Caso MGM: identidad y gobierno de accesos

En septiembre de 2023, MGM Resorts detectó un problema de ciberseguridad en algunos de sus sistemas.

Días después, en Las Vegas había pisos de casino cerrados y huéspedes cuyas llaves de habitación no abrían. El 5 de octubre, la empresa informó a la Comisión de Valores de Estados Unidos (SEC) un impacto negativo de unos 100 millones de dólares en un indicador clave de sus resultados de septiembre [1]. MGM no describió el vector de entrada en su 8-K. Según la prensa, el ataque empezó en una mesa de ayuda; MGM no lo confirmó [4]. Este artículo se concentra en los controles de gobierno aplicables.

Está escrito para quien firma: dirección general, finanzas, operaciones, sistemas. No trae una lista de herramientas. Trae lo que el caso enseña en lenguaje de negocio, tres preguntas para su próximo comité y una idea que conviene llevarse: hoy, la identidad de sus empleados es el perímetro de su empresa.

Una aclaración antes de empezar: Hábil no participó en este caso. Lo contamos con lo que la empresa informó a la SEC, lo que publicaron las autoridades de Estados Unidos y lo que reportó la prensa seria, cada cosa con su fuente. Cuando algo es una afirmación de los atacantes o de una fuente anónima, lo decimos.

Primero, un término

Para que todos en la mesa entiendan lo mismo:

• Proveedor de identidad: el sistema que decide quién es usted cuando entra al correo, al ERP o a la nómina. Ejemplos conocidos: Microsoft Entra ID, Okta, Google Workspace, Keycloak. Su administración requiere controles reforzados.

Diez días de septiembre

Antes: una advertencia que casi nadie leyó como propia

Una guía de Okta de agosto de 2023 recomienda proteger especialmente las cuentas privilegiadas [3]. Esa guía no atribuye el incidente de MGM.

Las fuentes públicas no permiten determinar el vector de MGM. Las atribuciones periodísticas y de atacantes no confirmadas no se usan aquí para reconstruirlo.

Lo que vieron los huéspedes

MGM informó después a la SEC que, en cuanto detectó el problema, apagó sus sistemas para proteger la información de sus clientes, y que eso provocó interrupciones en algunas de sus propiedades [1]. Es una decisión con costo: cortar la luz para que el fuego no llegue a la bodega.

Desde fuera, se vio así. NBC News reportó el 15 de septiembre pisos de casino cerrados, huéspedes que no podían entrar a su habitación con la llave electrónica y empleados sin acceso al correo corporativo [5]. La empresa, mientras tanto, decía que la gran mayoría de sus servicios seguían operando, y después confirmó ante la SEC las interrupciones en algunas propiedades [1].

Al lado, otra casa

Caesars Entertainment, la otra gran operadora de Las Vegas, presentó su propio reporte a la SEC el 14 de septiembre [8]. Ahí dijo algo que conviene leer despacio: detectó actividad sospechosa en su red como resultado de un ataque de ingeniería social a un proveedor externo de soporte de TI que la empresa usaba. El intruso se llevó una copia de su base de datos del programa de lealtad, con números de licencia de conducir o de seguridad social de una cantidad importante de miembros. Su operación de cara al cliente no se interrumpió [8]. (Ingeniería social es el nombre técnico de engañar a una persona para que entregue un acceso.)

Dos empresas, el mismo mes, la misma ciudad. El caso Caesars es distinto y no permite inferir el vector de MGM.

La cuenta

El 5 de octubre de 2023, MGM presentó un Form 8-K, el reporte que las empresas que cotizan en Estados Unidos entregan cuando pasa algo relevante [1]. Lo que dice, en lenguaje de negocio:

• Unos 100 millones de dólares de impacto negativo en septiembre sobre su EBITDAR ajustado por propiedad, el indicador con el que mide la operación de sus resorts, sumando Las Vegas y sus operaciones regionales.
• Menos de 10 millones de gastos únicos en consultoría tecnológica, abogados y otros asesores.
• La ocupación de septiembre fue de 88 %, contra 93 % del año anterior, por la caída de reservas en su sitio y sus aplicaciones.
• Los atacantes obtuvieron datos personales de algunos clientes que hicieron transacciones antes de marzo de 2019: nombre, contacto, fecha de nacimiento, número de licencia de conducir y, para un número limitado, número de seguridad social o de pasaporte.
• La empresa dijo que no creía que se hubieran obtenido contraseñas de clientes, cuentas bancarias ni datos de tarjetas, y que esperaba que su seguro de ciberseguridad fuera suficiente, aunque el alcance completo del costo no estaba determinado. Las dos eran evaluaciones preliminares al 5 de octubre de 2023.

