Coca-Cola rechazó pagar el rescate. El 16 de julio de 2026, según la divulgación de Coca-Cola ante la SEC, un ataque de ransomware había parado la producción de Fairlife, su subsidiaria de lácteos. Cuatro plantas en Estados Unidos. Once días de operaciones interrumpidas. Cuatro días después, según el grupo Anubis, Fairlife fue listada en su leak site: el grupo afirmó haber robado 1 terabyte de datos y cifrado toda la infraestructura Nutanix, con plazo fijado para el 27 de julio. Coca-Cola no negoció, reportó a las autoridades y, el 27 de julio, Anubis publicó los datos. Analizamos el caso y la señal es clara: la decisión de Coca-Cola fue racional, y el motivo es un parámetro llamado /WIPEMODE.
El /WIPEMODE: por qué pagar el rescate es una apuesta perdida
Anubis ofrece un modo operativo que pocos ransomwares tienen: un parámetro llamado /WIPEMODE. Cuando se activa, el contenido de los archivos se pone en cero permanentemente. Los nombres permanecen. La estructura de carpetas permanece. Pero el contenido se convierte en cero bytes. Recuperación imposible. Aunque usted pague.
Pagar el rescate no garantiza nada. Es una apuesta contra un grupo que ofrece un wiper destructivo como feature. No hay garantía de que el atacante desactive el /WIPEMODE después del pago. No hay forma de probar que no fue ejecutado antes de la negociación. La decisión de Coca-Cola de rechazar el rescate, según la orientación del FBI y de la CISA, fue la decisión correcta, no la decisión barata. Once días de producción. Datos publicados. Reputación en juego.
Anubis: origen, operación y por qué Fairlife estaba fuera del patrón
Anubis surgió en diciembre de 2024 como rebrand del Sphinx ransomware, según inteligencia de amenazas reportada. Operación RaaS, división 80/20, reclutamiento en foros rusoparlantes. 83 víctimas listadas en su leak site. Sector principal: salud. Fairlife estaba fuera del patrón habitual: food and agriculture no es el foco del grupo, lo que convierte el ataque en una señal de expansión de objetivos.
El vector probable fue CitrixBleed 2, CVE-2025-5777, una vulnerabilidad en el Citrix NetScaler que filtra session tokens de la memoria. El atacante reproduce el token y entra como usuario autenticado. Sin contraseña. Sin MFA. Sin phishing. El parche era gratuito, disponible desde hacía meses. Coca-Cola no confirmó el vector públicamente. Pero el patrón es consistente con la kill chain de Anubis: acceso inicial vía session token robado, lateral movement limitada, objetivo en el ERP de agendamiento.
La cadena de frío como objetivo: los perecederos tienen fecha límite
El ataque a Fairlife es parte de una serie. Es el 205º ataque de ransomware al sector de food and agriculture en 2026, según datos reportados del sector. La industria de alimentos es el séptimo sector más atacado en volumen. Pero top 3 en impacto sistémico.
La historia se repite. JBS pagó 11 millones de dólares en 2021; el veinte por ciento de la capacidad de carne de Estados Unidos quedó offline. Dole paró operaciones en Norteamérica en 2023. Nichirei, en Japón, tuvo 140 centros de distribución refrigerada offline en julio de 2026, y KFC Japan se quedó sin pollo.
La cadena de frío es un objetivo atractivo por una razón simple: los perecederos tienen fecha límite. Según datos reportados de la industria, una hora de downtime en una planta de food and beverage cuesta en promedio 1 millón de dólares. Márgenes operativos de 1,6%. El reloj juega a favor del atacante. Cada hora de negociación es una hora de producto perdida, y el atacante lo sabe.
El diagnóstico de Tech86: SCADA, FSMA y remote connectivity
Cuando Tech86 evalúa infraestructura de clientes en la industria de alimentos, el diagnóstico es recurrente. Sistemas SCADA con 15 años de antigüedad en la misma VLAN que la oficina. Evidencia de temperatura, que es regulatoria bajo FSMA, almacenada en sistemas sin copias de seguridad probadas. Remote connectivity habilitada en cold storage sin segmentación.
El objetivo probable del ataque a Fairlife fue el ERP de agendamiento. El SCADA permaneció intacto. La producción se detuvo porque la regulación exige la parada cuando la integridad del agendamiento se ve comprometida. Eso es lo que hace diferente el ransomware en la cadena de frío del ransomware en otros sectores: no hace falta cifrar el SCADA para detener la producción. Basta comprometer el sistema que agenda lo que entra y lo que sale.
Conclusión: el próximo ataque a la cadena de frío es una cuestión de cuándo
Coca-Cola tomó la decisión correcta. Rechazar el rescate es la orientación del FBI y de la CISA. Pero la decisión correcta no significa la decisión barata. Once días de producción. Datos publicados. Reputación en juego. El próximo ataque a la cadena de frío es una cuestión de cuándo.
En Tech86 ayudamos a empresas de la industria de alimentos a segregar SCADA de las redes corporativas, aplicar parches a vectores conocidos como CitrixBleed 2, probar copias de seguridad para evidencia regulatoria y deshabilitar remote connectivity en cold storage por defecto. El /WIPEMODE cambió el cálculo del rescate: pagar ya no es una opción de fallback, es una apuesta contra un wiper que no tiene workaround.