución. Para los fabricantes y las empresas con una gran carga logística, incluso una breve interrupción puede amenazar los márgenes de beneficio vitales y erosionar la resiliencia de la cadena de suministro.

Exposición de datos y daño a la reputación

Estas infracciones suelen dar lugar a la divulgación no autorizada de información confidencial, como datos de empleados, datos de clientes, historiales médicos o credenciales financieras. La divulgación pública puede socavar gravemente la confianza de los clientes, socios comerciales y reguladores, lo que provoca un daño irreparable a la reputación que perdura mucho tiempo después de que se haya contenido la infracción.

Efectos a largo plazo

Más allá de los costes inmediatos y las interrupciones, las violaciones de datos de terceros pueden abrir la puerta a ataques posteriores. Las credenciales comprometidas o la propiedad intelectual expuesta pueden permanecer activas durante meses o años, lo que aumenta el riesgo continuo y requiere una mayor inversión en reparación y supervisión.

A medida que evoluciona el panorama de riesgos, queda claro que las repercusiones financieras y operativas de las violaciones de datos de terceros merecen la misma atención y rigor que las amenazas cibernéticas directas. Las organizaciones deben actuar con decisión para reforzar los controles, no solo a nivel interno, sino también en toda su red ampliada de socios y proveedores.

Ejemplos de incidentes de seguridad destacados relacionados con terceros

Third-party data breaches have become far more common in recent years. As the world economy becomes more integrated, data often flows throughout supply chains with little regard for its protection or how it is managed. This has resulted in a “wild west” approach to applying information security controls, as many organizations have little to no idea where their data is throughout the extended supply chain, much less what security measures are being taken to protect it.

Common Third-Party Breach Patterns

The incidents below follow a small number of repeatable patterns. Each one maps to a control that a vendor risk program can test for.

Current event, October 2026: PHP Vulnerabilities

Last updated October 22, 2026.

On October 21, the PHP Foundation (2026) released fixes for two critical vulnerabilities in PHP’s core. CERT-EU (2026) says both can allow unauthenticated remote code execution, that every PHP installation serving web requests is at risk, and that proof-of-concept exploits had begun to circulate. The UK’s NCSC (2026) says organizations using any version of PHP are affected.

This is a third-party problem because, according to CERT-EU (2026), many commercial and open-source products use PHP as a backend technology, so exposure can sit inside software you did not install yourself. The NCSC (2026) advises organizations to:

• Identify PHP systems across the infrastructure, internet-facing ones first, and not only outdated versions.
• Update to the latest PHP release, or apply the PHP Foundation’s temporary mitigations if they cannot.
• Consider taking a system offline if neither is possible.
• Monitor vendor security updates for bundled PHP, including appliances and services.

2026 Third-Party Data Breaches

Aesto Health

Aesto Health, a Birmingham, Alabama company that provides data migration, EHR exchange, and legacy data archiving services to medical practices, confirmed in 2026 that an unauthorised actor may have accessed and/or acquired data. Aesto reported to the U.S. Department of Health and Human Services that 9,540,683 individuals were affected, according to the HHS Office for Civil Rights breach portal, and its notice of data security incident describes the incident. The exposed data included Social Security numbers, driver’s license numbers, financial account numbers, and medical and health insurance information. One vendor held the records of at least two dozen provider clients at once, which is the concentration risk that third-party breaches exploit.

Vimeo and Anodot

In April 2026, Vimeo disclosed that an unauthorized actor had accessed certain Vimeo user and customer data through a breach at Anodot, a third-party analytics vendor. According to Vimeo’s incident notice, the accessed databases mainly held technical data, video titles and metadata, and in some cases customer email addresses, and did not include video content, valid login credentials, or payment card information. Vimeo disabled all Anodot credentials, removed the integration, and notified law enforcement. For Vimeo’s customers, Anodot was a fourth party: a supplier they had no direct relationship with.

2025 Violaciones de datos por terceros

700 Violación de datos crediticios

En diciembre de 2025, 700Credit, un proveedor de servicios de verificación de crédito e identidad para concesionarios de automóviles, reveló una violación de datos causada por el acceso no autorizado a una API de terceros. El incidente, que se remonta a una vulneración de un sistema asociado en julio de 2025 y se identificó a finales de octubre, permitió a los atacantes acceder a la aplicación web de 700Credit y copiar registros de la capa de aplicación de 700Dealer.com, lo que afectó a los clientes de los concesionarios que utilizan sus herramientas de verificación.

