The Coca-Cola Company presentó el 16 de julio una declaración reglamentaria y un comunicado público anunciando un incidente de ciberseguridad significativo que afectó a su filial láctea de propiedad absoluta, fairlife, LLC. El incidente involucró el acceso no autorizado de terceros a la tecnología de la información (TI) y a los sistemas relacionados con la producción de fairlife debido a un ataque de ransomware.

Tras la detección, fairlife activó sus protocolos corporativos de respuesta a incidentes y continuidad del negocio, contrató a asesores forenses y de respuesta a incidentes externos, y notificó a las agencias federales de aplicación de la ley según su plan de IR. Aunque los sistemas de monitoreo de calidad del producto, inocuidad y seguridad alimentaria no se vieron comprometidos, el ciberataque obligó a fairlife a suspender temporalmente las operaciones de procesamiento y fabricación de leche en sus instalaciones de producción de Estados Unidos. Las operaciones en la planta canadiense de fairlife no se vieron afectadas y continuaron operando.

El 20 y 21 de julio de 2026, el grupo de amenazas emergentes Anubis ransomware incluyó a fairlife en su sitio de filtración de datos de la red oscura, atribuyéndose la intrusión y la exfiltración de datos corporativos.

Evaluación inicial de la gravedad

• Clasificación de gravedad: CRÍTICA (Amenaza Operativa)

• Alcance del impacto: Alta interrupción operativa en las unidades de procesamiento de EE. UU.; exposición financiera moderada; impacto inmediato nulo en la inocuidad del producto o la salud del consumidor.

• Relevancia de fabricación y OT: Este incidente demuestra el riesgo operativo que representa el ransomware para los sectores de Bienes de Consumo Empacados (CPG) y Alimentos y Agricultura. Incluso cuando los sistemas de control industrial (ICS) de la planta no están directamente cifrados, la pérdida de los sistemas de TI de soporte —como los Sistemas de Ejecución de Manufactura (MES), las plataformas de planificación de recursos empresariales (ERP) o las bases de datos de control de calidad— puede obligar a realizar paros operativos preventivos.

Cronología del incidente

• Antes del 16 de julio de 2026 (Ventana no confirmada): Se produce el compromiso inicial del entorno de fairlife, el movimiento lateral, la recolección de credenciales y la posible exfiltración de datos.

• 16 de julio de 2026 (Detección y aislamiento): Las operaciones de seguridad de fairlife identifican un acceso no autorizado en los sistemas de TI y relacionados con la producción. Se activan los protocolos de respuesta a incidentes. Se suspende la producción en todas las instalaciones de fabricación de EE. UU. como medida de contención.

• 16 de julio de 2026 (Divulgación pública): The Coca-Cola Company emite un comunicado de prensa oficial y una presentación reglamentaria ante la SEC detallando la interrupción tecnológica y la pausa operativa. Se contrata formalmente a las fuerzas del orden y a firmas forenses externas.

• 17 al 19 de julio de 2026 (Investigación y delimitación del alcance): Los equipos forenses realizan la delimitación del alcance forense, la auditoría de Active Directory y el aislamiento del sistema. Se confirma que las instalaciones canadienses están aisladas y operativas.

• 20 y 21 de julio de 2026 (Reclamación de ransomware): El grupo de ransomware Anubis incluye a fairlife en su plataforma de filtración por doble extorsión basada en TOR. Cyber Daily y los servicios de seguimiento de la red oscura informan sobre la reclamación.

Análisis técnico del incidente

Dado que las investigaciones forenses de Coca-Cola y de los proveedores de respuesta a incidentes contratados siguen en curso, no se han publicado oficialmente artefactos técnicos detallados. El siguiente análisis sintetiza los hechos confirmados con inferencias técnicas razonables basadas en patrones de inteligencia de amenazas establecidos.

Acceso inicial

• Hechos confirmados: Actores externos no autorizados establecieron acceso no autorizado a una parte de la red de fairlife.

• Inferencia técnica: Los actores de amenazas que operan campañas de ransomware en 2026 obtienen acceso inicial principalmente a través de tres vectores:

  1. Explotación de dispositivos perimetrales (por ejemplo, concentradores VPN, firewalls perimetrales, infraestructura de escritorio virtual).

  2. Credenciales robadas compradas a intermediarios de acceso inicial (IAB) a través de registros de infostealers.

  3. Campañas de phishing que aprovechan archivos adjuntos maliciosos o enlaces de spear-phishing.

Escalada de privilegios y movimiento lateral

• Hechos confirmados: El adversario avanzó más allá de los puntos de entrada para afectar a los sistemas que respaldan las operaciones de producción.

