Los 17 mayores ciberataques de la historia de los Países Bajos

Los mayores ciberataques en los Países Bajos comparten un patrón inquietante: rara vez comienzan con un hacker genial. Comienzan con una contraseña que se utilizó dos veces, una VPN sin autenticación multifactorial, un correo electrónico de phishing que parecía auténtico o un proveedor al que nunca se investigó. Esta lista recoge diecisiete casos documentados en los Países Bajos, desde la mayor filtración de datos en el sector de las telecomunicaciones del país y un gigante del software hospitalario hasta la KNVB y una cadena de clínicas dentales, así como el coste que han supuesto.

Las cifras detrás de los casos no dejan de aumentar. La Autoridad Neerlandesa de Protección de Datos recibió 39 407 notificaciones de violaciones de datos en 2025, frente a las 37 839 del año anterior, de las cuales 2 428 se debieron a ciberataques y se registró un fuerte aumento de las violaciones provocadas por el phishing. En el informe «Cybercrimebeeld Nederland 2026», publicado el 3 de septiembre de 2026, la policía y la Fiscalía estiman que 2,5 millones de neerlandeses fueron víctimas de delitos cibernéticos o fraudes en línea en 2025. Si quieres conocer primero los conceptos básicos, lee qué es un ciberataque; a continuación, pasamos directamente a los casos, empezando por los más recientes.

Los mayores ciberataques en los Países Bajos

1. Odido (2026)

El 12 de febrero de 2026, el proveedor de telecomunicaciones Odido confirmó la mayor filtración de datos de la historia de los Países Bajos. El colectivo de hackers ShinyHunters había conseguido acceder a un archivo con los datos de unos 6,2 millones de cuentas de clientes, tanto de Odido como de su marca Ben, y afirmó disponer de datos de más de 8 millones de clientes actuales y antiguos en total, lo que supone más de 21 millones de registros. Se sustrajeron nombres completos, direcciones, números de teléfono, fechas de nacimiento, direcciones de correo electrónico, números de cuenta bancaria y los números y fechas de caducidad de pasaportes y permisos de conducir. No se sustrajeron contraseñas ni registros de llamadas.

La forma de acceder al sistema fue pura ingeniería social: los delincuentes obtuvieron mediante phishing las contraseñas de varios empleados del servicio de atención al cliente por correo electrónico y, a continuación, les llamaron por teléfono haciéndose pasar por el departamento de TI para que les permitieran superar la autenticación multifactorial. Odido se negó a pagar el rescate, tras lo cual el grupo publicó el conjunto de datos completo. A los dos meses se presentó una demanda colectiva contra la empresa. Una sola llamada telefónica a un empleado del servicio de asistencia bastó para dejar al descubierto a un tercio del país.

2. ChipSoft (2026)

El 7 de abril de 2026, un ataque de ransomware afectó a ChipSoft, la empresa creadora de HiX, el sistema de historias clínicas electrónicas que utilizan aproximadamente tres cuartas partes de los hospitales neerlandeses. ChipSoft desconectó de la red Zorgportaal, HiX Mobile y su Zorgplatform como medida de precaución, y al menos once hospitales, entre ellos el Erasmus MC y el Medisch Spectrum Twente, se desconectaron del proveedor. El centro de seguridad sanitaria Z-CERT y el NCSC coordinaron la respuesta.

Dos semanas más tarde, el grupo que se autodenominaba «Embargo» afirmó haber robado unos 100 gigabytes de datos y amenazó con publicarlos. ChipSoft confirmó que había negociado con los atacantes y declaró el 28 de abril que los datos robados habían sido destruidos. Nunca se ha revelado si se pagó un rescate ni cuál fue su cuantía. Para los hospitales, la lección fue contundente: un único proveedor puede dejar inoperativos los historiales de los pacientes de todo un país, razón por la cual la seguridad de la información en el sector sanitario se trata como una disciplina independiente.

3. Diagnóstico clínico y detección precoz del cáncer de cuello uterino (2025)

En agosto de 2025, Bevolkingsonderzoek Nederland anunció que unos delincuentes habían sustraído los datos de más de 485 000 mujeres que habían participado en el programa nacional de cribado del cáncer de cuello uterino. La filtración se produjo en Clinical Diagnostics, en Rijswijk, un laboratorio propiedad de Eurofins que se encarga de analizar las muestras. Entre los archivos sustraídos figuraban nombres, direcciones, números de identificación fiscal, resultados de pruebas y los nombres de los médicos que remitieron a las pacientes, algunos de ellos con fecha tan lejana como 2016.

