Ciberseguridad en plantas industriales: una disciplina con reglas propias
La convergencia IT/OT abrió las puertas de las fábricas, las minas y las redes de energía a los mismos atacantes que acechan las oficinas. Pero proteger una planta no es lo mismo que proteger una red corporativa: cambian las prioridades, los protocolos, las herramientas y hasta la forma de responder ante un incidente.
INDICE
La noche del domingo 11 de octubre, en cientos de supermercados de Francia las heladeras empezaron a calentarse. Atacantes que todavía no fueron identificados tomaron activaron remotamente controladores de refrigeración del fabricante danés Danfoss, forzaron ciclos de descongelamiento, anularon las alarmas y llevaron cámaras y góndolas hasta 50 °C. Intermarché, Netto, Carrefour, Monoprix, Coopérative U y E.Leclerc tuvieron que descartar toneladas de alimentos frescos, y en algunos locales hubo principios de incendio. Solo Intermarché estimó pérdidas de «decenas de millones de euros» en un día.
No hubo datos robados ni pantallas con pedido de rescate. Hubo algo más tangible: equipos físicos que hicieron lo que no debían. Según el CERT-FR, varios de los modelos comprometidos llevaban años sin soporte del fabricante —uno de ellos, discontinuado en 2016— y miles de esos controladores estaban expuestos a Internet. Éste es el tipo de incidente que define a la ciberseguridad de la tecnología operativa (OT): la que protege máquinas, sensores y controladores que mueven el mundo físico.
Una amenaza que ya cruzó el portón de la fábrica
Durante décadas, los controladores lógicos programables (PLC), los sistemas SCADA y los equipos de planta funcionaron en redes cerradas. Ese aislamiento era la principal defensa: sin contacto con el exterior, no había por dónde entrar. La Industria 4.0 cambió la ecuación al integrar el piso de planta con los sistemas de gestión (ERP, MES) para ganar eficiencia y trazabilidad. Desde entonces, un atacante que entra por la red corporativa puede llegar hasta la línea de producción si nada lo detiene en el camino.
Los números acompañan. Según el informe anual de Dragos, la cantidad de grupos de ransomware que atacan organizaciones industriales pasó de 80 en 2024 a 119 en 2025, con 3.300 víctimas en todo el mundo, más de dos tercios de ellas en manufactura. «Los atacantes están mapeando cómo funcionan los sistemas de control y de dónde se originan los comandos», advirtió Robert M. Lee, CEO de la compañía.
América Latina está en el centro de esa tendencia. En Brasil, cada organización recibe en promedio unos 4.000 intentos de ciberataque por semana, casi el doble del promedio mundial (2.300), con un crecimiento del 44% en los doce meses a junio de 2026, contra el 17% global. Manufactura es el principal blanco del ransomware en el país, con el 22% de los casos, según expuso André Pelisser, de ETAS (Grupo Bosch), en un seminario de la Asociación Brasileña de Ingeniería Automotriz (AEA). «Es un ataque que realmente para la línea, afecta la producción, y nuestro sector es el más susceptible», resumió. En México, los ataques semanales contra Manufactura crecieron 80% entre 2024 y 2025, uno de los seis aumentos más rápidos del mundo según Check Point.
Conviene, de todos modos, no caer en el alarmismo. El informe de Waterfall Security e ICS STRIVE, el único que cuenta solo ataques con consecuencias físicas verificadas, registró 57 incidentes públicos en 2025, un 25% menos que el año anterior. El especialista Dale Peterson subraya que esa cifra se mantiene baja y estable desde 2022. El riesgo crece en intentos y en exposición. Los casos como el de Francia siguen siendo pocos, pero muy costosos.
Madurez percibida, madurez real
¿Qué tan preparadas están las industrias? Depende de a quién se le pregunte, y de cómo. En la encuesta de Honeywell a más de 600 responsables de seguridad industrial, publicada en septiembre, el 88% describe su programa de ciberseguridad OT como maduro. Sin embargo, solo el 21% tiene un inventario completo de sus equipos OT y apenas el 33% integró la planta a su centro de operaciones de seguridad (SOC). Cuando un incidente grave ocurre, la parada promedio es de 16,2 horas, con pérdidas de hasta 500.000 dólares por hora.
Dragos llama a esto una «crisis de visibilidad»: solo el 30% de las redes OT que analiza tiene visibilidad efectiva, y el 56% de las organizaciones no logra ver lo que ocurre por debajo del límite entre IT y OT. El informe State of OT 2026 de Fortinet muestra un sinceramiento: las organizaciones que se ubicaban en el nivel más alto de madurez cayeron del 49% al 17% en un año, algo que la compañía atribuye a autoevaluaciones más honestas y no a un retroceso.
La pregunta de fondo es por qué cuesta tanto proteger una planta, si las empresas llevan años invirtiendo en ciberseguridad. La respuesta corta: porque una planta no es una oficina.
