Hasbro hackeado: el propietario de Peppa Pig y Transformers advierte de semanas de interrupciones

      En algún lugar de la red de Hasbro, alguien estaba donde no debería haber estado. El conglomerado de juguetes y entretenimiento de 14.4 mil millones de dólares, propietario de Peppa Pig, Transformers, Monopoly, Dungeons & Dragons, Nerf, Play-Doh y Power Rangers, reveló el miércoles que había identificado acceso no autorizado a sus sistemas, una intrusión detectada por primera vez el 28 de marzo que desde entonces ha obligado a la empresa a desconectar partes de su infraestructura y advertir que las entregas de productos podrían retrasarse durante semanas.

      La divulgación se realizó a través de un formulario 8-K presentado ante la Comisión de Bolsa y Valores de EE. UU., el mecanismo obligatorio por el cual las empresas que cotizan en bolsa informan sobre incidentes de ciberseguridad materiales. Hasbro dijo que había activado sus protocolos de respuesta a incidentes de seguridad, contratado a profesionales de ciberseguridad de terceros e implementado medidas de contención. Un portavoz dijo a la BBC que la empresa había "tomado medidas rápidas para proteger nuestros sistemas y datos", pero ni el formulario ni el portavoz abordaron la naturaleza del ataque, si los intrusos habían hecho contacto o si los datos de los clientes habían sido comprometidos.

      Partes del propio sitio web de Hasbro y los de sus marcas individuales mostraban mensajes de error el miércoles por la tarde. TechCrunch confirmó que los sitios de la empresa parecían estar caídos al ser revisados. El lenguaje del formulario de la SEC, que señala que Hasbro está continuando "implementando medidas para asegurar sus operaciones comerciales", sugiere que los atacantes pueden no haber sido completamente expulsados de la red. La empresa dijo que había puesto en marcha planes de continuidad del negocio para seguir tomando pedidos y enviando productos, pero añadió que estas medidas provisionales "pueden continuar durante varias semanas antes de que la situación se resuelva por completo y pueden resultar en algunos retrasos".

      Hasbro se negó a responder preguntas de TechCrunch sobre si el incidente involucraba ransomware, el tipo de ataque que ha definido el panorama de amenazas corporativas en los últimos dos años. La portavoz de la empresa, Andrea Snyder, reiteró el lenguaje del formulario de la SEC sin elaborar. La investigación, dijo Hasbro, está en curso, con la empresa trabajando para determinar el alcance total de la violación y revisar los archivos potencialmente afectados antes de proporcionar cualquier notificación legalmente requerida.

      El momento es conspicuo. Hasbro está saliendo de su año financiero más fuerte en algún tiempo, con ingresos de 4.7 mil millones de dólares en 2025, un aumento del 14 por ciento impulsado por un crecimiento récord en el segmento de Wizards of the Coast y Juegos Digitales, donde los ingresos de Magic: The Gathering aumentaron un 23 por ciento gracias a su set de crossover de Final Fantasy. La empresa había pronosticado un aumento adicional de ingresos del 3 al 5 por ciento en 2026. Una interrupción prolongada de los sistemas durante un período de impulso operativo es precisamente el tipo de disrupción que las grandes empresas han luchado por absorber con gracia, particularmente cuando la duración de la recuperación sigue siendo incierta.

      La violación se produce en un entorno corporativo que se ha vuelto inquietantemente familiar con ataques de este tipo. Alrededor de la Pascua de 2025, una ola coordinada de intrusiones golpeó a varios de los minoristas más grandes de Gran Bretaña: Marks & Spencer perdió un estimado de 300 millones de libras después de que sus servicios en línea se cerraran durante dos meses, el Co-op vio datos robados de todos sus 6.5 millones de miembros a un costo estimado de 100 millones de libras, y Harrods sufrió aproximadamente 30 millones de libras en interrupciones. Más tarde en el año, Jaguar Land Rover fue atacada en lo que el Centro de Monitoreo Cibernético llamó el evento cibernético más dañino financieramente en la historia del Reino Unido, con la producción detenida en sus fábricas durante cinco semanas y el costo económico total estimado en 1.9 mil millones de libras.

      El patrón se extendió más allá del Reino Unido. El gigante cervecero japonés Asahi fue golpeado por un ataque de ransomware en septiembre de 2025 que obligó a la empresa a volver al papel y lápiz, expuso los datos personales de aproximadamente 1.9 millones de individuos y causó interrupciones operativas que se extendieron hasta 2026. El grupo de ransomware Qilin se atribuyó la responsabilidad. Los ataques de ransomware globales aumentaron un 32 por ciento en 2025, según la telemetría de la industria, con los fabricantes emergiendo como el sector más atacado. Sin embargo, el costo promedio de una violación de datos cayó a 4.44 millones de dólares en 2025, una disminución del 9 por ciento que IBM atribuyó en gran medida a las organizaciones que implementan detección asistida por IA y respuesta automatizada, una capacidad que sigue estando desigualmente distribuida entre las industrias.

      Para una empresa como Hasbro, cuyo negocio principal son los productos físicos y la concesión de licencias de entretenimiento en lugar de la tecnología, la postura de ciberseguridad es inherentemente diferente a la de una empresa de software o un banco. Las empresas de juguetes manejan datos de consumidores, sistemas de logística de la cadena de suministro y bóvedas de propiedad intelectual que cubren algunas de las marcas más reconocibles del mundo, pero no suelen estar dotadas de personal o presupuesto para el tipo de presión adversarial que los especialistas en ciberseguridad advierten cada vez más que se avecina para todos los sectores. Las reglas de divulgación de ciberseguridad de la SEC, que entraron en vigor a finales de 2023 y requieren que las empresas informen sobre incidentes materiales dentro de cuatro días hábiles, han asegurado al menos que violaciones como la de Hasbro lleguen a la vista pública más rápido de lo que lo habrían hecho antes.

      Lo que sigue siendo desconocido es si la violación de Hasbro seguirá el patrón de los ataques minoristas del Reino Unido: semanas de interrupción, un costo financiero sustancial y, eventualmente, un regreso a las operaciones normales, o si resultará ser más severa. El lenguaje cauteloso del formulario de la SEC sobre "la posibilidad de que los esfuerzos de contención y remediación de la Compañía puedan no tener éxito" es una cobertura legal estándar, pero también refleja una realidad que tanto los reguladores como las empresas están aprendiendo a navegar: en una red corporativa moderna, saber que alguien entró es la parte fácil. Saber qué tomaron, qué dejaron atrás y si realmente se han ido es el trabajo de semanas, a veces meses.

      El negocio de 103 años de Hasbro ha sobrevivido guerras mundiales, recesiones y la disrupción digital de la industria del juguete. Si mirará hacia atrás en esta semana como una nota al pie o un punto de inflexión depende de respuestas que la empresa aún no tiene.