Ransomware en Fairlife (Coca-Cola): la producción láctea paralizada

Fairlife, filial láctea de Coca-Cola, detuvo la producción en varias plantas estadounidenses tras un ataque de ransomware. Detalle de los hechos, impacto y lo que revela sobre el nivel de preparación del sector agroalimentario.

Hechos

Qué. Ataque de ransomware en los sistemas informáticos de Fairlife LLC, filial de The Coca-Cola Company especializada en leche ultrafiltrada (marcas fairlife y Core Power). Según The Register (17 de julio de 2026), el incidente desorganizó el embotellado en varios sitios de producción estadounidenses, obligando a Fairlife a ralentizar o incluso suspender algunas líneas.

Quién se ve afectado.

• Fairlife directamente: paradas de producción, pérdidas comerciales, datos potencialmente exfiltrados (el artículo menciona una reclamación clásica de exfiltración por parte del grupo atacante, sin confirmación por el momento).
• Los distribuidores estadounidenses: probable ruptura temporal en algunas referencias.
• Los clientes finales: disponibilidad de productos degradada.

Lo que no está confirmado (a fecha del artículo). La identidad exacta del grupo, el monto del rescate exigido, la naturaleza exacta de los datos robados.

Análisis

El patrón es un clásico de 2024-2026: ya no se atacan a los DSI de bancos blindados, sino a herramientas de negocio menos maduras —en este caso, la cadena de suministro de un industrial agroalimentario—. Este sector acumula dos vulnerabilidades estructurales:

1. Fusión OT/IT mal gestionada. Los sistemas de control industrial (SCADA, MES) suelen estar conectados a la red IT sin una segmentación estricta. Una compromiso en el lado de la oficina se propaga hacia la línea de producción.
2. Margen de tolerancia al paro = cero. Un fabricante de leche no almacena —el producto es perecedero—. Un día de paro significa leche cruda pagada a los ganaderos que se echa a perder. La presión para pagar es, por tanto, más fuerte que en la mayoría de las industrias.

Es exactamente esta relación (impacto operativo inmediato / baja madurez en ciberseguridad) lo que ha hecho, en los últimos años, la fortuna de los grupos de ransomware en JBS Foods (2021), Dole (2023) y ahora Fairlife.

Acciones a realizar ahora

Para un RSSI en el sector agroalimentario o, más ampliamente, en el industrial:

• Segmentar OT/IT con una DMZ industrial (norma IEC 62443, nivel 3+ mínimo en las conexiones).
• Copias de seguridad inmutables y probadas (al menos una copia air-gapped), con un ejercicio de restauración en línea de producción trimestral.
• Plan de continuidad operativa documentado para casos de "sistema informático fuera de línea 72h", no solo para incidentes IT.
• Caza de cuentas de servicio compartidas —es por ahí por donde entran la mayoría de los ransomwares en la industria—.

El incidente de Fairlife no cambiará la doctrina del sector en 48 horas. Pero añade un ejemplo más al expediente que los CISO del sector agroalimentario presentan a sus direcciones para conseguir un presupuesto de ciberseguridad acorde.