Es decir: aun con una respuesta rápida —apagar a tiempo, proteger lo más sensible, tener un seguro—, el incidente se tradujo en clientes afectados, interrupciones y un impacto estimado en el indicador informado a la SEC.

El epílogo

En julio de 2024, la policía británica, en coordinación con el FBI y la Agencia Nacional contra el Crimen del Reino Unido, detuvo a un joven de 17 años como parte de una investigación global sobre una comunidad de hackeo que había atacado a varias empresas grandes, MGM entre ellas [9]. La investigación siguió. El aviso de CISA y el FBI se actualizó en 2025 porque el grupo que describe seguía cambiando de método [2].

Lo que un director debe llevarse

1. La identidad es el perímetro

Durante años, la seguridad se pensó como una muralla: lo de adentro es confiable, lo de afuera no. Esa muralla se ha ido diluyendo. Sus empleados entran desde casa, desde el teléfono y desde la nube de un tercero; sus proveedores entran a sus sistemas; sus sistemas se hablan entre sí. La red, los equipos y los respaldos siguen importando, pero cada vez más, lo que separa a un intruso de su operación es la pregunta «¿quién es usted?» y lo bien que la contesta su empresa.

En MGM, el vector no fue detallado públicamente en el 8-K; el caso no permite atribuirlo a una llamada ni a un procedimiento concreto.

2. El punto débil es el proceso de excepción, no el de todos los días

Los procesos excepcionales de acceso requieren autorización, evidencia y controles proporcionales al privilegio. Revise que su diseño no dependa de una sola decisión difícil de verificar.

3. El soporte tercerizado exige gobierno

El 8-K de Caesars confirma un caso distinto en un proveedor [8]. Si tercerizó soporte, revise contrato, procedimiento y evidencia sin inferir el vector de MGM.

4. Apagar a tiempo cuesta, pero no saber quién entró cuesta más

MGM apagó y aun así estimó un impacto negativo de unos 100 millones de dólares en un indicador clave de un solo mes [1]. Ahora imagine el escenario contrario: no saber qué cuentas se usaron, a qué entraron y desde cuándo. Un rastro suficiente de cuentas, accesos y tiempos ayuda a acotar un incidente y a responder ante auditoría, reguladores y clientes. La evidencia de quién entró a qué no es solo un requisito de auditoría: es lo que ayuda a saber cuándo dejar de apagar.

5. La cifra que importa no es la del ataque

Nadie puede prometerle que no lo van a atacar. Lo que sí se puede gobernar es cuánto daño hace un incidente. Tres palancas de gobierno: controles reforzados para excepciones privilegiadas, acceso mínimo y registros consultables de accesos y cambios de permisos.

Ninguna de las tres es un producto que se compra y se instala. Las tres son decisiones de diseño que alguien con autoridad tiene que tomar y sostener.

Lo que este caso no dice

Para no sacar conclusiones de más:

• No dice que el proveedor de identidad haya fallado. El 8-K de MGM no permite concluir que fallara un proveedor de identidad ni identificar el procedimiento de acceso.
• No dice que la capacitación sea inútil. CISA y el FBI la siguen recomendando [2]. Dice que no basta: un procedimiento que descansa en que una sola persona detecte una mentira bien contada, bajo presión, concentra el riesgo; por eso conviene sumarle controles que se puedan comprobar.
• No dice que a usted no le pase por ser más chico. Las empresas de cualquier tamaño deben gobernar sus excepciones de acceso.

