De una nómina británica a los aeropuertos mexicanos

A finales de mayo de 2023, el grupo criminal Cl0p comenzó a explotar una vulnerabilidad desconocida en MOVEit Transfer, un programa de transferencia de archivos de la empresa estadounidense Progress Software. Entre las organizaciones que lo usaban estaba Zellis, una compañía británica que procesa nóminas para cientos de empresas en el Reino Unido. A través de la instancia de MOVEit de Zellis se expusieron datos personales de empleados de British Airways, la BBC, Boots y Aer Lingus. Ninguna de ellas había contratado MOVEit: habían contratado a un proveedor de nómina que, a su vez, dependía de ese software. Según el recuento de la firma de ciberseguridad Emsisoft, actualizado a junio de 2024, el incidente alcanzó a 2,773 organizaciones y a más de 95.7 millones de personas, con 78.9% de las víctimas conocidas en Estados Unidos; la propia firma advirtió que muchas organizaciones resultaron afectadas a través de proveedores, a veces varias capas por debajo. Se trata de un caso internacional, y estas cifras no miden a México.


El segundo ejemplo no fue un ataque. El 19 de julio de 2024, una actualización defectuosa del software de seguridad de la empresa estadounidense CrowdStrike provocó fallas en equipos con Windows en todo el mundo; Microsoft estimó al día siguiente que se afectaron 8.5 millones de dispositivos, menos de 1% del total. En México, según las cifras de la Procuraduría Federal del Consumidor reportadas por Expansión hasta las 15:30 horas de ese día, se contabilizaron 79 vuelos cancelados, 53 de ellos de Viva Aerobus, 15 de Volaris y 7 de Aeroméxico, además de 71 demoras, con problemas en documentación y emisión de pases de abordar.


Las notas consultadas no precisan si cada aerolínea resultó afectada por un sistema propio o por el de algún proveedor, y no corresponde suponerlo. Lo que el episodio sí ilustra es la pregunta de fondo: muchas organizaciones no sabían, antes de esa mañana, qué partes de su operación dependían de un mismo componente tecnológico que ni siquiera figuraba en sus contratos.


En gestión de riesgos, ese fenómeno tiene nombre: riesgo de cuarta parte. La tercera parte es el proveedor con el que la empresa firma; la cuarta, el proveedor de ese proveedor, y en cadenas largas cualquier eslabón posterior. El punto ciego no suele deberse a negligencia, sino a falta de mapa: la empresa evaluó a quien firmó el contrato y dio por hecho que ese proveedor evaluaba a los suyos.


Lo que la ley laboral mexicana prevé, y lo que no, sobre la cadena

En el ámbito laboral, la reforma publicada en el Diario Oficial de la Federación el 23 de abril de 2021 prohibió la subcontratación de personal y permitió solo la de servicios u obras especializadas. El artículo 14 de la Ley Federal del Trabajo exige formalizarla por contrato escrito, con los servicios y el número aproximado de trabajadores, y hace solidariamente responsable a quien contrate con un contratista que incumpla sus obligaciones frente a sus trabajadores. El artículo 15 exige a los prestadores registro ante la Secretaría del Trabajo y Previsión Social, renovable cada tres años, en un padrón público.


El texto de la LFT no contiene una regla específica sobre la subcontratación en cadena: no la autoriza ni la prohíbe de manera expresa, y cada empresa que preste servicios especializados debe cumplir por su cuenta los requisitos de registro y contrato. Tampoco resuelve de forma expresa hasta qué eslabón alcanza la responsabilidad solidaria. Y, sobre todo, su objeto es proteger derechos laborales, no saber quién termina entrando a una planta o a un sistema. Son dos problemas distintos que comparten vocabulario.


El sector financiero: declarar la subcontratación y nombrar a los participantes

El sector que más se acerca en México a la idea de cuarta parte es el bancario. El artículo 46 Bis 1 de la Ley de Instituciones de Crédito permite a los bancos pactar con terceros servicios necesarios para su operación y comisiones, establece que responden por las operaciones que los comisionistas celebren por su cuenta y faculta a la Comisión Nacional Bancaria y de Valores (CNBV) para supervisar, inspeccionar a esos terceros u ordenar auditorías, e incluso suspender servicios prestados a través de ellos. Las disposiciones de carácter general conocidas como Circular Única de Bancos desarrollan esa contratación en su Título Quinto, Capítulo XI.