Qué cambia cuando el activo es una máquina
En una red corporativa, lo primero que se protege es la información: que nadie la lea sin permiso, que no se altere y que esté disponible. En una planta, el orden se invierte. Lo que importa ante todo es que el proceso no se detenga, que la máquina haga exactamente lo que debe y que nadie salga lastimado: la confidencialidad de los datos queda en último lugar.
Ángel González del Río, responsable de desarrollo de negocio de Ciberseguridad OT de Indra, lo explicó en el CIIT Latam Congress de Lima: en OT «no se está hablando de que la información debe ser protegida o no. Ahí se habla de evitar paradas inesperadas, de daños contra las personas, de impactos medioambientales». Por eso, concluyó, «ni se protege igual ni se responde igual a los ciberincidentes». En la Argentina, Nicolás Ramos, de EY, lo planteó desde la experiencia en yacimientos: «En OT, la gente está más dedicada a que la operación no se interrumpa».
De esa diferencia de prioridades se desprenden las demás:
| Red corporativa (IT) | Planta industrial (OT) | |
| Prioridad | Confidencialidad de los datos | Disponibilidad del proceso y seguridad física |
| Vida útil de los equipos | 3 a 5 años | 15 a 30 años o más |
| Actualizaciones | Frecuentes, muchas automáticas | En paradas programadas y con aval del fabricante |
| Protocolos | Estándar de internet | Industriales, muchos sin autenticación |
| Ante un ataque | Aislar o apagar el equipo | Apagar puede causar más daño que el ataque |
Fuente: elaboración propia con datos de Erdal Ozkaya y CISA.
No se puede «apagar y reiniciar». Un servidor de oficina se renueva cada pocos años; un controlador de planta puede funcionar dos o tres décadas. Muchos PLC y sistemas SCADA se diseñaron cuando la ciberseguridad no era una preocupación, y algunos todavía corren sistemas operativos sin soporte. Actualizarlos exige detener la producción, y las ventanas de mantenimiento son cortas. «La manufactura es un objetivo atractivo, porque cada hora de inactividad cuesta dinero, mercado y reputación», resume Evelin Calderón Quevedo, de Rockwell Automation para la Región Andina. El caso Danfoss lo ilustra: el fabricante alegó que llevaba tiempo recomendando actualizar el firmware de los equipos atacados.
La respuesta también es otra. Ante una intrusión en IT, el reflejo es aislar o apagar el equipo comprometido. En una planta química o una red eléctrica, cortar de golpe puede ser más peligroso que el propio ataque. En 2021, el ransomware contra Colonial Pipeline afectó solo sistemas administrativos, pero la empresa detuvo preventivamente el oleoducto y el suministro de combustible en la costa este de los Estados Unidos quedó interrumpido seis días. Por eso, los planes de respuesta en OT deben escribirse junto con los ingenieros de planta y considerar las consecuencias físicas de cada decisión.
Otro idioma, otras herramientas
Las máquinas de una planta no conversan como las computadoras de una oficina. Usan protocolos industriales como Modbus, DNP3, Profibus, BACnet o EtherNet/IP, varios de ellos creados hace décadas para redes cerradas en las que todos los dispositivos eran de confianza. Muchos no piden contraseña ni verifican quién envía una orden: si un comando llega con el formato correcto, el controlador lo ejecuta. Y es habitual encontrar credenciales grabadas de fábrica en el firmware, como los usuarios «admin» con contraseñas previsibles que facilitaron el ataque en Francia.
Ese «idioma» distinto deja ciegas a buena parte de las herramientas de seguridad corporativas. Los firewalls convencionales, los antivirus de nueva generación (EDR) y los sistemas de correlación de eventos (SIEM) no interpretan el tráfico industrial, de modo que no pueden distinguir una orden legítima de una maliciosa. Peor aún: técnicas rutinarias en IT, como el escaneo activo de vulnerabilidades, pueden colgar un PLC antiguo y detener un proceso.
Por eso existe un segmento de soluciones específicas para OT —de compañías como Claroty, Dragos o Nozomi Networks, entre otras— que trabajan con monitoreo pasivo: escuchan una copia del tráfico, entienden los protocolos industriales y arman el inventario de equipos sin enviarles un solo paquete. La propia guía del gobierno de los Estados Unidos recomienda ese enfoque y advierte que el escaneo activo solo debe hacerse con conocimiento profundo del sistema. «El primer paso no es bloquear, sino entender qué está ocurriendo en la red para poder actuar sin generar impacto en la operación», coincide González del Río, de Indra.
La visibilidad no es un lujo técnico. Según Dragos, las organizaciones con visibilidad completa de su red OT contuvieron los incidentes de ransomware en unos cinco días; las que no la tenían tardaron 42.
Aun así, la mayoría de los ataques no empieza en la planta sino en la oficina. El 76% de las organizaciones relevadas por Fortinet identificó al phishing como vector de ataque. «Es muy probable que la amenaza entre por un correo electrónico por una red corporativa», advierte Ramos. De ahí que la frontera entre IT y OT sea el punto más sensible de toda la arquitectura.