The breach exposed personal information for approximately 5.8 million individuals, including names, addresses, dates of birth, and Social Security numbers. While 700Credit stated its internal network was not compromised, the incident required extensive notifications and 12 months of credit monitoring for affected individuals. The event highlights the inherent risks of interconnected vendor ecosystems, reinforcing that security weaknesses in third-party systems can bypass internal controls and create widespread downstream impacts if API access and partner security are not tightly governed.

Sales-Engagement Platform OAuth Token Theft

Between March and June 2025, attackers tracked as UNC6395 accessed a sales-engagement vendor’s source code repository account, then reached the cloud environment behind the vendor’s chat integration and exfiltrated OAuth tokens that customers had issued. Between August 8 and 18, the attackers used those tokens to query customers’ CRM instances, pulling data from objects such as Cases, Accounts, Users, and Opportunities and searching it for credentials including cloud access keys, passwords, and data warehouse tokens. Those credentials created a risk of further compromise well beyond the CRM.

On August 20, the vendor and the CRM provider revoked all active access and refresh tokens, and the CRM provider removed the integration from its app marketplace. Tokens for the vendor’s email integration were also abused to reach a very small number of corporate email accounts. No official count of affected organizations has been published; researchers described hundreds of CRM tenants as targeted. Customers were urged to rotate credentials and review logs for misuse. The incident underscores how third-party SaaS integrations and OAuth connections can become high-value attack vectors, reinforcing the need for tighter vendor oversight, credential hygiene, and proactive monitoring.

2023 Violaciones de datos de terceros

MOVEit Managed File Transfer Vulnerability

On May 31, 2023, the software vendor behind MOVEit Transfer disclosed a vulnerability that enables unauthenticated actors to access the MOVEit Transfer database and execute SQL statements to alter or delete information. MOVEit Transfer is managed file transfer software that consolidates file transfer activity into one system.

Since the disclosure, the cybercriminal gang Clop has exploited the vulnerability to target organizations across multiple industries and geographies, including HR software provider Zellis, the BBC, the government of Nova Scotia, and many others.

Policía Metropolitana de Londres

En agosto de 2023, la Policía Metropolitana de Londres sufrió una filtración como consecuencia de un aparente ataque de ransomware contra un proveedor de TI, Digital ID. Se expuso la información confidencial de casi 47 000 agentes y personal de las fuerzas del orden, incluidos policías encubiertos y antiterroristas. La información comprometida incluía datos confidenciales, como los nombres, las fotos, los rangos, los niveles de investigación de antecedentes y los números de identificación de los agentes y el personal.

Violaciones de datos de terceros en 2022

Violación de datos de LastPass

El 22 de diciembre de 2022, la empresa de gestión de contraseñas LastPass anunció que un agente malicioso desconocido había aprovechado la información obtenida durante un incidente de seguridad ocurrido en agosto de 2022 para acceder a un servicio de almacenamiento en la nube de terceros que LastPass utiliza para almacenar copias de seguridad archivadas.

Kojima Industries Supplier Attack Halts Japanese Auto Production

On February 28, 2022, a major Japanese automaker announced it would suspend 28 production lines at 14 plants in Japan the following day because of a system failure at Kojima Industries, an automotive parts supplier. Other affiliated manufacturers also reported disruptions. The cause of the failure was reported to be a suspected cyberattack that prevented the supplier from communicating with its customer and from monitoring production.

Violaciones de datos de terceros en el pasado

Vulnerabilidad de Log4J

En diciembre de 2021, los investigadores de seguridad descubrieron CVE-2021-44228, una vulnerabilidad de la biblioteca de registro basada en Java Apache Log4j. La vulnerabilidad de Log4j permite la ejecución remota de código sin autenticación y el acceso al servidor, lo que supone una toma de control total de los sistemas vulnerables. Log4J abrió un riesgo masivo en todo el ecosistema de software de terceros.

Ataque de ransomware a la cadena de suministro de Kaseya

Remote Monitoring & Management software attacks have become a primary concern for many IT teams and Managed Services Providers. On July 2, 2021, Kaseya announced that attackers had taken advantage of a vulnerability in the company’s VSA software to stage a ransomware attack against Kaseya’s customers. Dozens of IT service providers and hundreds of downstream customers were affected, resulting in significant damages.

