Maersk 2017: cuando un ciberataque detuvo el transporte marítimo mundial

Situación

Es junio de 2017. A.P. Møller-Maersk, la mayor empresa de transporte de contenedores del mundo, que transporta una gran parte del comercio marítimo global, es golpeada por NotPetya, uno de los ciberataques más destructivos de la historia.

NotPetya se hacía pasar por ransomware, pero en realidad era un "borrador": no bloqueaba los archivos para extorsionar un pago, los destruía de forma irrecuperable y se propagaba de forma automática y explosiva por las redes. Maersk ni siquiera era el objetivo; fue daño colateral de un ataque vinculado a un Estado y dirigido a Ucrania (entregado a través de un software fiscal ucraniano comprometido). Pero el efecto en Maersk fue total. En cuestión de horas, prácticamente todas las máquinas con Windows de las operaciones globales de Maersk se apagaron.

Las consecuencias se encadenaron al instante:

• Los sistemas para reservar carga, operar terminales portuarias, rastrear contenedores y coordinar barcos desaparecieron.
• En las principales terminales del mundo, las puertas se congelaron y los camiones se acumularon; los contenedores no se podían procesar.
• Una empresa que mueve una fracción significativa de las mercancías del mundo de repente no tenía ninguna TI funcionando.

No es solo una crisis de TI corporativa: es un golpe a una pieza de infraestructura global crítica, con efectos en cadena en incontables cadenas de suministro.

El momento de la decisión

Es junio-julio de 2017, en pleno ataque. La dirección de Maersk enfrenta decisiones simultáneas:

1. Improvisar para mantener la carga en movimiento + reconstruir rápido la TI desde cero + ser radicalmente transparente. Volcarlo todo en mantener los puertos y los barcos operando físicamente con soluciones manuales y pura improvisación humana (papel, teléfonos, WhatsApp, dispositivos personales), mientras se monta un esfuerzo total para reconstruir en días toda la infraestructura global de TI, y comunicar abiertamente a los clientes y al público lo que pasó y los tiempos de recuperación. Doloroso y expone a la empresa, pero preserva la confianza, mantiene viva la red física y trata la brecha como un problema de resiliencia que se resuelve a la vista de todos.
2. Minimizar y ocultar el ataque. Reducir al mínimo la revelación pública para proteger la marca y no asustar a los clientes ni a los mercados, mientras se reconstruye en silencio. Protege la imagen de corto plazo, pero en una crisis que afecta al comercio global, la opacidad erosiona la confianza rápido, deja a los clientes a ciegas y se ve mucho peor si la escala se filtra de todos modos.
3. Esperar a una restauración limpia antes de reanudar. Detener las operaciones hasta que la TI esté bien reconstruida y verificada, priorizando un reinicio seguro por encima de uno caótico e improvisado. Más limpio, pero en el transporte marítimo detenerse es catastrófico: los barcos y la carga no pueden simplemente pausarse; la red física tiene que seguir moviéndose aunque sea sobre rieles manuales.

Tú eres Søren Skou y la dirección de Maersk.

Datos clave (como referencia)

Frameworks que se aplican

• El riesgo cibernético como punto único de falla. Una infraestructura de TI homogénea e interconectada (todo Windows, red plana) significó que un solo borrador que se propaga solo pudiera tumbar todo a la vez. La vulnerabilidad no era ninguna máquina débil en particular: era la falta de segmentación y el monocultivo que dejaron que el radio de la explosión se volviera global. La resiliencia exige suponer que habrá una brecha y limitar el radio de la explosión, no solo evitar la intrusión.
• La capacidad de recuperación por encima de la prevención. No puedes evitar todos los ataques, sobre todo el daño colateral de un borrador de nivel estatal. Lo que te salva es qué tan rápido puedes recuperarte: respaldos, redundancia y la capacidad de reconstruir. Es famoso que la recuperación de Maersk dependió de un solo controlador de dominio que sobrevivió por suerte (desconectado en Ghana durante un apagón), un casi desastre que subraya qué tan delgado era el margen, y por qué importa una capacidad de recuperación deliberada y probada.
• Continuidad operativa / respaldo manual. Cuando la capa digital desaparece, el negocio físico tiene que seguir funcionando. La gente de Maersk improvisó con teléfonos, papel y dispositivos personales para mantener en movimiento los puertos y los barcos. La lección: las operaciones críticas necesitan un plan de modo degradado para que la empresa sobreviva sin ningún sistema, aunque sea de forma ineficiente.
• Transparencia en la crisis. Maersk eligió ser inusualmente abierta sobre el ataque y la recuperación. Para la infraestructura crítica, la franqueza preserva la confianza, ayuda a los clientes a planear y convierte un evento humillante en uno que construye credibilidad (e incluso educa a la industria). Ocultarlo, en cambio, agrava el daño reputacional cuando sale la verdad.