• Inferencia técnica: Es probable que el actor de la amenaza haya realizado un reconocimiento interno a través de binarios estándar Living-off-the-Land (LotL) (por ejemplo, net.exe, nltest.exe, PowerShell, WMI) para mapear las relaciones de confianza de dominio e identificar las subredes de servidores que albergan activos comerciales y operativos.

Impacto en el sistema de producción

• Hechos confirmados: fairlife suspendió las operaciones de fabricación en EE. UU. El monitoreo de la calidad y la inocuidad del producto no se vio comprometido.

• Inferencia técnica: Es probable que los Controladores Lógicos Programables (PLC) y las Interfaces Hombre-Máquina (HMI) de la planta no se hayan cifrado ni modificado directamente. En su lugar, la producción se detuvo debido a la indisponibilidad de los sistemas dependientes de TI de Nivel 3/3.5 (por ejemplo, Sistemas de Ejecución de Manufactura, software de dosificación de materias primas, logística automatizada o plataformas de planificación de recursos empresariales) o como medida de seguridad para evitar la propagación lateral.

Exfiltración de datos y despliegue de ransomware

• Hechos confirmados: El incidente se identificó como un evento de ransomware. Anubis incluyó a fairlife como víctima en su sitio de filtración de datos.

• Inferencia técnica: Anubis sigue un modelo de doble extorsión. Antes de desplegar cargas útiles de cifrado de archivos en el entorno de TI empresarial, el actor de la amenaza exfiltró archivos confidenciales a través de utilidades automatizadas de comando y control (C2) o herramientas de almacenamiento en la nube (como Rclone, MEGAsync).

Análisis de seguridad de OT

Comprender cómo un incidente cibernético en un procesador de productos lácteos provoca un tiempo de inactividad operativo requiere analizar las interdependencias entre la TI, las DMZ industriales y la Tecnología de Operación (OT).

Compromiso directo de OT frente a paro operativo preventivo

Una pregunta central en los incidentes de fabricación es si el actor de la amenaza comprometió activamente los dispositivos de control de Nivel 1/2 (PLC, SCADA) o si las operaciones se cerraron debido a la pérdida de los sistemas de TI de soporte.

• Compromiso directo de OT (Baja probabilidad): No hay evidencia que indique que Anubis o los actores asociados hayan desplegado malware especializado en ICS (por ejemplo, PIPEDREAM, INDUSTROYER) o borrado el firmware del controlador de campo.

• Interrupción de la interdependencia de TI a OT (Alta probabilidad): Las plantas lácteas modernas dependen en gran medida de los sistemas de Nivel 3:

  1. Sistemas de Ejecución de Manufactura (MES): Realizan el seguimiento de las órdenes de trabajo, los volúmenes de ingredientes y los programas de recetas. Si los servidores MES están cifrados o desconectados, las líneas de envasado automatizadas no pueden recibir las definiciones de trabajo.

  2. Sistemas de Gestión de Recetas y Lotes: Aseguran que el ultrafiltrado, la pasteurización y la mezcla de proteínas cumplan con las especificaciones normativas. La pérdida de la gestión de recetas impide el arranque automatizado de la línea.

  3. Control de Calidad (QA) y trazabilidad: Las regulaciones federales de seguridad alimentaria exigen el registro en tiempo real de las temperaturas de pasteurización. Si los historiadores o las bases de datos de control de calidad son inaccesibles, el cumplimiento normativo prohíbe operar las líneas.

• Aislamiento proactivo (Alta probabilidad): Cortar las conexiones de red de la empresa a la planta para evitar que el ransomware se propague a las redes de la planta de Nivel 2/3 a menudo requiere desconectar manualmente los sistemas automatizados.

Modelo de Purdue e implicaciones arquitectónicas

Nivel 4/5 (TI Empresarial)

Zona principal de compromiso. El Active Directory, los servidores de archivos y las estaciones de trabajo administrativas probablemente fueron aislados, no estuvieron disponibles o se vieron afectados de alguna otra manera como parte de la actividad de contención o del ransomware.

Nivel 3.5 (DMZ Industrial)

La eficacia de la IDMZ determina si un ataque se detiene en la TI corporativa. Los hosts de salto, los servidores de parches y los controladores de dominio centralizados de Active Directory ubicados en la IDMZ a menudo sirven como conductos si tienen doble interfaz o están mal segmentados.