Al igual que la violación de SolarWinds Orion y otros incidentes recientes de ciberseguridad de terceros, este es otro ejemplo del impacto exponencial potencial de los ataques a la cadena de suministro en la cadena de suministro ampliada.

SolarWinds

The SolarWinds supply chain breach, first reported in December 2020, reached roughly 18,000 organizations that installed a compromised update of the Orion network management product, according to SolarWinds’ SEC filing. The SolarWinds supply chain breach continues to wreak havoc on Orion customers worldwide as they continue to identify and mitigat its risks. The list of impacted companies includes major US government agencies:

• Departamento de Energía

• Departamento del Tesoro

• Departamento de Comercio

• Gobiernos estatales y locales

• Departamento de Estado

• Departamento de Seguridad Nacional

• Institutos Nacionales de Salud

• El Departamento de Defensa

This security incident dealt a major blow to US national security, revealing major cybersecurity defense flaws.

Objetivo

In 2013, the major retailer Target was hacked in a seminal third-party breach. One of Target’s HVAC contractors fell victim to a phishing attack, and attackers used the contractor’s stolen network credentials to reach Target’s corporate network.

The hackers installed malware on Target’s POS devices, which collected payment card data for roughly 40 million cards between November and December of 2013, along with personal information for up to 70 million customers. The Target breach provides a clear example of how even the best-funded information security programs can be compromised through security exposures in third-party products and services.

How to Respond to a Third-Party Data Breach

Respond to a third-party data breach by confirming what the vendor holds on your behalf, cutting off its access, and starting your own regulatory clocks the moment you learn of the incident, not when the vendor finishes its investigation. The playbook below gives each phase a window and an owner. The phases overlap in practice, so run them in parallel.

Teams that already run an incident management process can map these phases onto the preparation, detection and reporting, and lessons-learned steps in Mitratech’s third-party incident response management guide.

Notification Deadlines Under DORA and NIS2

Under DORA, a financial entity must file an initial notification within four hours of classifying an ICT incident as major, and no later than 24 hours after becoming aware of it. The deadline attaches to the financial entity even when the incident began at an ICT third-party provider, which is why contracts need to force fast vendor notice. DORA has applied since January 17, 2025; Mitratech’s DORA guide covers its third-party requirements in full.

NIS2 is a directive, so the operative deadlines sit in each member state’s transposition law. Confirm them for every country where you operate. DORA is a directly applicable regulation and does not need transposition.

What a Vendor Contract Should Say Before a Breach Happens

A vendor contract should set a fixed notification window shorter than your own regulatory deadlines, require cooperation with forensic investigation, and flow the same duties down to subcontractors, the fourth parties covered in Mitratech’s guide to fourth-party vendor tracking. It should also grant audit rights, define data return and deletion, and allocate the cost of notification and remediation. DORA Article 30 requires ICT service contracts to address incident assistance and the conditions for subcontracting, so financial entities already need most of these terms.

Mejores prácticas para prevenir violaciones de seguridad por parte de terceros a lo largo del ciclo de vida del proveedor

Effectively managing risk throughout the extended supply chain can be difficult, particularly for large organizations. However, there are several steps you can take to better understand your risk environment and mitigate the impact of potential third-party risk. Here are Mitratech’s recommendations to help mitigate the risk of a third-party data breach throughout the vendor lifecycle.

Tenga en cuenta la seguridad de la información durante la búsqueda y selección de proveedores.

A medida que su infraestructura de TI se integra cada vez más con terceros y cuartos, es fundamental tener en cuenta la seguridad de la información durante la búsqueda y selección de proveedores. Al considerar proveedores con un alto grado de riesgo perfilado en función de su acceso a los datos y sistemas confidenciales de su organización, dé prioridad a aquellos con una madurez demostrable en materia de seguridad de la información. Vale la pena preguntarse:

• ¿El proveedor trabaja con otros clientes empresariales con necesidades complejas en materia de seguridad de la información?
• Does the vendor have the necessary security controls to comply with requirements that would flow down from your organization? (e.g. HIPAA, CMMC, GDPR)
• ¿Cuál es el historial del proveedor en materia de seguridad de la información? ¿Ha tenido múltiples casos públicos de violaciones de datos o incumplimientos normativos?

