Muchas plantas industriales continúan dependiendo de sistemas de tecnología operacional (operational technology u OT) que llevan décadas en funcionamiento. Su fiabilidad, el elevado coste de detener las líneas de producción y la dificultad de sustituir equipos profundamente integrados en los procesos han favorecido que estas infraestructuras permanezcan durante años sin grandes modificaciones, incluso cuando ya utilizan sistemas operativos obsoletos o han dejado de recibir soporte del fabricante.

Esta situación está generando lo que las principales agencias internacionales de ciberseguridad denominan “obsolescencia autoestablecida”: equipos que se mantienen en funcionamiento porque siguen cumpliendo correctamente su función operativa, pero que cada vez resultan más difíciles de actualizar, sustituir y proteger. ESET, compañía líder en ciberseguridad, advierte de que esta aparente estabilidad puede generar una falsa sensación de seguridad y convertir estos sistemas en uno de los principales puntos ciegos de las organizaciones industriales.

“Durante años, los sistemas de control industrial funcionaron de forma aislada de las redes corporativas y de internet. Los protocolos industriales apenas incorporaban medidas de seguridad, pero este hecho no suponía necesariamente un riesgo significativo mientras los equipos permanecieran desconectados de cualquier entorno externo”, señala Josep Albors, responsable de investigación y concienciación de ESET España. “Sin embargo, la digitalización de la industria y la progresiva convergencia entre las tecnologías de la información y las tecnologías operacionales han cambiado por completo este escenario”.

Amenazas capaces de afectar a procesos físicos

La conexión de los sistemas de producción con las redes empresariales permite optimizar procesos, realizar tareas de mantenimiento remoto y obtener información en tiempo real, pero también expone carencias como mecanismos de autenticación débiles, una capacidad limitada para registrar la actividad, configuraciones inseguras por defecto o procesos de actualización que requieren costosas interrupciones de la producción.

Los grupos de ransomware son conscientes de esta dependencia de la continuidad operativa. Algunos están desarrollando capacidades específicas para entornos OT y ajustan sus exigencias económicas al impacto que tendría mantener paralizada una planta. Al mismo tiempo, los contratos con proveedores, las aseguradoras y normativas como la Directiva NIS2 están aumentando la presión sobre las organizaciones para que demuestren que cuentan con controles capaces de proteger también sus sistemas industriales heredados.

Los investigadores de ESET han analizado durante años algunas de las amenazas más relevantes contra infraestructuras críticas y entornos industriales. Entre ellas se encuentra BlackEnergy, relacionada con el apagón que dejó sin electricidad a aproximadamente 230.000 personas en Ucrania durante varias horas en 2015; GreyEnergy, considerada su sucesora; e Industroyer, un malware altamente adaptable capaz de comunicarse mediante varios de los protocolos utilizados en infraestructuras críticas de todo el mundo y que provocó un apagón en Kiev en 2016. En 2022, se descubrió la versión renovada Industroyer2.

Casi seis de cada diez ataques a entornos OT comienzan en las redes corporativas

Según datos del SANS Institute recogidos por ESET, cerca del 60% de los ataques contra entornos OT en distintos sectores se originan en compromisos previos de las infraestructuras corporativas de TI. Además, el 22% de las organizaciones pertenecientes a industrias esenciales afirmó haber sufrido algún incidente de ciberseguridad durante el último año. De estos ataques, el 40% provocó interrupciones operativas y casi uno de cada cinco necesitó más de un mes para ser completamente solucionado.

Esta dependencia entre los entornos de TI y OT implica que, en muchos casos, los ciberdelincuentes no necesitan atacar directamente la maquinaria industrial. Infiltrarse en la red corporativa, comprometer credenciales o acceder a los sistemas de gestión puede ser suficiente para afectar posteriormente a las operaciones físicas.

Las consecuencias pueden extenderse también más allá de la organización atacada. Las cadenas de suministro industriales funcionan habitualmente con calendarios ajustados y escaso margen para los retrasos. La interrupción de un único proveedor sujeto a compromisos de entrega just in time puede desencadenar problemas de producción en numerosas empresas.

Cinco medidas para proteger los sistemas industriales heredados

ESET señala que no existe una única estrategia válida para todos los entornos industriales, ya que la arquitectura, los requisitos operativos y el nivel de aislamiento varían considerablemente entre organizaciones. No obstante, recomienda comenzar por cinco ámbitos fundamentales:

1. Crear un inventario completo de los activos: Las organizaciones deben identificar qué sistemas están conectados, cuáles carecen de protección, qué equipos han dejado de recibir soporte y en qué puntos se cruzan las redes de TI y OT.
2. Mejorar la visibilidad de la red: Es necesario detectar segmentos no supervisados, conexiones remotas, dispositivos desconocidos y cualquier comunicación inesperada entre los entornos corporativos y los sistemas de producción.
3. Adaptar la arquitectura de seguridad al entorno industrial: Algunas instalaciones funcionan bajo estrictos requisitos de aislamiento o air gap. Por este motivo, las soluciones que dependen principalmente de la conectividad con la nube pueden no ser adecuadas para todas las plantas.
4. Utilizar herramientas compatibles con equipos antiguos: Las soluciones de seguridad deben ser estables, consumir pocos recursos y funcionar sin afectar al rendimiento de los sistemas ni a la continuidad de la producción. En aquellos dispositivos en los que no es posible instalar un agente, la protección y monitorización de la red adquieren una importancia especial.
5. Garantizar soporte de seguridad a largo plazo: Cuando el fabricante de un sistema de control industrial deja de proporcionar actualizaciones, los equipos pueden continuar funcionando durante muchos años mientras acumulan nuevas vulnerabilidades. Contar con soluciones que mantengan la protección más allá del ciclo de soporte original permite prolongar su utilización de manera más segura.