Nivel 3 (Operaciones del sitio)

Contiene el MES, los historiadores locales y los servidores de dosificación. Si el Nivel 3 comparte la autenticación de Active Directory con la TI empresarial (Nivel 4), las credenciales corporativas comprometidas permiten el movimiento lateral directo hacia las operaciones de la planta.

Nivel 0–2 (Control y proceso físico)

Los PLC, los variadores de frecuencia (VFD) y los sistemas instrumentados de seguridad (SIS) permanecieron físicamente intactos. Los controles de seguridad alimentaria (por ejemplo, los cortes de seguridad de pasteurización rápida a alta temperatura) funcionan independientemente de las redes empresariales.

Segmentación transfronteriza

Una perspectiva operativa clave de este incidente es que las operaciones de fairlife en Canadá no se vieron afectadas y continuaron funcionando. El funcionamiento continuo de las instalaciones canadienses sugiere firmemente que la separación arquitectónica, organizativa o a nivel de red limitó eficazmente el radio de impacto operativo. Sin embargo, los mecanismos específicos de segmentación no se han divulgado públicamente. Bosques de Active Directory separados, una infraestructura de VPN aislada o estructuras de inquilinos empresariales distintas entre las operaciones de EE. UU. y Canadá contuvieron con éxito el radio de impacto.

Mapeo de MITRE ATT&CK

MITRE ATT&CK para empresas

MITRE ATT&CK para ICS

Al momento de realizar este análisis, no había evidencia de Modificación de Tareas del Controlador, Descarga de Programas, alteración del Firmware del Controlador o Pérdida de Vista.

Indicadores de Compromiso (IOCs)

Aviso de estado oficial: Hasta la publicación de este informe, The Coca-Cola Company, fairlife, las agencias de aplicación de la ley o los proveedores de ciberseguridad investigadores no han publicado indicadores de compromiso (IOC) verificados públicamente, incluidos hashes de archivos, direcciones IP de C2, dominios o claves de registro específicas.

Cuando se publiquen IOC verificados, se actualizará esta sección. Las organizaciones deben centrarse en las reglas de detección basadas en el comportamiento descritas en las secciones posteriores.

Análisis del ransomware Anubis

Antecedentes y evolución del grupo

El ransomware Anubis es una plataforma emergente de Ransomware como Servicio (RaaS) que opera bajo un modelo de negocio de doble extorsión. El grupo se dirige a empresas comerciales de mediana y gran escala, proveedores de infraestructura crítica y organizaciones de fabricación.

TTP típicos (Perfiles generales de Anubis frente a observaciones de incidentes)

Acceso inicial

• Perfil general de Anubis: Aprovecha credenciales robadas (infostealers), vulnerabilidades no parcheadas en soluciones de acceso remoto (Fortinet, Citrix, Ivanti) o endpoints RDP comprometidos expuestos a internet.

• Observado en el incidente: El mecanismo de entrada inicial específico sigue sin ser confirmado por fairlife.

·      Descubrimiento y evasión de defensa

• Perfil general de Anubis: Desactiva el software de seguridad (EDR/AV) utilizando vulnerabilidades de controladores a nivel de kernel (BYOVD - Bring Your Own Vulnerable Driver) o herramientas administrativas comprometidas. Borra los registros de eventos de Windows (wevtutil cl).

• Observado en el incidente: Acceso mixto que evitó la detección inmediata hasta que la fase de preparación del cifrado activó los protocolos de respuesta.

Exfiltración de datos

• Perfil general de Anubis: Utiliza herramientas de archivo de línea de comandos (7-Zip, WinRAR) combinadas con Rclone o MEGAsync para exfiltrar archivos a la infraestructura de la nube antes del cifrado.

• Observado en el incidente: Anubis incluyó a fairlife como víctima en su sitio de filtraciones el 20 y 21 de julio de 2026, lo que indica que la exfiltración de datos probablemente ocurrió antes del aislamiento del sistema.

Cifrado

• Perfil general de Anubis: Despliega binarios compilados en C/C++ personalizados que terminan los servicios de bases de datos (SQL, Exchange), hipervisores (ESXi, Hyper-V) y servicios de copia de sombra de volumen (vssadmin delete shadows /all /quiet). Añade una extensión específica a los archivos cifrados y genera una nota de rescate RECOVER-FILES.txt.

• Observado en el incidente: No se ha revelado el alcance del cifrado a nivel de archivo en los sistemas relacionados con la producción.