Los atacantes exigieron un rescate a Eurofins y amenazaron con publicar los datos. La Fiscalía abrió una investigación penal, la Inspección de Sanidad y Atención a la Juventud inició una investigación sobre la seguridad del laboratorio y el programa de cribado suspendió su colaboración con el laboratorio. Se trata de la mayor filtración de datos médicos que se ha producido en los Países Bajos, y afectó a personas que no habían hecho más que aceptar una invitación para someterse a una prueba rutinaria.

4. Fiscalía General (2025)

El 17 de julio de 2025, la Fiscalía desconectó todo su entorno informático de Internet después de que el NCSC advirtiera de una vulnerabilidad en Citrix NetScaler, el sistema que permite el acceso remoto. La investigación técnica confirmó posteriormente que, efectivamente, se había aprovechado dicha vulnerabilidad. No se ha constatado ninguna manipulación ni robo de datos, pero la mera medida de precaución ya supuso un elevado coste.

Durante casi tres semanas, los fiscales no pudieron trabajar a distancia, se perdió parcialmente el acceso a los expedientes y se retrasaron los procesos judiciales. El correo electrónico no se restableció hasta el 7 de agosto, y la organización volvió a estar operativa poco a poco. Este caso pone de manifiesto las consecuencias que puede tener un único dispositivo sin parches situado en el perímetro de una red para una organización de la que depende toda la cadena de justicia penal.

5. Universidad Técnica de Eindhoven (2025)

La noche del sábado 11 de enero de 2025, el equipo informático de la Universidad Técnica de Eindhoven detectó actividad sospechosa en sus servidores y desconectó la red esa misma noche. Para los 14 000 estudiantes, las clases se interrumpieron durante una semana entera, los exámenes se aplazaron y los sistemas permanecieron inaccesibles durante aproximadamente una semana y media. Según la propia evaluación de la universidad, el atacante se estaba preparando para lanzar un programa de rescate.

La causa resultó ser dolorosamente trivial: el atacante se conectó a través de la VPN con contraseñas de cuentas de las que ya se sabía que se habían filtrado. La VPN aún no contaba con autenticación multifactorial, y nada alertó a nadie de que todavía se estuvieran utilizando contraseñas antiguas y comprometidas. Desde entonces, la universidad ha sustituido su VPN y ha implantado la autenticación multifactorial en ella.

6. Policía Nacional (2024)

En septiembre de 2024, la policía neerlandesa informó de que unos atacantes habían accedido a una lista global de direcciones de Outlook y habían sustraído los datos de contacto profesionales de unos 62 000 agentes de policía: nombres, direcciones de correo electrónico, números de teléfono y, en algunos casos, datos privados y fotografías. También se sustrajeron las direcciones de correo electrónico de organizaciones colaboradoras.

Los servicios de inteligencia AIVD y MIVD, que alertaron a la policía de la intrusión, consideran muy probable que detrás de ella se encuentre un Estado extranjero. No se trataba de un ataque de ransomware y ningún sistema dejó de funcionar, pero las consecuencias fueron graves: para los agentes que trabajan de incógnito o en casos delicados, la filtración de un nombre y un número de teléfono supone un problema de seguridad personal, no solo de privacidad.

7. KNVB

En abril de 2023, la KNVB fue víctima de un ataque de ransomware por parte del grupo de habla rusa LockBit, que amenazó con filtrar documentos confidenciales a menos que la federación de fútbol pagara. En septiembre, la KNVB confirmó que había pagado. La cantidad exacta nunca se hizo pública, pero, según se informó, la demanda rondaba el millón de euros. El presidente de la Autoridad Neerlandesa de Protección de Datos reaccionó con dureza, afirmando que el pago mantiene vivo «un modelo de negocio censurable», ya que nada garantiza que los delincuentes no vayan a vender los datos de todos modos.

Lockbit amenazó con compartir hasta 300 GB de datos, incluidos pasaportes e información salarial de jugadores de la Oranje. La KNVB compartió que pagaron el rescate, pero que la información podría seguir filtrándose.

8. Municipio de Hof van Twente

"Hola, ¿necesita recuperar datos? Póngase en contacto con nosotros rápido". Ese es el mensaje que recibió Hof van Twente en diciembre de 2020. El municipio resultó haber sido hackeado, y sus servicios a la comunidad estuvieron en pausa durante meses a causa de ello. Los ciberdelincuentes pidieron un rescate de 750.000 euros, pero Hof van Twente se negó a pagar.