Consider leveraging third-party risk management software or vendor risk intelligence networks to inform your sourcing and selection process with preloaded cybersecurity risk data.

Establezca expectativas contractuales claras sobre cómo se almacenan y transfieren los datos.

Many organizations fail to build their vendor contract management processes with vendor risk management in mind. Your organization should have clear company policies regarding when personal information, customer data, or other sensitive information can be shared with third parties. For example, you might want to consider including clear stipulations regarding when confidential information can be shared with fourth parties and beyond.

Realizar un seguimiento continuo de los terceros con acceso a datos o sistemas confidenciales.

Se debe supervisar a los proveedores para detectar cualquier acceso no autorizado a datos personales u otra información confidencial. Aunque el proveedor no actúe con malicia, sus sistemas informáticos podrían haber sido comprometidos, lo que provocaría la propagación de malware a los sistemas de su organización. Se debe supervisar a cualquier proveedor con acceso a sus activos informáticos durante todo el tiempo que dure dicho acceso.

In addition, you should practice proactive, external third-party monitoring for all vendors that deal with your confidential information. Organizations change their information security programs over time, and what was originally reported on their vendor risk assessment questionnaire may not hold true a few months later. Additionally, a proactive monitoring approach can help you to catch potential data breaches before they happen. By monitoring the dark web, Pastebin, and other areas where stolen credentials are posted, you can learn if one of your vendors has been compromised.

Preste atención a los requisitos normativos.

Information security and data privacy regulations have multiplied over the past decade, including GDPR, CCPA, NY Shield Act, and dozens of other compliance requirements. It is highly likely that regulatory scrutiny will continue to mount as new third-party breaches emerge.

Exigir a los proveedores que verifiquen de forma independiente sus prácticas de seguridad de la información.

Third-party risk assessment questionnaires can be enormously helpful in determining whether vendors are taking appropriate information security measures. However, in some cases, you may want to consider requiring potential vendors to become certified against an information security standard. For example, the Department of Defense’s Cybersecurity Maturity Model Certification (CMMC) program requires contractors to be certified at one of three levels, determined by the type of information the contractor handles.

Su organización puede adoptar un enfoque similar a la hora de abordar las preocupaciones de ciberseguridad de los proveedores. Para muchos proveedores, especialmente aquellos que no manejan grandes cantidades de datos confidenciales, puede bastar con un sencillo cuestionario de evaluación de riesgos. Sin embargo, en el caso de los proveedores que necesitan acceder a datos y sistemas privados, tal vez convenga exigir el cumplimiento de una norma externa, como SOC 2 o NIST CSF.

Obtenga visibilidad en la cadena de suministro ampliada

The first step of any cybersecurity program is to get visibility into IT assets. The same is true for third-party risk. You need to understand not only which third parties are used across the extended enterprise but also who makes up their supply chains down to fourth and Nth party vendors. As a rule, the more critical the vendor is, or the more data they have access to, the more visibility you need into their extended supply chains. The Kaseya and SolarWinds attacks are illustrative examples of how the security practices of fourth parties can have ripple effects throughout the supply chain.

Audite su proceso de salida de empleados

La salida efectiva de los proveedores es uno de los elementos más importantes de un programa de gestión de riesgos de terceros y es esencial para prevenir violaciones de datos de terceros. La mayoría de las organizaciones cuentan con algún tipo de proceso de salida para terceros y contratistas, pero en un entorno corporativo ajetreado, este puede pasarse por alto. Esfuércese por auditar de forma rutinaria los procesos de salida de los proveedores externos en varios departamentos. Asegúrese de que los permisos y el acceso se revoquen por completo en todos los departamentos para cumplir con la política corporativa y las regulaciones gubernamentales.

Próximos pasos para prevenir violaciones de datos por parte de terceros

Wondering how prepared your organization is for a third-party data breach? Interested in how Mitratech can help? Read more about our third-party risk management solution and vendor risk assessment services, or request a demo.

Editor’s Note: This post was originally published on Prevalent.net. In October 2024, Mitratech acquired the AI-enabled third-party risk management, Prevalent. Updated October 2026 with 2026 third-party incidents, current Verizon data, and DORA and NIS2 notification timelines.