Tres preguntas para su próximo comité

1. ¿Cómo se autorizan, documentan y revisan las excepciones de acceso, especialmente las de mayor privilegio y las realizadas por terceros?
2. ¿Nuestro proveedor de soporte sigue el mismo procedimiento que exigiríamos a nuestro personal, y cómo lo comprobamos?
3. Si hoy sospecháramos que una cuenta fue robada, ¿cuánto tardaríamos en saber a qué entró y desde cuándo? ¿Horas, días o semanas?

Si alguna respuesta es «no sé» o «depende de quién conteste», el comité ya tiene un tema que asignar: un dueño, una fecha de revisión y la evidencia que espera ver.

Por dónde empezar esta semana

Pida a su área de sistemas el procedimiento escrito de excepciones de acceso, el que de verdad se usa, no el del manual. Verifique que el procedimiento tenga dueño, autorización reforzada para privilegios y evidencia revisable. Después pida la lista de cuentas con privilegios de administrador en su proveedor de identidad. Si la lista es más larga de lo que esperaba, ya tiene su primer hallazgo.

Qué hace Hábil

Hábil es una consultora mexicana de ingeniería, fundada en 2006, que conecta los sistemas de su empresa a una sola identidad corporativa, con los permisos de cada persona y un rastro de cada acceso. Trabajamos con el proveedor de identidad que usted ya tiene —Microsoft Entra ID, Okta, Google o Keycloak, entre otros— y lo conectamos un sistema a la vez, empezando por el de mayor riesgo, para no interrumpir a quien ya trabaja.

En lo que este caso enseña, eso se traduce en tres cosas: controles reforzados para excepciones de acceso, sobre todo para las cuentas con más poder; acceso mínimo para cada persona, socio y proveedor; y un registro consultable de quién entró a qué y de cada cambio de permisos, para Seguridad y Auditoría. Vea la página Controlar quién entra.

En una primera conversación, su Dirección, Sistemas y Seguridad pueden salir con cuatro cosas claras: qué procesos de acceso requieren más control, qué cuentas necesitan un trato reforzado, qué evidencia le falta para responderle a Auditoría y cuál sería un siguiente paso acotado.

Pida su primera conversación, sin costo. Usted se lleva esa revisión de accesos. Escríbanos por WhatsApp.

Preguntas frecuentes

¿Qué pasó en MGM Resorts en septiembre de 2023?

MGM detectó un problema de ciberseguridad en algunos de sus sistemas de Estados Unidos y los apagó para proteger la información de sus clientes, lo que interrumpió parte de su operación. El 8-K no detalla el mecanismo de entrada. La empresa informó a la SEC un impacto negativo de unos 100 millones de dólares en su EBITDAR ajustado por propiedad de septiembre [1].

¿Qué impacto financiero informó MGM?

Según su Form 8-K del 5 de octubre de 2023: unos 100 millones de dólares de impacto negativo en septiembre sobre su EBITDAR ajustado por propiedad, más menos de 10 millones en gastos únicos de consultoría, abogados y asesores. No es una pérdida neta ni un costo total, aunque la prensa lo resumió como un golpe de 100 millones [7]. La empresa esperaba que su seguro fuera suficiente, sin haber determinado aún el costo total [1].

¿Quién es Scattered Spider?

Es el nombre con el que la industria y las autoridades de Estados Unidos identifican a un grupo criminal que, según el aviso conjunto de CISA y el FBI, ataca a grandes empresas haciéndose pasar por empleados o por personal de TI [2]. El 8-K de MGM no atribuye el incidente a ese grupo.

¿Un segundo factor no evitaba esto?

Los controles de identidad deben incluir un proceso de excepción gobernado; el 8-K de MGM no permite concluir qué control faltó.

¿Esto aplica a una empresa mexicana que no cotiza en bolsa?

La obligación de reportar puede variar; la necesidad de gobernar excepciones de acceso aplica también fuera de las empresas cotizadas. Las preguntas para el comité de este artículo sirven igual para una empresa que cotiza que para una que no.

¿Hábil participó en el caso MGM?

No. Este artículo se basa solo en fuentes públicas: los reportes de MGM y Caesars ante la SEC, los avisos de CISA, el FBI y Okta, y la prensa citada en las referencias.

Fuentes consultadas el 20 de octubre de 2026. Las citas están traducidas del inglés. Las afirmaciones de los atacantes y de fuentes anónimas se señalan como tales en el texto.