Por este motivo, hubo que reconstruir todos los sistemas informáticos desde cero. Esto supuso para el ayuntamiento unos daños y perjuicios de 4,2 millones de euros, lo que equivale a unos 120 euros por habitante.

Los piratas informáticos pudieron entrar en uno de los servidores porque la contraseña resultó ser "Welkom2020". Aparte de eso, el ayuntamiento no había tomado precauciones más elementales.

9. Universidad de Maastricht

Allá por 2019, la Universidad de Maastricht pagó un rescate de 200 000 tras sufrir un ciberataque. El ransomware dejó inoperativos los sistemas informáticos de la universidad durante meses. En aquel momento, la universidad afirmó que no veía otra salida que pagar el rescate.

Tras la investigación realizada por Fox-IT, quedó claro que la fuga de datos fue causada por un ataque a phishing . Alguien de la organización de la universidad había hecho clic en un enlace phishing que parecía "de verdad".

Una vez dentro, los ciberdelincuentes también se aprovecharon de las múltiples actualizaciones de seguridad que la universidad no realizaba. Al cabo de un tiempo, habían tomado como rehén a toda la red. Los malos actores desconectaron el software antivirus y apagaron los sistemas.

Las copias de seguridad también estaban conectadas a la red, de modo que los delincuentes también podían cifrarlas.

Esta es una de las pocas historias sobre filtraciones de datos que realmente tiene un final algo positivo. En 2022, las autoridades encontraron una parte del rescate que se había pagado en criptomoneda. Como el bitcoin había aumentado de valor, en realidad obtuvieron un gran beneficio cuando lo recuperaron. Los 200.000 euros que pagaron ahora estaban valorados en 500.000.

10. VDL

VDL Groep, un gran grupo con 105 empresas repartidas por Europa, América y Asia, sufrió un ataque de ransomware en 2021. Las 105 empresas se vieron afectadas por el ataque. Esto dejó muchas de sus fábricas fuera de producción y les impidió comunicarse por correo electrónico. No está claro cuánto rescate pidieron los ciberdelincuentes.

En 2021, VDL Groep empleaba a más de 15.000 personas en todo el mundo y en 2020 facturó 4.700 millones de euros.

11. Van der Helm Logistics

Richard van der Helm, Director General de Van der Helm Logistics, siempre afirmó que nunca pagaba a delincuentes. Eso fue hasta que descubrió que los sistemas informáticos de su empresa de logística habían sido pirateados. Los sistemas se apagaron por completo y los malhechores pidieron un rescate. Dos días después, pagó el rescate.

Después de que una empresa de seguridad le dijera que había que reactivar y reconstruir todos los sistemas, supo que le llevaría semanas. Esto significaba que no se cumplirían las obligaciones contractuales y la empresa quebraría en poco tiempo.

Van der Helm utilizaba una VPN anticuada y no empleaba software de detección. Los ciberdelincuentes habían probado innumerables variaciones de contraseñas. Esta actividad se habría detectado con un sistema de detección.

12. Ayuntamiento de Alkmaar

El municipio de Alkmaar también fue víctima de un ciberdelincuente. Alguien que se hizo pasar por el director general de otra organización envió una factura de 236.000, que se pagó bajo la presión del falso director general. Esta forma de fraude de identidad es algo que estamos viendo con más frecuencia en los últimos dos años.

Anteriormente, en 2020, Alkmaar ya había sido víctima de la ciberdelincuencia cuando un empleado hizo clic en un enlace de phishing . Esto llevó a que los datos de miles de residentes fueran públicos durante un breve periodo.

Ambos incidentes son ejemplos claros de por qué security awareness es fundamental.

13. De Mandemakers Groep

En 2021, Mandemakers Groep sufrió un ataque de ransomware. El ataque provocó el cierre completo de todos los sistemas informáticos. La empresa no quiso compartir demasiados detalles sobre el atacante o la cuantía del rescate, pero compartió que era una "cantidad considerable". En la mayoría de los casos, especialmente en 2021, los atacantes piden cantidades enormes en bitcoin u otra criptomoneda.

14. RTL

Otro ejemplo llamativo de ciberataque fue cuando RTL se vio afectada por un ransomware. El rescate, de 8.500 euros, no era elevado, lo que resulta interesante dado que RTL es una marca muy conocida.

