Tres preguntas para empezar

¿Qué pasa si el próximo siniestro marine no viene de una tormenta, un incendio o un abordaje, sino de un servidor infectado a tres mil kilómetros del buque? ¿Cuánto vale, en dólares reales, que un contenedor de flores colombianas pase cinco días varado en un patio porque el sistema que coordina las grúas dejó de responder? Y, la más incómoda de todas: ¿está preparado el mercado latinoamericano para tasar un riesgo que no rompe nada, pero detiene todo?

El paper de Weaver, Feddersen, Marla, Wei, Rose y Van Moer (Transportation Research Part C, 2022) no responde con especulación, lo hace con datos reales de Port Everglades ( ubicado en la costa sureste de Florida, en el área metropolitana de Fort Lauderdale), un algoritmo de optimización y una cifra que debería alertarnos a cualquier suscriptor marine en la región: hasta $4.3 millones de dólares en pérdidas por una sola semana de disrupción cibernética en los terminal Operators de un solo puerto mediano.

Antecedentes: qué pasó realmente en Port Everglades (y qué no)

Para ser precisos: Port Everglades no fue víctima de un ciberataque real. Los autores del paper usaron sus datos operativos —horarios de buques, volúmenes de TEU, contratos de demora— como terreno de prueba para simular escenarios de disrupción.

El incidente que sí ocurrió, y que inspiró metodológicamente el estudio, fue el NotPetya contra Maersk en junio de 2017: un ransomware que paralizó los sistemas TOS (Terminal Operating System, gestiona la ubicación de contenedores en el patio) y GOS (Gate Operating System, controla el ingreso y salida de camiones), forzando la reinstalación de 4,000 servidores y 45,000 computadoras en diez días, con un costo estimado de $200 millones. Esa duración —diez días— es la que los autores usaron para calibrar sus escenarios en Port Everglades: la huella de un ataque real trasladada a otro puerto.

Lo que los suscriptores de marine necesitan saber

Primero: el riesgo cyber tiene una lógica propia. Un huracán se modela por proximidad geográfica y estacionalidad; un ciberataque se activa simultáneamente en países distintos —como NotPetya en Maersk— y su disparador es el estado del sistema y sus redes asociadas.

Segundo: no todas las cargas sufren igual. Un retraso de una semana es catastrófico para perecederos y JIT —pérdida total en 3 a 10 días— pero casi irrelevante para materias primas con inventarios de respaldo, que aguantan hasta tres meses. El pricing y el diseño del producto deberían diferenciarse por perfil de carga.

Tercero: la exposición real está concentrada donde menos se mira. Un ataque contra el Terminal Operator —el que controla el tiempo en patio— genera pérdidas de un orden de magnitud superior al Landlord Port ($1.2M–$2.8M frente a $80K–$142K en promedio).

Cuarto, y el que más debería resonar en el mercado: la cláusula más reciente del mercado confirma la brecha, no la cierra. JC2025-026 (28 de octubre de 2025) excluye toda pérdida causada por el uso de un sistema informático como medio para infligir daño (párrafo 1), y solo la rescata con robo físico confirmado. El párrafo 4 suele leerse como “cubre robos facilitados por medios cibernéticos”, pero es una excepción condicionada al cumplimiento simultáneo de tres requisitos:

(1) que la póliza base cubra robo;

(2) que el sistema solo haya “facilitado el acceso” (ej. desactivar una alarma), sin ser el instrumento activo del fraude; y

(3) que un humano intervenga físicamente después para sustraer la mercancía.

Si falta cualquiera, el robo sigue excluido.

Esto deja fuera escenarios comunes en la operación marítima: un desvío electrónico por vehículos autónomos con un contenedor, con manipulación del EDI o del TOS sin intervención física (falla el 3); otro escenario seria entrega de documentación falsa generada por el sistema comprometido, donde este deja de “facilitar acceso” y se vuelve instrumento del fraude (falla el 2); y el clásico entrega con documentos del transportes falso —entrega inducida por credenciales robadas, sin sustracción clandestina— que no encaja en la definición del robo. Los $1.2M–$4.3M en pérdidas por disrupción del TOS que cuantifica el paper nombrado tampoco califican bajo ningún supuesto: son demora por indisponibilidad de los recursos, sin sustracción.

Un mensaje para todos
Este boletín no es un artículo académico: es un mensaje de soporte a la nueva realidad de las cadenas de suministro. Se están investigando el riesgo cibernético en la cadena marítima para que se puede medir.

La pregunta no es si este riesgo llegará a las carteras latinoamericanas — ya está ahí, en cada póliza ICC(A) y ahora también, con la cláusula JC2025-026 amplia de manera mínima la cobertura por eventos cibernéticos. La pregunta es ¿si las aseguradoras van a ocupar ese vacío, tasarlo y ofrecer un producto acorde a las nuevas tecnologías?

Referencias

Weaver, G. A., Feddersen, B., Marla, L., Wei, D., Rose, A., & Van Moer, M. (2022). Estimating economic losses from cyber-attacks on shipping ports: An optimization-based approach. Transportation Research Part C: Emerging Technologies, 137, Article 103423. https://doi.org/10.1016/j.trc.2021.103423

Joint Cargo Committee. (2025, 28 de octubre). Marine cargo cyber exclusion with physical theft confirmation endorsement (JC2025-026). Lloyd’s Market Association.