La guía de la CNBV para solicitar autorización de contratación con terceros, publicada en 2017, y los anexos del análisis del Instituto Mexicano para la Competitividad sobre cómputo en la nube, de 2022, que retoman esos requisitos, piden declarar si alguno de los servicios estará sujeto a subcontratación y, en su caso, mencionar a todos y cada uno de los proveedores que participan. Señalan que las políticas de vigilancia del banco deben incluir restricciones o condiciones sobre la posibilidad de que el tercero o comisionista subcontrate, y que la subcontratación con proveedores en el extranjero requiere autorización. No es un régimen formulado con la expresión "cuarta parte", pero sí obliga a ver más allá del primer eslabón. Su alcance, sin embargo, se limita a las entidades supervisadas.


Datos personales: el encargado que subcontrata necesita autorización

Fuera del sector financiero, la regla más cercana a la cuarta parte está en la protección de datos. La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el DOF el 20 de marzo de 2025, define a la persona encargada como quien trata datos por cuenta del responsable y obliga a este, en su artículo 18, a mantener medidas de seguridad administrativas, técnicas y físicas. El Reglamento de 2011, que según la información pública disponible sigue como referencia supletoria mientras se publica uno actualizado, es más explícito: su artículo 54 dispone que toda subcontratación de servicios por parte del encargado que implique tratamiento de datos personales debe ser autorizada por el responsable, formalizarse por contrato y trasladar al subcontratista las mismas obligaciones; la carga de probar esa autorización recae en el encargado.

Aplicado a un ejemplo hipotético, si una empresa mexicana contrata a un proveedor de nómina y este, a su vez, usa una plataforma externa para transferir los archivos con datos de los trabajadores, la empresa debería haber autorizado ese eslabón. La autoridad competente es hoy la Secretaría Anticorrupción y Buen Gobierno. En el plano voluntario, la norma ISO/IEC 27001:2022 dedica los controles 5.19 a 5.22 de su Anexo A a la seguridad con proveedores, incluida la cadena de suministro de tecnologías de la información, y el NIST de Estados Unidos publicó en 2022 la guía SP 800-161 Rev. 1 sobre riesgos de la cadena de suministro. Ambos son estándares voluntarios, salvo que un contrato o una certificación los vuelva exigibles.


Proporcionalidad: no auditar todo, sino saber dónde mirar

En muchas empresas mexicanas la lógica con los proveedores es comprensible: "es una empresa seria, lleva años con nosotros", "si subcontratan algo, es su problema". Desde la lógica comercial son frases razonables; desde la lógica de riesgo, incompletas. Si un subcontratista termina con acceso físico a una instalación o con acceso técnico a datos de clientes y empleados, el riesgo lo absorbe la empresa que recibe el servicio, lo haya evaluado o no.


Human Risk Management, entendido como la gestión estructurada de los riesgos asociados a personas, funciones y accesos, y no como la exigencia de auditar a toda la cadena de cada proveedor, propone un criterio de proporcionalidad: cuanto más crítico es el servicio y mayor el acceso que implica, más sentido tiene exigir por contrato que el proveedor identifique a quién subcontrata, notifique los cambios y traslade las mismas obligaciones. "Mapear a cada proveedor de cada proveedor no es viable ni necesario. Lo razonable es saber cuáles servicios tocan datos, sistemas o instalaciones críticas, y para esos exigir que la cadena sea visible antes de que un incidente la haga visible", señala Guido Schenone, Comercial & Growth Manager de Validato. Validato, compañía especializada en Background Screening y Human Risk Management con presencia en México, describe sus procesos como estructurados según el rol y el nivel de acceso de cada función, sin que esto implique relación alguna con Progress Software, Zellis, CrowdStrike, las aerolíneas o las entidades mencionadas en este artículo.