En este caso, los atacantes consiguieron acceder a la red de RTL porque se capturaron los datos de acceso de un empleado de una empresa de TI externa. Esta empresa era responsable de la red de RTL. No había autenticación de dos factores, por lo que los atacantes pudieron acceder fácilmente a la red.

Los malhechores utilizaron el ransomware CryTOX para cifrar los archivos de un par de ordenadores. En la pantalla aparecía un mensaje con la petición de pagar un rescate. También se desconectaron un par de sistemas internos importantes, como el sistema editorial y el de planificación publicitaria.

15. Mediamarkt

En 2021, Mediamarkt sufrió un ataque de ransomware. Esto paralizó todo su negocio online durante semanas, obligando a la empresa a vender únicamente los productos que estaban disponibles en las tiendas. El ataque afectó a muchos de los sistemas Windows de Mediamarkt, incluidas 49 tiendas en toda Holanda.

La organización que está detrás de este ataque se llama Hive. Este grupo es conocido por pedir habitualmente rescates millonarios en bitcoin. Cuando Mediamarkt inició un chat con el grupo, respondieron tan amablemente como lo haría un agente de atención al cliente medio. "Hola, bienvenido a Hive. ¿En qué puedo ayudarle hoy?". Y tras cuatro horas sin respuesta, su segundo mensaje es: "Para que tus archivos vuelvan a ser accesibles, tendrás que pagar 50 millones de dólares en bitcoin".

Mediamarkt decide no pagar este rescate y las negociaciones duran mucho tiempo. Al final, no pagan nada.

16. Colloseum Dental Benelux

Colloseum Dental Benelux, una organización con 120 consultas dentales en toda Holanda, se vio obligada a cerrar durante un breve periodo de tiempo al sufrir un ciberataque. La organización trata a más de 600.000 pacientes al año.

Todas las consultas sufrieron un ataque de ransomware. Debido a ello, los dentistas no podían acceder a los archivos de sus pacientes, lo que les impedía realizar cualquier tratamiento. Las copias de seguridad no eran accesibles.

El rescate que se pidió ha sido pagado por la empresa dental. "Era la única forma de minimizar el riesgo a corto plazo para todos los implicados". No se ha comunicado la cantidad exacta del rescate.

17. ID-Ware

En 2022, la empresa informática ID-Ware fue pirateada. ID-Ware era responsable de los datos personales de 3.500 funcionarios del gobierno, entre otras empresas. ID-Ware descubrió que unos hackers habían intentado infiltrarse en sus sistemas. Mediante un ransomware, los malhechores cifraron datos confidenciales.

ID-Ware recuperó rápidamente todos los datos, pero los especialistas en seguridad descubrieron que un gran número de archivos se habían hecho públicos.

Según De Volksrant, la organización ALPHV/BlackCat es responsable del ataque. Publicaron mucha información en la dark web.

Resumen de los mayores ciberataques en los Países Bajos

Diecisiete casos en una tabla. Fíjate en la última columna: phishing, una contraseña reutilizada, un proveedor o la falta de un segundo factor de autenticación. Siempre la misma puerta.

Lo que tienen en común estos ataques

Si se comparan los diecisiete casos uno tras otro, la tecnología casi nunca es lo más interesante. Odido perdió los datos de millones de personas porque un empleado del servicio de asistencia técnica se creyó a alguien que llamó diciendo ser de «TI». Se accedió a Hof van Twente con la contraseña «Welkom2020». La Universidad Técnica de Eindhoven cayó víctima de una filtración de contraseñas en una VPN sin autenticación multifactorial (MFA). Se accedió a RTL a través de las credenciales de un proveedor externo de TI, de nuevo sin un segundo factor de autenticación. En Maastricht y Alkmaar, todo empezó porque un empleado hizo clic en un enlace de phishing. ChipSoft y el laboratorio de análisis ponen de manifiesto otra constante: tus datos están en manos de los proveedores, y su empleado más vulnerable también es tu problema.

Esto coincide con las cifras generales. Según el Informe sobre investigaciones de fugas de datos de 2025 de Verizon, aproximadamente seis de cada diez fugas confirmadas se debieron a una acción humana: un clic, una llamada telefónica en la que se confió, un archivo enviado a la persona equivocada. El resumen del NCSC sobre el ransomware en 2025 contabilizó 65 ataques denunciados a la policía y señaló que una proporción cada vez mayor de ellos comenzaba con la apropiación de una cuenta, en lugar de con un exploit técnico. Mucha gente sigue asumiendo que estos ataques solo afectan a las grandes empresas. No es así: los mismos grupos aplican la misma estrategia contra una empresa de logística con unas pocas docenas de empleados, y las pequeñas empresas cuentan con menos personal para darse cuenta de que algo va mal.

