El malware que afecta a los sistemas de control industrial (ICS) tiene el potencial de perturbar sectores clave que sustentan la sociedad moderna, advierte un informe publicado el miércoles por el sitio web de investigación en ciberseguridad Comparitech.
Según el investigador Justin Schamotta, los dispositivos ICS conectados a internet son un objetivo principal para los ciberdelincuentes, especialmente aquellos que utilizan protocolos obsoletos como Modbus.
Schamotta identificó 179 dispositivos ICS conectados a internet en su informe. «Identificamos un dispositivo ICS que formaba parte de una red ferroviaria nacional», escribió. «Los ferrocarriles utilizan dispositivos ICS para diversas funciones, desde la planificación de rutas hasta la señalización. La exposición de estos dispositivos podría representar un grave riesgo operativo y de seguridad».
«Otros dos dispositivos (uno en Asia y otro en Europa) formaban parte de la infraestructura de la red eléctrica nacional de sus respectivos países», añadió. «En el sector del suministro energético, los dispositivos ICS se utilizan para monitorizar el consumo y controlar la distribución eléctrica».
Schamotta señaló que Estados Unidos tenía el mayor número de dispositivos de control industrial expuestos, 57, seguido de Suecia con 22 y Turquía con 19.
“El malware puede paralizar los sistemas ICS y dejarlos inutilizables, a menudo hasta que se pague un rescate”, afirmó Paul Bischoff, defensor de la privacidad del consumidor de Comparitech.
“Estos sistemas se utilizan en infraestructuras críticas y en la industria manufacturera, por lo que atacarlos puede tener graves consecuencias para las personas y las empresas que dependen de ellos”, declaró. “Entre los posibles objetivos se encuentran centrales eléctricas, plantas de tratamiento de agua, centros de salud, sistemas de control de tráfico y fábricas”.
Las consecuencias de un ataque se propagan rápidamente.
“El malware para ICS traspasa la barrera ciberfísica y causa daños cinéticos en el mundo real”, observó Shujaatali Badami, ingeniero de investigación de IoT cuántico en Chicago.
Citó el ataque de enero de 2024 en la ciudad ucraniana de Lviv, en el que un malware llamado FrostyGoop envió comandos Modbus a los controladores de calefacción, interrumpiendo el suministro eléctrico a unos 600 edificios de apartamentos durante temperaturas bajo cero. “Actualmente estamos monitoreando 26 grupos de amenazas de OT y más de 11 familias de malware específicas de ICS”, declaró. “Esto ya no es una teoría”.
“Los entornos ICS gestionan los procesos físicos detrás del tratamiento de agua, la generación de energía, los oleoductos y gasoductos, y las líneas de producción”, explicó Michael Bell, director ejecutivo de Suzu Labs, con sede en Las Vegas, proveedor de servicios de ciberseguridad basados en IA.
“Cuando un atacante accede a una red de TI, se pierden datos”, afirmó. “Cuando acceden a una red OT, se pierde la capacidad de controlar los sistemas físicos que mantienen a las personas con vida y las economías en funcionamiento”.
Los ataques a entornos ICS también pueden tener un amplio alcance.
“La dependencia del sector industrial de cadenas de suministro altamente interconectadas amplifica significativamente el impacto de los ataques”, explicó Floris Dankaart, gerente principal de producto para detección y respuesta extendida gestionada en NCC Group, una consultora global de ciberseguridad.
“Una sola brecha de seguridad exitosa puede tener un efecto dominó en proveedores, operadores logísticos y socios de la cadena de suministro, magnificando la disrupción mucho más allá de la organización objetivo inicial”, declaró. “Esta interconexión sigue haciendo del sector industrial un objetivo atractivo para los ciberdelincuentes que buscan maximizar su alcance e impacto”.
Aumento de las vulnerabilidades en los sistemas de control industrial (ICS).
El informe de Comparitech también citó una investigación reciente de Cyble Research & Intelligence Labs, que reveló que las divulgaciones de vulnerabilidades en los ICS casi se duplicaron entre 2024 y 2025.
“Los sistemas ICS se diseñaron originalmente para realizar funciones operativas específicas en entornos aislados”, explicó Shaila Rana, miembro sénior del IEEE, una organización profesional técnica global.
“La seguridad no era una consideración primordial porque estos sistemas nunca se concibieron para ser accesibles a través de internet”, declaró. “Se diseñaron para ser utilizados por personas y otras máquinas”.
Rana señaló que, con el tiempo, el impulso hacia la monitorización remota y la conectividad de la Industria 4.0 eliminó ese aislamiento, y estos sistemas quedaron repentinamente expuestos a un panorama de amenazas para el que nunca fueron diseñados. “Esta convergencia de TI/OT ha ampliado drásticamente la superficie de ataque”, afirmó.
“Al mismo tiempo, la comunidad de investigación en seguridad ha estado prestando mayor atención a los entornos OT. Cuantos más investigadores se dedican a la investigación, más vulnerabilidades se encuentran y se divulgan”, continuó. “La combinación de sistemas heredados inherentemente inseguros y un mayor escrutinio es lo que impulsa este marcado aumento en las divulgaciones”.
Parte del aumento en las divulgaciones de vulnerabilidades se debe al enorme volumen de objetivos recién conectados, agregó Joshua Marpet, consultor sénior de seguridad de productos en Finite State, con sede en Columbus, Ohio, que automatiza el cumplimiento y el análisis de seguridad para fabricantes de dispositivos conectados.
