Amenazas para las empresas industriales en 2025

Las tecnologías probadas implican nuevos riesgos cibernéticos

Que un sistema no haya sido atacado no significa necesariamente que esté bien protegido. Puede ser que los atacantes simplemente no lo hayan alcanzado todavía, quizá porque ya disponían de formas más sencillas, fiables y automatizadas de realizar ataques, o quizá simplemente ha tenido suerte.

La expresión “si no está roto, no lo arregles” adquiere un significado especial en las infraestructuras OT. A veces los sistemas llevan años o incluso décadas funcionando sin ninguna modificación, incluso sin instalar parches de seguridad críticos o cambiar configuraciones inseguras, como servicios de red innecesarios, interfaces de depuración y contraseñas débiles. A veces, los sistemas siguen funcionando exactamente en el mismo estado que cuando se pusieron en funcionamiento.

Las cosas se complican aún más si se tiene en cuenta la escasa calidad de la información sobre las vulnerabilidades de los productos de OT disponible por parte de los desarrolladores o de fuentes públicas. Afortunadamente, los actores maliciosos siguen atacando muy raramente los activos industriales y los sistemas de automatización industrial.

Por otra parte, además de los sistemas de automatización industrial desprotegidos, como PLC y servidores SCADA, que de hecho son muy difíciles de mantener ciberseguros, hay muchos otros tipos de dispositivos e incluso infraestructuras enteras que están de alguna manera conectadas a la red tecnológica. La seguridad de estos sistemas a menudo se pasa por alto injustificadamente:

• Equipos de telecomunicaciones. Su seguridad suele considerarse o bien responsabilidad del operador de telecomunicaciones o bien innecesaria por alguna razón. Por ejemplo, se cree que las estaciones base móviles y las redes tecnológicas de los operadores móviles ya están suficientemente protegidas contra los ciberataques, razón por la cual “nadie las ataca”. Por alguna razón, este problema también es ignorado en gran medida por los investigadores de seguridad: mientras que la seguridad de los puntos finales y sus componentes clave, como los módems, se estudia a fondo, hay muy pocas publicaciones en profundidad sobre la seguridad de las estaciones base o los equipos de la red principal. Sin embargo, es evidente que los equipos pueden verse comprometidos, al menos desde el lado del operador, por ejemplo, durante el mantenimiento. Después de todo, los propios operadores de telecomunicaciones distan mucho de ser inmunes a los ciberataques, como nos demuestra la historia de los ataques de Blackwood utilizando el implante NSPX30. Así pues, hay que tener en cuenta lo siguiente:
• Como mínimo, el modelo de amenazas de las empresas industriales debe incluir los ataques “man-in-the-middle” contra los equipos de telecomunicaciones y la infraestructura de los operadores de telecomunicaciones.
• Dada la rapidez con que se están implantando todo tipo de sistemas inteligentes de supervisión y control a distancia -principalmente en la minería y la logística, pero también en otros sectores y tipos de instalaciones-, la prioridad de proteger las infraestructuras relacionadas con las telecomunicaciones no hará sino aumentar en consecuencia. Por ejemplo, para garantizar la seguridad de las infraestructuras robotizadas y el uso del transporte automatizado en las instalaciones, estamos asistiendo a la introducción de la comunicación inalámbrica. Las empresas industriales deberían invertir claramente en la seguridad de las telecomunicaciones para evitar ciberincidentes, quizás ya este mismo año.
• La seguridad de los sensores inteligentes, contadores, dispositivos de medición y control y otros dispositivos del Internet industrial de las cosas suele ser descuidada tanto por las empresas que los utilizan como, en consecuencia, por los propios desarrolladores. Sin embargo, como demuestra la historia de FrostyGoop, estos dispositivos también pueden convertirse en blanco de ataques.
• Los puntos de conexión de las pequeñas instalaciones remotas de infraestructura industrial suelen utilizar equipos de red baratos, a veces ni siquiera diseñados para uso industrial (por ejemplo, dispositivos SOHO). Su ciberseguridad puede ser extremadamente difícil de mantener en buen estado, tanto por las limitaciones arquitectónicas como por la complejidad del mantenimiento centralizado. Al mismo tiempo, estos dispositivos pueden ser manipulados no sólo para distribuir malware de propósito general o alojar agentes de botnet (como en el caso de Flax Typhoon/Raptor Train), sino también como punto de entrada a la red de TI u OT.
• La familia de sistemas operativos Windows ha sido la plataforma más popular para estaciones de trabajo y servidores de sistemas de automatización durante décadas. Sin embargo, en los últimos años, muchas empresas industriales han ido instalando cada vez más sistemas basados en Linux en sus circuitos OT, por diversas razones. Uno de los argumentos decisivos a favor de la elección de Linux suele ser la creencia de que estos sistemas son más resistentes a los ciberataques. Por un lado, efectivamente hay menos malware que pueda ejecutarse en este sistema operativo, y la probabilidad de infección accidental es menor que en el caso del sistema operativo Windows. Por otro lado, proteger los sistemas Linux contra un ataque dirigido es igual de difícil, y en algunos casos incluso más. El hecho es que:
  • Los desarrolladores de soluciones de seguridad para Linux tienen que ponerse al nivel de las soluciones que protegen la infraestructura de Windows. Durante mucho tiempo, muchas funciones no eran demandadas por los clientes y, por tanto, no se implementaban. Al mismo tiempo, implantar nuevas funcionalidades es más caro porque es necesario dar soporte a múltiples cepas de SO que se desarrollan en paralelo, y la integración de soluciones de seguridad no es una prioridad para los desarrolladores del núcleo. Esto tiene dos consecuencias: en primer lugar, la falta de mecanismos de integración estándar eficaces, y en segundo lugar, la actualización del núcleo puede “romper” fácilmente la compatibilidad, y una simple reconstrucción del módulo puede no ser suficiente.
  • En el lado de las empresas industriales, es evidente que no hay suficientes especialistas en seguridad de la información que sean también expertos en Linux, por lo que tanto la configuración segura de los dispositivos como la supervisión y la detección de incidentes pueden no ser tan eficaces.
  • Tanto las propias soluciones Linux OT como sus desarrolladores demuestran a menudo una madurez insuficiente en materia de seguridad de la información y pueden ser un blanco fácil para los atacantes, como se puso de manifiesto, por ejemplo, durante la investigación de una serie de ataques Sandworm contra instalaciones de infraestructuras críticas ucranianas.