Qué supone una filtración de datos para tu empresa

Todos los casos anteriores constituyeron también una filtración de datos en el sentido jurídico: los datos personales acabaron en manos de personas que no estaban autorizadas a acceder a ellos. Según el RGPD, no importa cómo haya ocurrido. Un ataque de ransomware cuenta como tal, pero también lo hace un correo electrónico con una lista de clientes enviado a una dirección equivocada, la pérdida de un ordenador portátil o un proveedor que deja una base de datos abierta. De ello se derivan tres obligaciones, que se aplican tanto a un autónomo como a un hospital.

• Notifícalo a la Autoridad Neerlandesa de Protección de Datos en un plazo de 72 horas. El plazo comienza a contar desde el momento en que descubras la filtración, no desde que te des cuenta de ella. La notificación se realiza a través del portal de notificación de filtraciones de la AP. Solo puedes prescindir de la notificación si es improbable que la filtración suponga ningún riesgo para las personas afectadas, y debes poder explicar por qué.
• Informa a las personas afectadas cuando el riesgo sea elevado. La filtración de datos de acceso, datos médicos, documentos de identidad, datos financieros o datos sobre la religión o el origen de una persona se consideran de alto riesgo. Explica a las personas qué ha ocurrido y qué pueden hacer, por ejemplo, cambiar una contraseña o estar atentas ante posibles fraudes. La principal excepción son los datos debidamente cifrados que el atacante no puede leer.
• Lleva un registro y prepárate para la multa. Cada incidente, se haya notificado o no, se incluye en tu registro interno de incidentes. El incumplimiento de la obligación de notificación puede acarrear una multa de hasta 10 millones de euros o el 2 % de la facturación mundial; en el caso del fallo de seguridad subyacente, el límite máximo es de 20 millones de euros o el 4 %. En la práctica, el daño suele estar en otra parte: la reconstrucción de los sistemas, semanas de pérdida de productividad y clientes que ya no confían en ti.

¿Por qué quieren los delincuentes estos datos? Porque dan resultados. Los nombres, direcciones y números de identificación de los ciudadanos robados se utilizan para cometer fraude de identidad: realizar pedidos a nombre de otra persona, abrir cuentas, firmar contratos. Las direcciones de correo electrónico y los números de teléfono filtrados alimentan la siguiente oleada de phishing y smishing, que resultan mucho más convincentes cuando utilizan un número de pedido real o el nombre de un médico real. Y los datos son la baza en casi todos los casos actuales de ransomware: «paga o lo publicamos». El NCSC señaló que, en 2025, los atacantes robaban datos de forma habitual antes de cifrar nada y, en ocasiones, se saltaban el cifrado por completo.

¿Cómo se puede prevenir un ciberataque o una filtración de datos?

Ninguna organización es totalmente a prueba de ataques informáticos. Sin embargo, los casos anteriores demuestran que la mayoría de los ataques se habrían detenido en una de estas seis etapas.

1. Autenticación multifactorial en todos los servicios conectados a Internet: correo electrónico, VPN, escritorio remoto y el panel de administración de tu página web. Tanto la Universidad Técnica de Eindhoven (TU Eindhoven) como RTL fueron objeto de un acceso no autorizado al iniciar sesión sin un segundo factor de autenticación.
2. Actualiza los sistemas de seguridad en cuestión de días, no de meses. Los dispositivos VPN, los cortafuegos y las pasarelas tipo Citrix son lo primero que buscan los atacantes. La Fiscalía General estuvo fuera de servicio durante tres semanas por culpa de uno de ellos.
3. Elimina las cuentas antiguas y las contraseñas reutilizadas. Comprueba si tus dominios aparecen en listas de filtraciones de contraseñas conocidas, fuerza el restablecimiento de contraseñas y elimina las cuentas de las personas que ya no forman parte de la empresa. Utiliza un gestor de contraseñas para que crear contraseñas únicas sea la opción más sencilla.
4. Copias de seguridad a las que un atacante no pueda acceder. Las copias de seguridad de Maastricht se encontraban en la misma red y estaban cifradas junto con el resto de datos. Mantén al menos una copia fuera de línea o inmutable, y comprueba que la restauración funciona correctamente.
5. Conoce a tus proveedores. Pregunta a tu socio de TI, a tu laboratorio y a tu proveedor de software cómo gestionan la autenticación multifactorial (MFA), la aplicación de parches y la respuesta ante incidentes. Incluye la notificación de violaciones de seguridad en el contrato. Los clientes de ChipSoft se enteraron a través de los medios de comunicación.
6. Forma a tu personal y sigue formándolo. Una sesión de sensibilización al año no cambia la forma en que alguien actúa un viernes por la tarde cuando está bajo presión. Lo que sí lo consigue son sesiones de formación breves y periódicas, junto con simulaciones realistas de phishing. Aquí es donde entra en juego Guardey: retos semanales de unos pocos minutos que convierten en un hábito el reconocimiento del phishing, el fraude del director general y los inicios de sesión sospechosos, con un panel de control que te muestra dónde se encuentra el riesgo. Más información sobre la formación en concienciación sobre seguridad.

