La filial de Bimbo en Estados Unidos, Bimbo Bakeries USA, confirmó que unos hackers robaron datos de empleados aprovechando una vulnerabilidad de día cero en Oracle E-Business Suite (EBS).
Con ello, la mayor empresa de panificación del mundo se suma a la creciente lista de organizaciones afectadas por la campaña mundial de extorsión del grupo de ransomware Clop contra los clientes de Oracle.
Bimbo Bakeries no ha atribuido públicamente el incidente de ciberseguridad a Clop, no ha revelado cuántas personas se vieron afectadas ni ha confirmado si recibió alguna demanda de extorsión.
En una carta de notificación fechada el 31 de agosto de 2026 y presentada ante la oficina del Fiscal General de California (Estados Unidos) el pasado 4 de septiembre —según los detalles del documento oficial publicado por dicha oficina—, Bimbo Bakeries USA indicó que la brecha de seguridad se originó en un proveedor externo que utilizaba Oracle EBS.
La panificadora declaró que está “revaluando sus relaciones con proveedores” tras el incidente y que ofrece a los afectados 12 meses de servicios gratuitos de monitoreo crediticio —a través de una agencia de crédito— y asistencia contra el fraude mediante la firma Cyberscout.
Índice de temas
Vulnerabilidad de día cero en Oracle EBS afecta a Bimbo
La empresa reveló que el 6 de diciembre de 2025 su investigación determinó que los atacantes habían explotado la vulnerabilidad de día cero para obtener archivos almacenados en la plataforma.
El gigante del pan afirmó que aplicó los parches de emergencia de Oracle tan pronto como tuvo conocimiento del fallo e inició un análisis forense para determinar exactamente qué datos personales habían quedado expuestos.
Dicho análisis llevó meses. No fue hasta el 19 de agosto de 2026 cuando la empresa confirmó que uno de los archivos sustraídos contenía nombres y números de Seguro Social de las víctimas, lo que desencadenó el proceso formal de notificación exigido por las leyes estatales sobre divulgación de brechas de seguridad.
Explotación de la CVE-2025-61882 y el grupo Clop
Aunque la carta de Bimbo Bakeries no especifica el fallo concreto, la cronología y el proveedor coinciden con una campaña ampliamente documentada vinculada a la CVE-2025-61882, una vulnerabilidad crítica de ejecución remota de código sin autenticación en el componente BI Publisher Integration del módulo Concurrent Processing de Oracle EBS.
Con una calificación de 9.8 en la escala CVSS, el fallo permitía a los atacantes ejecutar código arbitrario en servidores EBS no parcheados sin necesidad de credenciales válidas.
Mandiant, empresa propiedad de Google, rastreó la explotación hasta agosto de 2025, semanas antes de que Oracle lanzara un parche de emergencia el 4 de octubre de 2025.
Los investigadores atribuyeron la campaña al grupo de extorsión Clop, que utilizó la vulnerabilidad para robar datos de numerosos clientes de Oracle EBS —incluidos la Universidad de Harvard y The Washington Post— antes de presionar a las víctimas con exigencias de rescate.
La CISA incluyó la vulnerabilidad en su catálogo de vulnerabilidades explotadas conocidas (Known Exploited Vulnerabilities) poco después de que Oracle divulgó la falla.
Medidas de mitigación y recomendaciones de seguridad
Los expertos en seguridad siguen instando a cualquier organización que utilice versiones de Oracle EBS comprendidas entre la 12.2.3 y la 12.2.14 a verificar la aplicación del parche de emergencia de octubre de 2025, auditar los registros en busca de actividad sospechosa en BI Publisher desde mediados de 2025 y renovar las credenciales asociadas a las integraciones de EBS.
Dada la naturaleza sensible de los datos sustraídos, las personas afectadas deben monitorear sus reportes de crédito, activar alertas de fraude y mantenerse alerta ante intentos de phishing que hagan referencia a esta brecha de seguridad.