La cláusula que suele faltar

Los casos MOVEit y CrowdStrike no ocurrieron en México ni se originaron aquí, pero el segundo mostró en aeropuertos mexicanos cómo una dependencia invisible puede detener una operación en horas. El marco mexicano ofrece piezas útiles: la autorización de subcontratación de datos personales, las exigencias de la CNBV para los bancos y los requisitos laborales de la subcontratación especializada. Ninguna obliga a una empresa común a mapear toda su cadena. Para Compras, Tecnología, Compliance, Legal y Seguridad, la pregunta útil frente a un proveedor crítico no es solo si es confiable, sino si el contrato le exige decir a quién subcontrata y avisar cuando eso cambie.


Fuentes y marco normativo consultado

  1. Security Affairs, "British Airways, BBC and Boots were impacted by the Zellis data breach" (6 de junio de 2023), sobre la explotación de MOVEit Transfer y los clientes afectados de Zellis (caso internacional); https://securityaffairs.com/147119/data-breach/zellis-data-breach-bbc-ba.html
  2. Emsisoft, "Unpacking the MOVEit Breach: Statistics and Analysis" (publicado el 18 de julio de 2023, actualizado al 28 de junio de 2024): 2,773 organizaciones, 95,788,491 personas, 78.9% de víctimas conocidas en EE.UU.; estudio internacional que no mide México; https://emsisoft.com/en/blog/44123/unpacking-the-moveit-breach-statistics-and-analysis/
  3. Expansión, "Apagón informático afectó a 8.5 millones de dispositivos" (20 de julio de 2024), estimación de Microsoft sobre la falla de la actualización de CrowdStrike; https://expansion.mx/tecnologia/2024/07/20/apagon-informatico-afecto-a-8-5-millones-de-dispositivos
  4. Expansión, "Aerolíneas en México cancelan vuelos ante falla de Microsoft" (19 de julio de 2024), con cifras de Profeco al corte de las 15:30 horas; https://expansion.mx/empresas/2024/07/19/aerolineas-en-mexico-cancelan-vuelos-ante-falla-microsoft
  5. Cámara de Diputados, Ley Federal del Trabajo, texto vigente con última reforma publicada en el DOF el 14 de mayo de 2026: arts. 12 a 15 (prohibición de subcontratación de personal, servicios especializados, contrato escrito, responsabilidad solidaria y registro ante la STPS), reformados en el DOF el 23 de abril de 2021; https://www.diputados.gob.mx/LeyesBiblio/pdf/LFT.pdf
  6. Ley de Instituciones de Crédito, art. 46 Bis 1 (contratación de servicios con terceros y comisionistas; responsabilidad del banco; facultades de supervisión de la CNBV); https://mley.mx/LIC/articulo/46-bis%201/
  7. CNBV, "Guía para la autorización de contratación con terceros de servicios o comisiones" (agosto de 2017), sobre la declaración de subcontratación, la mención de todos los proveedores participantes y las condiciones de subcontratación del tercero o comisionista; https://www.cnbv.gob.mx/SECTORES-SUPERVISADOS/BANCA-MULTIPLE/Documents/Guia_Presetadores_de_Servicios_Bancos_agosto_2017.pdf
  8. Instituto Mexicano para la Competitividad (IMCO), anexos de "Cómputo en la nube para el sector financiero" (2022), que retoman los requisitos de la CNBV sobre subcontratación; https://imco.org.mx/wp-content/uploads/2022/09/Anexos-computo-en-la-nube_.pdf
  9. Cámara de Diputados, Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el DOF el 20 de marzo de 2025: arts. 2, fracción XII (persona encargada), y 18 (medidas de seguridad); https://www.diputados.gob.mx/LeyesBiblio/pdf/LFPDPPP.pdf
  10. Reglamento de la LFPDPPP (2011), art. 54 (subcontratación de servicios por el encargado, autorización del responsable), referencia supletoria mientras se publica un reglamento actualizado; https://mley.mx/Reg_LFPDPPP/articulo/54/
  11. ISO/IEC 27001:2022, Anexo A, controles 5.19 a 5.22 (seguridad de la información en relaciones con proveedores y cadena de suministro TIC), estándar voluntario
  12. NIST, SP 800-161 Rev. 1, "Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations" (2022), guía voluntaria de Estados Unidos
  13. Validato, descripción de servicios de Background Screening y Human Risk Management con presencia en México; https://validato.ch/mx-es/