Buenas prácticas: proteger sin frenar la producción
Las fuentes consultadas coinciden en un conjunto de medidas que no requieren reemplazar la planta entera, y varias ni siquiera exigen presupuesto nuevo:
- Ver antes de proteger. No se puede defender lo que no se sabe que existe. El inventario completo de equipos, obtenido con monitoreo pasivo, es el punto de partida; Indra lo resume como «ver primero, proteger después».
- Separar la oficina de la planta. La segmentación por capas, con firewalls y zonas intermedias, evita que un correo malicioso termine en la línea de producción. «Hay que tratar de evitar la conexión directa del sector IT con el mundo de la tecnología operacional», sostiene Ramos. Funciona: en el relevamiento de Fortinet, los ataques que afectaron a la vez IT y OT bajaron del 60% al 24% en un año, caída que la empresa atribuye a una mejor segmentación.
- Controlar el acceso de terceros. Integradores, fabricantes de máquinas y empresas de mantenimiento suelen tener conexiones remotas a la planta. En América Latina, el 74% de las brechas de seguridad involucró a terceros, contra el 48% global. La recomendación es canalizar esos accesos por servidores de salto con doble factor de autenticación y sumar requisitos de ciberseguridad a la homologación de proveedores.
- Administrar lo que no se puede actualizar. Cuando un equipo no admite parches, se lo aísla, se refuerza el monitoreo a su alrededor y, sobre todo, se lo saca de internet: fue lo primero que recomendó la agencia francesa de ciberseguridad tras el ataque a los supermercados.
- Ensayar el peor día. Pelisser propone ejercicios de simulación en los que la línea se detiene sin causa mecánica aparente, para definir quién decide, en cuánto tiempo y quién comunica a los clientes. Y hacerse una pregunta incómoda: ¿cuántos días puede producir la fábrica sin sus sistemas IT y OT?
El marco normativo también empuja. El 89% de los encuestados por Fortinet espera más regulación en los próximos cinco años, contra el 66% del año anterior. En la región, Chile va adelante: su Ley Marco de Ciberseguridad, de 2024, impone a los operadores de importancia vital obligaciones de reporte, auditorías y estándares mínimos. La Argentina creó en diciembre de 2025 el Centro Nacional de Ciberseguridad, pero todavía no definió qué organizaciones concretas son infraestructura crítica ni cuenta con una ley marco, como reconoció su director, Ariel Waissbein.
Zero Trust llega a la planta, con adaptaciones
En el mundo corporativo, la idea que hoy ordena la seguridad se llama Zero Trust (confianza cero). Formulada por el analista John Kindervag en Forrester hace más de quince años y luego estandarizada por el NIST estadounidense, parte de una premisa simple: «nunca confiar, siempre verificar». Ya no alcanza con estar dentro de la red de la empresa para ser considerado confiable. Cada usuario, dispositivo y aplicación debe demostrar quién es cada vez que pide acceso a un recurso, recibe solo los permisos mínimos que necesita y se lo vigila de forma continua, bajo el supuesto de que el atacante puede estar ya adentro.
El concepto encaja con el problema de las plantas: protocolos que obedecen cualquier orden bien formada y redes donde todos los dispositivos se confían entre sí son exactamente lo que Zero Trust busca eliminar. Pero llevarlo a OT no es copiar y pegar. En abril, la CISA, junto con los departamentos de Energía, de Estado y de Guerra y el FBI, publicó Adapting Zero Trust Principles to Operational Technology, la primera guía oficial conjunta sobre el tema. Su introducción es explícita: aplicar en bloque las capacidades de Zero Trust pensadas para IT en entornos OT «no es razonable ni factible».
La guía propone, en cambio, una versión adaptada a la realidad de planta:
- La seguridad física y la continuidad operativa están por encima de cualquier otra consideración; aislar o apagar un sistema se decide junto con los operadores.
- El inventario se construye con monitoreo pasivo, y los cambios pasan por un proceso formal con revisión de seguridad.
- Las identidades de IT y OT se mantienen separadas, y el acceso remoto pasa por servidores de salto con doble factor.
- Donde la latencia lo exige, se prioriza la integridad y la autenticación de los comandos antes que el cifrado.
- Los protocolos antiguos sin seguridad pueden encapsularse en pasarelas que sí la ofrecen, y donde no hay alternativa se aplican controles compensatorios.
El objetivo, según la cobertura de la guía, «no es eliminar el riesgo por completo, sino mejorar la resiliencia». Exige, además, que ingenieros de planta, arquitectos de IT y especialistas en ciberseguridad trabajen juntos de manera continua.
Esa es, quizás, la conclusión más importante. La ciberseguridad industrial no es la corporativa con otro uniforme: tiene prioridades, lenguajes y tiempos propios. Las heladeras de Francia lo recordaron de la peor manera. En una planta, un ataque no se mide en datos perdidos, sino en máquinas detenidas, productos arruinados y, en el peor caso, personas en riesgo.
Fuentes