La industria opera con sistemas obsoletos que ya no pueden defenderse

Muchas industrias continúan operando con sistemas de tecnología operacional (OT) que llevan décadas en funcionamiento. Su fiabilidad, el coste de detener la producción y la dificultad de sustituir equipos profundamente integrados han favorecido que estas infraestructuras permanezcan sin grandes cambios, incluso cuando utilizan sistemas operativos obsoletos o sin soporte del fabricante.

Este fenómeno, que las principales agencias internacionales de ciberseguridad denominan “obsolescencia autoestablecida”, describe equipos que siguen cumpliendo su función operativa, pero que ya no pueden actualizarse, sustituirse ni protegerse adecuadamente. ESET advierte de que esta aparente estabilidad puede generar una falsa sensación de seguridad y convertir estos sistemas en uno de los principales puntos ciegos de las organizaciones industriales.

“Durante años, los sistemas de control industrial funcionaron aislados de las redes corporativas y de internet. Los protocolos industriales apenas incorporaban medidas de seguridad, pero esto no suponía un riesgo mientras los equipos permanecieran desconectados. Sin embargo, la digitalización y la convergencia entre TI y OT han cambiado por completo este escenario”, explica Josep Albors, responsable de investigación y concienciación de ESET España.

 

Amenazas capaces de afectar a procesos físicos

La conexión de los sistemas de producción con las redes empresariales permite optimizar procesos y realizar mantenimiento remoto, pero también expone carencias críticas, como autenticación débil, escasa capacidad de registro, configuraciones inseguras por defecto y procesos de actualización que requieren detener la producción.

Los grupos de ransomware ya están explotando esta situación. Algunos desarrollan capacidades específicas para entornos OT y ajustan sus exigencias económicas al impacto que tendría paralizar una planta. Además, normativas como NIS2, contratos con proveedores y aseguradoras están aumentando la presión para demostrar controles de seguridad también en sistemas industriales heredados.

ESET recuerda que ha analizado amenazas que han afectado a infraestructuras críticas en todo el mundo, entre ellas BlackEnergy, responsable del apagón que dejó sin electricidad a 230.000 personas en Ucrania en 2015; GreyEnergy, considerada su sucesora; Industroyer, capaz de comunicarse con múltiples protocolos industriales y que provocó un apagón en Kiev en 2016; y Industroyer2, detectado en 2022.

Según datos del SANS Institute recogidos por ESET, casi seis de cada diez ataques contra entornos OT se originan en compromisos previos de las redes corporativas de TI. Además, el 22% de las organizaciones de industrias esenciales sufrió algún incidente en el último año, y el 40% de esos ataques provocó interrupciones operativas. Uno de cada cinco tardó más de un mes en solucionarse completamente.

Esto significa que los ciberdelincuentes no necesitan atacar directamente la maquinaria industrial. Comprometer credenciales, infiltrarse en la red corporativa o acceder a sistemas de gestión puede ser suficiente para impactar en los procesos físicos.

Las consecuencias pueden extenderse más allá de la empresa atacada. Las cadenas de suministro industriales funcionan con calendarios ajustados y escaso margen para retrasos. La interrupción de un único proveedor con entregas just in time puede desencadenar problemas en numerosas compañías.

 

Medidas para proteger los sistemas industriales heredados

ESET señala que no existe una estrategia única para todos los entornos industriales, pero recomienda comenzar por cinco ámbitos clave:

-     Inventario completo de activos. Identificar qué sistemas están conectados, cuáles carecen de protección, qué equipos no tienen soporte y dónde se cruzan las redes de TI y OT.

-     Mejorar la visibilidad de la red. Detectar segmentos no supervisados, conexiones remotas, dispositivos desconocidos y comunicaciones inesperadas.

-     Adaptar la arquitectura de seguridad al entorno OT. Algunas plantas requieren aislamiento estricto; soluciones dependientes de la nube pueden no ser adecuadas.

-     Utilizar herramientas compatibles con equipos antiguos. Deben ser estables, ligeras y no afectar al rendimiento ni a la continuidad de la producción.

-     Garantizar soporte de seguridad a largo plazo. Cuando el fabricante deja de actualizar un sistema, las vulnerabilidades se acumulan durante años; contar con soluciones que mantengan la protección más allá del ciclo de soporte es esencial.