Y si, a pesar de todo, las cosas salen mal: aíslate, pide ayuda, denuncia el hecho en un plazo de 72 horas y piénsatelo dos veces antes de pagar. La policía, la Fiscalía y la Autoridad de Protección de Datos coinciden en este consejo, y el caso de la KNVB demuestra por qué: pagar no te devuelve el control sobre los datos, solo financia el próximo ataque.

Preguntas frecuentes sobre los ciberataques en los Países Bajos

¿Cuál fue el mayor ciberataque ocurrido en los Países Bajos?

Si nos basamos en el número de personas afectadas, la filtración de Odido de febrero de 2026 es, con diferencia, la mayor: datos de alrededor de 6,2 millones de cuentas de clientes, incluidos números de documentos de identidad y números de cuentas bancarias. La filtración más sensible es el robo, en 2025, de los resultados de las pruebas de detección del cáncer de cuello uterino de más de 485 000 mujeres. Si nos fijamos en el impacto social, destaca el ataque de ransomware a ChipSoft de abril de 2026, ya que paralizó de golpe el sistema de historiales de pacientes de la mayoría de los hospitales neerlandeses.

¿Cuántas filtraciones de datos se denuncian cada año en los Países Bajos?

La Autoridad Neerlandesa de Protección de Datos recibió 39.407 notificaciones de violaciones de datos en 2025, frente a las 37.839 de 2024. Aproximadamente 2.428 de ellas se debieron a un ciberataque, y la AP observó un fuerte aumento de las violaciones que tuvieron su origen en el phishing. La mayoría de las notificaciones siguen debiéndose a errores comunes, como el envío de datos a un destinatario equivocado.

¿Tengo que notificar una violación de datos?

Sí, salvo que sea improbable que la violación de datos suponga algún riesgo para las personas afectadas. Notifícala a la Autoridad Neerlandesa de Protección de Datos en un plazo de 72 horas desde su detección, informa a las personas afectadas si el riesgo para ellas es elevado y registra todas las violaciones de datos en tu registro interno, incluidas aquellas que no hayas notificado.

¿Deberías pagar el rescate tras un ataque de ransomware?

La policía neerlandesa, la Fiscalía y la Autoridad de Protección de Datos desaconsejan hacerlo. El pago no garantiza que se eliminen los datos robados y, además, financia el próximo ataque. Las organizaciones que habían probado copias de seguridad fuera de línea, como Hof van Twente y Mediamarkt, pudieron negarse a pagar, y Odido se negó a pesar de que los datos acabaron siendo publicados. Las que no lo hicieron, como la KNVB y Colloseum Dental, consideraron que no tenían otra opción.

¿Las pequeñas empresas también son objeto de ciberataques?

Sí, y cada vez más. Los grupos de ransomware automatizan la búsqueda de VPN vulnerables y contraseñas filtradas, por lo que el tamaño de la empresa apenas les importa. Van der Helm Logistics y Colloseum Dental figuran en esta lista no porque fueran famosas, sino porque eran accesibles.

Las diecisiete organizaciones de esta lista contaban con presupuestos, departamentos de informática y, en la mayoría de los casos, una política de seguridad sobre el papel. Lo que no tenían, el día en que realmente importaba, era un compañero que se lo pensara dos veces antes de hacer clic, un inicio de sesión que exigiera una segunda factor de autenticación o una copia de seguridad a la que el atacante no pudiera acceder. Esos no son problemas propios de las grandes empresas. Son precisamente las cosas que una empresa de veinte personas puede solucionar este mismo mes, y la razón por la que esta lista no tiene por qué seguir creciendo.