El pasado 16 de julio, Coca-Cola reveló ante la SEC que un tercero no autorizado accedió a sistemas de Fairlife, su filial de lácteos y bebidas proteicas, en lo que la compañía describió como un evento de ransomware. El grupo de extorsión Anubis se atribuyó el ataque el 20 de julio al incluir a Fairlife en su portal de filtraciones, asegurando haber cifrado sistemas de virtualización Nutanix y robado alrededor de 1 TB de datos internos. El impacto fue inmediato: Coca-Cola tuvo que suspender la producción de Fairlife en Estados Unidos, aunque mantuvo operativa su planta en Canadá. La compañía afirma que la calidad y seguridad de sus productos no se vieron comprometidas, pero reconoce que el alcance completo del incidente todavía está bajo investigación.
Cómo ocurrió el ataque
Anubis opera bajo el modelo de ransomware como servicio (RaaS) desde finales de 2024 y se ha consolidado como un actor que combina cifrado de archivos con exfiltración de datos, una táctica de doble extorsión pensada para maximizar la presión sobre la víctima: si no pagas por el descifrado, pagas para evitar la publicación de tu información. Según su propia reclamación, el grupo comprometió infraestructura de virtualización (Nutanix) antes de moverse hacia sistemas relacionados con producción, un patrón consistente con acceso inicial no autenticado o mediante credenciales comprometidas (T1078 de MITRE ATT&CK), seguido de movimiento lateral hacia entornos operativos e impacto sobre disponibilidad (T1486, Data Encrypted for Impact) y exfiltración de datos (TA0010). Coca-Cola no ha detallado públicamente el vector de acceso inicial y la investigación forense continúa en curso.
Por qué importa
Este incidente confirma algo que venimos señalando de forma recurrente: el ransomware ya no distingue entre matriz y filial. Fairlife es una subsidiaria, pero su compromiso fue suficiente para detener producción física en un mercado completo y generar una divulgación material ante un regulador bursátil. Para empresas en LATAM con estructuras corporativas complejas —grupos con múltiples subsidiarias, plantas o marcas bajo un mismo paraguas—, la lección es directa: un entorno aparentemente periférico, como la infraestructura de virtualización de una filial, puede convertirse en el punto de entrada que interrumpe toda una cadena de producción. La dependencia de sistemas de virtualización centralizados (como Nutanix) también expone un riesgo de concentración: comprometer una sola capa de infraestructura puede tener efectos en cascada sobre múltiples sistemas productivos.
Qué puedes hacer
- Evalúa la seguridad de tu infraestructura de virtualización y de tus filiales. Un ejercicio de pentesting con dAttack identifica si tus entornos Nutanix, VMware o similares son un punto único de falla explotable.
- Formaliza la gobernanza de seguridad a nivel de grupo corporativo. Marcos como ISO 27001, que impulsamos con dStandard, exigen que la gestión de riesgo cubra a todas las subsidiarias y no solo a la matriz.
- Detecta el cifrado y la exfiltración antes de que detengan tu operación. Un dSOC con monitoreo 24/7 identifica actividad anómala en infraestructura crítica antes de que un grupo como Anubis complete su cadena de ataque.
En Delta Protect acompañamos a empresas y grupos corporativos en LATAM a blindar cada eslabón de su operación —matriz, filiales y proveedores— frente a amenazas de ransomware cada vez más sofisticadas.