Lecciones aprendidas en la fabricación

Independencia arquitectónica de los sistemas de Nivel 3

Las instalaciones de fabricación a menudo detienen la producción durante los incidentes de TI porque los sistemas de la planta dependen directamente del Active Directory corporativo, el DNS y los servidores de licencias. Las organizaciones deben desacoplar la infraestructura MES y SCADA de Nivel 3 de la TI empresarial de Nivel 4, lo que permite que las operaciones de la planta funcionen en "modo isla" durante períodos prolongados en caso de interrupciones de la red corporativa.

Desambiguación de identidad a través de TI y OT

El uso de un bosque unificado de Active Directory en los entornos corporativos y las redes de las plantas crea un punto único de falla. Si un adversario obtiene privilegios de Administrador de Dominio en TI, adquiere automáticamente autoridad de dominio sobre las HMI de la planta y los servidores de historial. Las estructuras de Active Directory de la planta deben aislarse en bosques independientes y no confiables o gestionarse a través de proveedores de identidad locales con MFA obligatorio en todos los hosts de salto.

Continuidad del negocio y planificación de alternativas manuales

En instalaciones de alimentos y bebidas altamente automatizadas (como las plantas de embotellado y filtración de alta velocidad), la operación manual puede ser difícil. Sin embargo, las plantas deben mantener procedimientos de alternativa manual documentados y practicados regularmente para subprocesos críticos (por ejemplo, registro manual de temperatura, seguimiento de lotes fuera de línea) para mantener la capacidad operativa de emergencia.

Riesgo en la cadena de suministro y acceso de proveedores

Los entornos industriales suelen utilizar el acceso remoto de proveedores para equipos de procesamiento especializados (por ejemplo, homogeneizadores, pasteurizadores, líneas de envasado automatizadas). Las conexiones de proveedores no supervisadas eluden los perímetros tradicionales de seguridad de TI. Se debe aplicar un estricto acceso a la red de confianza cero (ZTNA) con grabación de sesiones y controles de acceso basados en el tiempo para todo el soporte de ingeniería externo.

Oportunidades de detección

Los Centros de Operaciones de Seguridad (SOC) y los equipos de monitoreo de OT pueden implementar las siguientes reglas de detección basadas en el comportamiento para identificar patrones de amenazas similares:

1. Abuso de privilegios y Active Directory

// Consulta: Detectar movimiento lateral a través de RDP/SMB a través de los límites de la DMZ de TI-OT

DeviceNetworkEvents

| where RemotePort in (3389, 445)

| where LocalDeviceName has_any ("IDMZ-JUMP", "MES-SRV", "HISTORIAN")

| where InitiatingProcessFileName in~ ("mstsc.exe", "psexec.exe", "powershell.exe")

| summarize Count=count() by InitiatingProcessAccountName, RemoteIP, LocalDeviceName

| where Count > 5

2. Eliminación de copias de sombra de volumen y modificación de BCD

// Consulta: Detectar ransomware común que inhibe la recuperación del sistema

DeviceProcessEvents

| where ProcessCommandLine has_any (

    "vssadmin delete shadows",

    "wmic shadowcopy delete",

    "bcdedit /set {default} bootstatuspolicy ignoreallfailures",

    "bcdedit /set {default} recoveryenabled no"

)

| project Timestamp, DeviceName, AccountName, ProcessCommandLine, FolderPath

3. Exfiltración anómala a través de utilidades de línea de comandos

// Consulta: Detectar ejecución no autorizada de archivado o exfiltración en la nube

DeviceProcessEvents

| where ProcessFileName in~ ("rclone.exe", "7z.exe", "megasync.exe", "winrar.exe")

| where ProcessCommandLine has_any ("--config", "copy", "sync", "a -hp", "upload")

| project Timestamp, DeviceName, AccountName, ProcessCommandLine

4. Detección de anomalías en redes industriales

• Tráfico administrativo inusual: Monitorear las conexiones SMB/RDP inesperadas que se originan en los rangos de IP empresariales de Nivel 4 que intentan conectarse directamente a las direcciones de la subred HMI de Nivel 2, eludiendo los servidores de salto de la IDMZ.

• Renombre masivo de archivos: Monitorear los sistemas de archivos locales en los servidores MES e Historian en busca de modificaciones de archivos de alta frecuencia, renombramientos o generación de extensiones de archivos desconocidas.

Análisis estratégico

Implicaciones para el sector de Alimentos y Agricultura

El ciberataque a fairlife destaca la vulnerabilidad del sector de Alimentos y Agricultura, que es un segmento de infraestructura crítica caracterizado por una baja tolerancia al margen, plazos de entrega ajustados y requisitos de procesamiento continuo.

La fabricación de alimentos difiere de la automotriz. La caducidad cambia la economía del ransomware, ya que la leche tiene una vida útil limitada. Una vez que los tanques de recolección están llenos, la planta debe detenerse.