“Al igual que los dispositivos IoT —como drones, termostatos Nest y refrigeradores inteligentes— comenzaron a conectarse a internet, lo mismo ocurrió en el sector industrial”, declaró. “Los dispositivos de tecnología operativa y los sistemas de control industrial (ICS/SCADA) se conectaron para la monitorización, gestión y control remotos. La conectividad a internet permite que un atacante pueda acceder a estos dispositivos y atacarlos. Así, al igual que algunos refrigeradores fueron hackeados, también lo fueron algunas fábricas”.
Riesgos de los protocolos heredados.
Dado que el mercado global de sistemas de automatización y control industrial (ICS) está valorado actualmente en 226.760 millones de dólares y se prevé que alcance los 504.380 millones de dólares en 2033, el número de dispositivos industriales conectados está aumentando rápidamente, según señala el informe de Comparitech.
Esta expansión plantea un importante desafío para la ciberseguridad: cada nuevo dispositivo conectado a la red introduce posibles puntos débiles que deben protegerse, continúa el informe. Sin las medidas de seguridad adecuadas, como cortafuegos, VPN, segmentación de red y autenticación segura, los dispositivos ICS expuestos a internet se convierten en objetivos fáciles.
Desde la perspectiva de un atacante, los dispositivos que ejecutan protocolos como Modbus, DNP3 o BACnet son particularmente vulnerables porque fueron diseñados para redes cerradas y a menudo carecen de autenticación o cifrado integrados, agregó. Estos dispositivos podrían ser explotados por atacantes con conocimientos técnicos limitados si se exponen directamente a internet. Esto es especialmente preocupante dado el papel crítico de algunos dispositivos ICS en la actividad económica y la infraestructura esencial.
La seguridad de los sistemas de control industrial (ICS) no puede tratarse como la seguridad informática tradicional, argumentó Dale Hoak, CISO de RegScale, una empresa de software de automatización de cumplimiento con sede en McLean, Virginia. «No se puede simplemente parchear todo», declaró. «El tiempo de inactividad no es aceptable, y la seguridad y la disponibilidad a menudo priman sobre la confidencialidad».
«En resumen», añadió, «la seguridad de los ICS no se logra persiguiendo amenazas, sino comprendiendo y controlando continuamente el entorno».
Will Thomas, asesor sénior de inteligencia de amenazas de Team Cymru, una empresa de inteligencia de amenazas con sede en Lake Mary, Florida, afirmó que esta es la «Era de la Adopción» del malware para sistemas de control industrial (ICS), lo que significa que los servicios de inteligencia estatales utilizan ahora armas digitales sofisticadas de forma rutinaria, en lugar de ser meros conceptos experimentales.
«Los adversarios utilizan cada vez más redes de relés operativos para ocultar su origen y emplean tácticas de ‘aprovecharse de los recursos locales’ para evadir la detección una vez dentro de una red», declaró. «Para sobrevivir a este panorama de amenazas tan sofisticado, las organizaciones deben reconocer que los dispositivos ICS heredados nunca deben conectarse directamente a internet».
Peligros de la longevidad.
Uno de los mayores desafíos de la ciberseguridad en infraestructuras críticas es la larga vida útil de los dispositivos, señaló Tim Mackey, jefe de estrategia de riesgo de la cadena de suministro de software en Black Duck Software, una empresa de seguridad de aplicaciones con sede en Burlington, Massachusetts.
«Algo que fue diseñado y probado según las mejores prácticas disponibles en el momento de su lanzamiento puede volverse fácilmente vulnerable a ataques más sofisticados posteriormente», declaró. “En efecto, las mejores prácticas tradicionales podrían no ser suficientes para mitigar las amenazas actuales, o peor aún, las que podrían surgir en los próximos años”.
“Dado que los atacantes saben que los proveedores de infraestructura crítica se miden por su tiempo de actividad o disponibilidad del servicio, una vez que un dispositivo se ve comprometido, saben que tienen la ventaja de planificar un ataque muy específico en lugar de actuar de forma oportunista”, afirmó.
“Un punto importante es que el malware es solo una parte del problema”, añadió Rosario Mastrogiacomo, director de estrategia de Sphere Technology Solutions, una empresa de software y servicios de gobernanza de datos con sede en Hoboken, Nueva Jersey.
“Algunas de las intrusiones más graves en sistemas de tecnología operativa (OT) y sistemas de control industrial (ICS) aún comienzan con problemas básicos, como credenciales predeterminadas, acceso remoto débil, segmentación deficiente y visibilidad insuficiente de los activos expuestos”, declaró.
“El NIST ha advertido que, a medida que la tecnología operativa (OT) adopta la conectividad de TI estándar y el acceso remoto, pierde aislamiento y se vuelve más vulnerable, mientras que la CISA ha recalcado que incluso los métodos menos sofisticados pueden ser efectivos contra entornos de OT con seguridad deficiente”, afirmó.
“Para muchos operadores, las mayores ventajas siguen proviniendo de aspectos fundamentales: reducir la exposición a internet, reforzar el acceso remoto, separar la OT de la TI, conocer los activos existentes y prepararse para operaciones degradadas o manuales antes de que ocurra un incidente”.
