Infraestructura crítica en riesgo: el nuevo frente de la ciberseguridad

Un ataque contra sistemas de agua de Estados Unidos expuso una amenaza que trasciende el robo de datos: cuando la tecnología operativa queda comprometida, las consecuencias pueden llegar directamente a los servicios esenciales. Para Gaspar Poca, partner de BTR Consulting especializado en OT y ciberseguridad, el episodio debería funcionar como una advertencia para América Latina.

A fines de julio, más de treinta sistemas de agua de distintas comunidades de Minnesota descubrieron que habían perdido el control de sus propias plantas. Los atacantes modificaron las contraseñas de los controladores industriales y, en algunos casos, dejaron a los operadores sin acceso. El resultado fue concreto: personal obligado a encender y apagar bombas manualmente y vecinos que recibieron recomendaciones de hervir el agua antes de consumirla.

La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) respondió con una instrucción contundente: desconectar inmediatamente de internet los equipos comprometidos.

Poca plantea que el caso representa un cambio en el mapa de amenazas. “Durante años, hablamos de ciberseguridad pensando en información: tarjetas robadas, correos filtrados, bases de datos secuestradas”, señala. Pero lo ocurrido en Minnesota pertenece a otro universo: la tecnología operativa (OT), utilizada para controlar procesos físicos.

En estos entornos funcionan los controladores lógicos programables (PLC), capaces de abrir una válvula, dosificar productos químicos o regular la presión de una red de agua. Por eso, advierte el especialista, cuando un atacante toma el control, “no está en juego la confidencialidad de un dato. Está en juego que salga agua potable de la canilla”.

Uno de los aspectos más preocupantes es que no habría sido necesario desplegar una operación de enorme sofisticación. Parte de los dispositivos estaban expuestos directamente a internet y utilizaban contraseñas débiles o de fábrica. Para Poca, allí aparece la principal enseñanza: “Los adversarios no se volvieron geniales; las organizaciones siguen dejando puertas abiertas”.

• El desafío

La advertencia también alcanza a América Latina. La región registró un fuerte crecimiento de los ciberataques y se convirtió en un terreno atractivo para probar técnicas que luego pueden escalar hacia objetivos de mayor valor. “No somos espectadores del problema; somos, con frecuencia, el ensayo general”, sostiene Poca.

El desafío no es exclusivamente tecnológico. Aunque cada vez más organizaciones ubican la responsabilidad de la seguridad OT bajo la órbita del CISO (el responsable de seguridad de la información de una organización), ese avance en materia de gobierno corporativo no siempre estuvo acompañado por una protección equivalente de la infraestructura.

“Mejoramos el organigrama más rápido de lo que blindamos los dispositivos. Y, claro, los adversarios no atacan organigramas”, resume.

Persisten dificultades para segmentar redes, identificar dispositivos conectados y controlar accesos. A esto se suma la falta de especialistas en entornos OT y la presencia de sistemas heredados, diseñados en una época en la que conectar equipos a internet era visto como una mejora y no como una nueva superficie de ataque.

La integración entre IT y OT profundizó el problema. Conectar las redes industriales con los sistemas corporativos permite ganar eficiencia y obtener información en tiempo real, pero también abre nuevos caminos para los atacantes. Una acción habitual en IT puede ser peligrosa en una planta: reiniciar un servidor puede ser una rutina informática, pero detener un equipo OT puede provocar una interrupción de producción o incluso un incidente físico.

Por eso, Poca propone comenzar por preguntas básicas: “¿Quién en la organización vela por la ciberseguridad de los activos de la red industrial?”, “¿conocemos cuántos son y dónde están?” y “¿hemos alguna vez evaluado la postura de seguridad?”.

Minnesota dejó una advertencia concreta. Los mecanismos de contingencia permitieron contener el impacto, pero no todas las organizaciones cuentan con esa red de protección. “La resiliencia de la infraestructura crítica no se define el día del ataque, sino en las decisiones que tomamos antes”, plantea Poca.

Para América Latina, la conclusión es directa: la próxima crisis no debería ser el momento para descubrir qué equipos están conectados, quién tiene acceso a ellos o qué ocurriría si dejan de funcionar. La revisión tiene que hacerse antes. Como advierte el especialista, ese momento “tiene que ser hoy”.

Redacción Central