Los ataques a H&M: una llamada de atención que los minoristas no pueden ignorar

¿Están las grandes marcas minoristas realmente preparadas para el implacable asalto de sofisticados grupos cibercriminales, o estamos viendo un sector que lucha por mantenerse al día? Las recientes afirmaciones del grupo de hackers Shiny Hunters de que irrumpieron en los servidores de H&M, a pesar de las negativas del gigante de la moda, envían un mensaje escalofriante de que la complacencia es un lujo que ninguna empresa puede permitirse.

Los informes surgieron el 12 de octubre de 2026, alegando que H&M fue objetivo de Shiny Hunters, un grupo notorio asociado con grandes filtraciones de datos. H&M lanzó rápidamente una investigación, contratando a un experto externo en forense digital para evaluar la situación. Sin embargo, el minorista sueco sostiene que hasta ahora no ha encontrado “ningún indicio de que nuestro entorno de datos haya sido comprometido”, y la Oficina del Comisionado de Información (ICO) del Reino Unido no había recibido un informe de la compañía hasta el mediodía del lunes. Este incidente se hace eco de las recientes revelaciones del minorista de moda online ASOS el 6 de octubre de 2026, que confirmó el acceso no autorizado a la información de los clientes a través de un sistema de terceros, y un incidente de ciberseguridad en curso en TFG London que afecta a sus marcas de moda.

La sombra persistente del cibercrimen profesional

Shiny Hunters no es un nuevo actor en el panorama del cibercrimen; este grupo ha estado activo desde 2019, especializándose en filtraciones de datos y extorsiones motivadas financieramente. Son conocidos por atacar a grandes empresas de tecnología, finanzas y minoristas, a menudo robando millones de registros de clientes a la vez. Sus tácticas están lejos de ser rudimentarias, empleando configuraciones incorrectas en la nube, robo de tokens OAuth, ataques a la cadena de suministro, exploits de día cero y ingeniería social avanzada, incluido el phishing de voz, para obtener acceso. Sus anteriores víctimas de alto perfil incluyen Google, Microsoft, Ticketmaster, Jaguar Land Rover e incluso el FBI, lo que demuestra su alcance y efectividad, como detallan Cybersecurity Insiders y su entrada de Wikipedia. El propio FBI describe a Shiny Hunters como especializados en “grandes filtraciones de datos y extorsión”, y con frecuencia utilizan tácticas de acoso, desde mensajes de texto amenazantes hasta llamadas telefónicas, para presionar a las víctimas a pagar rescates. Se trata de una amenaza sofisticada y organizada, y su presunto ataque a H&M subraya que ninguna marca, independientemente de su tamaño, está fuera de su alcance.

Más allá del perímetro: la cadena de suministro y la ingeniería social como puntos débiles

El patrón de estos recientes incidentes minoristas revela una vulnerabilidad crítica que se extiende más allá del perímetro digital inmediato de una empresa. ASOS, por ejemplo, confirmó que su filtración se originó a través de un atacante que se hizo pasar por un contacto de confianza para obtener credenciales de empleados, que luego se utilizaron para acceder a plataformas de comunicación con clientes de terceros. Aunque H&M aún no ha confirmado ningún compromiso, un informe reciente de IT-Daily sugiere que las muestras de datos apuntan al software de almacén GreyOrange como un posible vector en relación con las afirmaciones de H&M. Estos ejemplos resaltan que los atacantes están explotando cada vez más las debilidades en la cadena de suministro o el elemento humano, en lugar de solo las vulnerabilidades directas del sistema. Una ciberseguridad robusta, en nuestra opinión, ahora debe abarcar una investigación exhaustiva de los proveedores de terceros y una capacitación continua e integral de los empleados contra las tácticas de ingeniería social, reconociendo que un error humano puede ser tan catastrófico como un fallo de software. Además, el Fondo Monetario Internacional ha advertido sobre el potencial riesgo sistémico de los ciberataques, subrayando que las ramificaciones de un incidente importante pueden ir mucho más allá de una única empresa, afectando a ecosistemas enteros. Por ello, la ciberseguridad debe considerarse una preocupación empresarial fundamental, que requiera inversiones proactivas, una gestión sólida de riesgos y una preparación integral para incidentes.