La industria debe protegerse ante los ciberataques a sistemas OT

Ante el aumento de riesgo de ciberataques a las tecnologías operativas (OT), aquellas que controlan procesos físicos como plantas industriales, sistemas de transporte o redes eléctricas, ESET advierte que las consecuencias pueden incluir daños físicos, interrupciones del servicio o incluso riesgo para la vida humana. 

“Los entornos OT son fundamentales para el funcionamiento de servicios esenciales. Protegerlos ya no es opcional, es una prioridad estratégica. Casos como los ciberataques BlackEnergy e Industroyer en Ucrania, responsables de apagones masivos, son un claro ejemplo de este nuevo escenario”, alerta Josep Albors, director de investigación y concienciación de ESET España.

La evolución tecnológica ha conectado sistemas OT a internet para facilitar su gestión remota, pero esta transformación ha traído consigo un aumento significativo del riesgo. Lo que antes eran entornos cerrados, ahora está expuesto a actores maliciosos a escala global. Además, muchos de estos sistemas utilizan componentes estándar, como sistemas Windows, y protocolos antiguos que no fueron diseñados con la ciberseguridad en mente.

Según datos recientes, en 2023 se registraron 68 ciberataques que afectaron a más de 500 operaciones físicas, lo que representa un incremento del 16% respecto al año anterior. A su vez, McKinsey estima que el coste medio de un incidente grave en OT puede alcanzar los 140 millones de dólares, sin contar con posibles sanciones regulatorias como las previstas por la NIS2 en Europa.

Retos de la ciberseguridad

Proteger los entornos OT no es sencillo. Según ESET, entre los principales desafíos se encuentran:

• Uso de tecnologías heredadas difíciles de actualizar.
• Protocolos de comunicación inseguros o sin cifrados.
• Ciclos de vida prolongados del hardware, que impiden aplicar parches fácilmente.
• Falta de alineación entre equipos de IT y OT.
• Poca visibilidad sobre activos y vulnerabilidades.
• Seguridad por diseño insuficiente o inexistente.

“A esto se suma un enfoque diferente entre ambos mundos: mientras que IT prioriza la confidencialidad y la protección de datos, OT se enfoca en mantener la disponibilidad y la seguridad física de los procesos. Esta brecha complica, por ejemplo, la gestión de vulnerabilidades si los equipos OT se resisten a aplicar actualizaciones por miedo a interrumpir la operación”, añade Albors.

Prevención

El ransomware sigue siendo una de las mayores amenazas para los sistemas OT, aunque el robo/extorsión de datos, los ataques destructivos, las amenazas a la cadena de suministro e incluso el malware propagado por dispositivos con conectividad USB podrían suponer un riesgo para estos sistemas. En este sentido, ESET propone una hoja de ruta para mitigar eficazmente las amenazas en entornos OT, basada en un enfoque integral que combina tecnología, procesos y concienciación. 

Entre las medidas clave destacan:

• Inventario y gestión de activos: identificar y evaluar todos los sistemas OT conectados.
• Escaneo y parcheo continuo: aplicar parches o soluciones virtuales en función del riesgo.
• Segmentación de redes: aislar el entorno OT del resto de la red corporativa.
• Gestión de accesos: aplicar políticas de mínimo privilegio y autenticación multifactor.
• Prevención de amenazas: desplegar soluciones específicas para detección de malware en OT.
• Protección de datos: cifrado y copias de seguridad regulares para mitigar el impacto del ransomware.
• Supervisión de la cadena de suministro: evaluar el riesgo de terceros, incluidos proveedores y fabricantes.
• Formación del personal: impulsar una cultura de seguridad desde la base.

Amenazas híbridas

La combinación de inteligencia artificial con técnicas de ataque cada vez más avanzadas dibuja un escenario en el que las amenazas híbridas, digitales y físicas, serán más frecuentes. Gartner ya advirtió que, para 2025, los actores maliciosos podrían usar entornos OT para causar daño físico real.

“Las organizaciones deben dejar de pensar en la ciberseguridad OT como una opción técnica y empezar a abordarla como una prioridad de negocio. Las amenazas no distinguen entre el mundo digital y el físico, y nosotros tampoco deberíamos hacerlo”, concluye Josep Albors.