• Cadenas de suministro perecederas: A diferencia de la fabricación discreta general, el procesamiento de lácteos y alimentos maneja materias primas altamente perecederas. Las paradas de producción pueden obligar a desechar la leche cruda no procesada y provocar cuellos de botella en el suministro en las redes minoristas.

• Dependencias de cumplimiento normativo: Las instalaciones de procesamiento de alimentos operan bajo estrictas normas regulatorias (por ejemplo, FDA, USDA) con respecto a los tiempos de pasteurización, el saneamiento y el control de la temperatura. La pérdida de los sistemas de registro digital obliga a realizar pausas operativas debido a los requisitos de cumplimiento, incluso cuando los sistemas mecánicos siguen siendo funcionales.

• Tendencias de focalización: Los actores de amenazas reconocen que las organizaciones de fabricación se enfrentan a costes significativos por tiempos de inactividad, lo que aumenta la percepción de presión para las demandas de rescate.

Recomendaciones de Shieldworkz

Para los CISO y líderes de seguridad ejecutivos

• Aplicar la separación completa de la infraestructura de identidad de TI y OT: Auditar la arquitectura de Active Directory para asegurar que el compromiso de las credenciales de TI corporativas no pueda otorgar acceso a las redes MES de Nivel 3 o SCADA de Nivel 2.

• Revisar la divulgación de la SEC y los manuales de incidentes cibernéticos: Asegurar que los equipos legales, de comunicación y técnicos de la empresa hayan ensayado los protocolos de reporte de incidentes materiales según las normas de la SEC.

Para los equipos de seguridad de OT e ingenieros de planta

• Realizar pruebas operativas en modo isla: Probar la capacidad de las plantas de fabricación individuales para mantener las operaciones básicas en caso de que se corten las conexiones WAN de la empresa y los servicios de TI corporativos.

• Implementar una arquitectura de IDMZ estricta: Verificar que todas las comunicaciones entre el Nivel 4 (TI) y el Nivel 3 (OT) pasen a través de una DMZ industrial reforzada sin rutas de red directas de doble interfaz.

• Respaldar y verificar las configuraciones de recetas y PLC fuera de línea: Mantener copias de seguridad aisladas (air-gapped), cifradas y probadas regularmente de todos los programas lógicos de PLC, imágenes de software de HMI y bases de datos de recetas de MES.

Para los equipos de respuesta a incidentes y SOC

• Desplegar EDR basado en comportamiento en los sistemas de Nivel 3: Asegurar que las soluciones EDR capaces de detectar técnicas LotL, eliminación de copias de sombra y volcado de credenciales estén instaladas en todos los activos de Windows/Linux en la IDMZ y las redes de Nivel 3.

• Establecer protocolos preautorizados para incidentes de OT: Establecer protocolos explícitos que definan quién tiene la autoridad para desconectar las redes de la planta durante un incidente cibernético en curso para equilibrar la contención de la amenaza frente a los riesgos de tiempo de inactividad de la producción.

Incógnitas pendientes

Evaluación de confianza

• Incidente de ransomware y suspensión de la producción (Alta confianza): Confirmado directamente por las declaraciones reglamentarias oficiales (SEC Formulario 8-K) y los comunicados de prensa corporativos emitidos por The Coca-Cola Company el 16 de julio de 2026.

• Integridad de la calidad e inocuidad del producto (Alta confianza): Confirmado por declaraciones corporativas que verifican que el monitoreo de seguridad y los controles de calidad de los alimentos funcionaron normalmente durante todo el evento.

• Atribución al ransomware Anubis (Confianza media): Basado en las publicaciones de la red oscura del 20 y 21 de julio de 2026. Aunque las afirmaciones de la red oscura suelen ser indicadores fiables de implicación, sigue pendiente la confirmación forense oficial de Coca-Cola o de las fuerzas del orden.

• Mecanismo de interrupción de TI a OT (Alta confianza): Basado en la preservación de los sistemas de inocuidad del producto junto con la pausa en la producción automatizada, lo que apunta a la interrupción de la dependencia de TI de Nivel 3 en lugar de a la destrucción de la capa de control físico.

Las organizaciones de fabricación deben prever que los grupos de ransomware se dirijan cada vez más a los sistemas de soporte de producción (en lugar de intentar el compromiso directo de los controladores industriales). La interrupción del MES, los servicios de identidad, los sistemas de calidad y la logística empresarial a menudo logra el mismo resultado operativo y requiere muchos menos conocimientos especializados sobre los sistemas de control industrial.