Clorox demanda por 380 millones de dólares a su proveedor por regalarle las contraseñas a los hackers
Clorox demandó a Cognizant por 380 millones de dólares, acusando a sus agentes de entregar contraseñas críticas a ciberdelincuentes sin verificar su identidad en 2023.
El gigante de productos de limpieza, Clorox, ha decidido llevar a los tribunales una de las disputas contractuales y tecnológicas más costosas de los últimos años. La firma presentó una demanda por 380 millones de dólares contra su histórico proveedor de servicios informáticos, Cognizant, acusándolo formalmente de negligencia grave al haber permitido que un grupo de ciberdelincuentes vulnerara sus sistemas corporativos y paralizara su cadena de producción global durante meses.
El origen del desastre informático se remonta a agosto de 2023, cuando un atacante presuntamente vinculado al grupo delictivo Scattered Spider ejecutó una campaña de ingeniería social básica. El hacker llamó por teléfono al centro de asistencia técnica operado por Cognizant haciéndose pasar por un empleado legítimo de Clorox que supuestamente había sido bloqueado del sistema. De acuerdo con la transcripción de las llamadas incluida en la querella judicial, el agente de soporte técnico ignoró los protocolos obligatorios de verificación de identidad y procedió a restablecer los accesos de inmediato, entregándole literalmente las llaves de la red corporativa al intruso.
Clorox argumenta que la firma externa no utilizó la herramienta interna de autenticación MyID ni requirió los pasos de respaldo indispensables en caso de fallas —como validar el nombre del gerente directo del usuario o enviar correos de confirmación simultáneos—.
Para la marca de desinfectantes, las omisiones de Cognizant no solo facilitaron la brecha inicial, sino que su deficiente plan de respuesta ante incidentes y recuperación ante desastres retrasó la contención del ataque, elevando los costos de remediación técnica a 49 millones de dólares y provocando cientos de millones en pérdidas por desabasto en el mercado.
Por su parte, Cognizant ha rechazado categóricamente las acusaciones, afirmando ante la prensa y los tribunales que su contrato se limitaba a servicios básicos de soporte técnico y no a la gestión integral de la ciberseguridad. La proveedora calificó como “sorprendente” que una multinacional del tamaño de Clorox tuviera defensas internas tan ineficaces para mitigar una intrusión de esta naturaleza.
A pesar de los señalamientos mutuos, expertos del sector como Rom Camel e investigadores de Greyhound Research apuntan a que el caso redefine la responsabilidad legal de los proveedores de TI, demostrando que en la era de la nube, la confianza ciega y el error humano en las mesas de ayuda siguen siendo el eslabón más débil de la infraestructura crítica corporativa.