Preguntas para la discusión

1. La recuperación de Maersk dependió en parte de un solo servidor que sobrevivió por pura suerte. ¿Qué dice eso sobre la diferencia entre una empresa que evitó el desastre y una que solo se libró de él, y cómo eliminas esa suerte con ingeniería?
2. La vulnerabilidad era una infraestructura de TI homogénea y plana. ¿Por qué la eficiencia y la estandarización (un solo sistema operativo, una sola red) tan a menudo chocan con la resiliencia, y cómo debería equilibrarlas una empresa?
3. Maersk eligió la transparencia sobre un ataque profundamente vergonzoso. ¿Cuándo la apertura sobre una brecha es la decisión correcta, y cuándo revelarla podría hacer más daño que bien?
4. Las operaciones críticas siguieron funcionando con soluciones manuales. ¿Cuánto debería invertir una empresa en la continuidad en "modo degradado" para un evento que quizá nunca ocurra?
5. NotPetya fue daño colateral: Maersk ni siquiera era el objetivo. ¿Cómo deberían pensar las empresas en un riesgo cibernético sistémico, impulsado por la geopolítica, que no provocaron y no pueden controlar?

El desenlace real (se revela al final de la sesión)

Junio-julio de 2017: NotPetya borra en horas prácticamente todos los sistemas Windows globales de Maersk. Las terminales se paralizan; la empresa que mueve una fracción del comercio mundial opera a ciegas. La respuesta de Maersk se vuelve un caso de estudio célebre de resiliencia:

• La improvisación manual mantiene en movimiento físico una cantidad notable de carga; el personal se coordina por teléfono, WhatsApp y papel.
• Una reconstrucción total de la TI rehace unos 4,000 servidores y decenas de miles de dispositivos en unos diez días. De manera crucial, la recuperación dependió de un solo controlador de dominio que por casualidad estaba desconectado (en Ghana, durante un apagón) y por eso sobrevivió para servir de semilla a la reconstrucción, un golpe de suerte que Maersk reconoció abiertamente.
• La dirección eligió la transparencia y comunicó abiertamente el ataque y la recuperación.

El episodio le costó a Maersk un estimado de $250-300 millones y, junto con el evento NotPetya en general (uno de los ciberataques más costosos de la historia), se volvió una lección definitoria de ciberresiliencia para las empresas globales. Maersk renovó su TI para lograr segmentación, redundancia y capacidad de recuperación.

La lección: En el riesgo cibernético, la prevención es necesaria pero insuficiente: la capacidad de recuperación es lo que te salva. Maersk no podía evitar ser daño colateral de un ataque de borrado de nivel estatal, y su supervivencia dependió en parte de la suerte (un solo servidor sobreviviente). Las lecciones duraderas son estructurales: una infraestructura de TI estandarizada, plana e interconectada maximiza la eficiencia y el radio de la explosión, así que la resiliencia exige segmentación y respaldos probados; las operaciones críticas necesitan un modo degradado manual para que el negocio físico sobreviva sin ningún sistema; y la transparencia convierte una brecha humillante en confianza preservada. Las empresas que sobreviven a ciberataques catastróficos no son las que nunca reciben un golpe: son las que pueden reconstruir rápido y mantener girando las ruedas físicas mientras lo hacen.

Fuentes

• Andy Greenberg, Sandworm (2019), el relato definitivo de NotPetya y la recuperación de Maersk.
• Revelaciones de Maersk y A.P. Møller-Maersk y charlas de sus ejecutivos sobre la recuperación de NotPetya.
• Cobertura del ataque NotPetya de 2017 en Wired, Reuters y el Financial Times.
• Análisis del costo global total de NotPetya y de las lecciones de ciberresiliencia.