La industria 4.0 y el secuestro de los sistemas de control

Durante décadas, la seguridad industrial descansó en un principio simple: el aislamiento físico. Los controladores lógicos programables (PLC) que mueven brazos robóticos, prensas y bandas transportadoras vivían en una burbuja eléctrica, ajena a Internet. Esa burbuja, hoy, ya no existe.

Los sensores IoT, el mantenimiento predictivo y el acceso remoto aceleraron algo que ya venía ocurriendo: la convergencia entre la Tecnología de la Información (IT) y la Tecnología Operativa (OT). Hoy, un PLC, un HMI o un sistema SCADA suelen compartir la misma red corporativa que usa el departamento de contabilidad. La consecuencia práctica es que la superficie de ataque dejó de distinguir entre una laptop de oficina y un robot soldador.

Desde la óptica de la ingeniería mecatrónica y la integración de sistemas, resulta alarmante comprobar cómo un correo de phishing en el ámbito administrativo puede paralizar, en cuestión de horas, el sistema nervioso digital de una fábrica completa.

De la fábrica aislada a la fábrica conectada

Un PLC es la computadora industrial que ejecuta la lógica física de una máquina: decide cuándo cierra una válvula, cuándo avanza una banda, cuándo un brazo robótico suelta una pieza.

Pensemos en la fábrica como un organismo. Los PLC serían algo así como su corteza motora, la parte que ordena cada movimiento, mientras que el sistema SCADA actúa como el sistema nervioso central, reuniendo toda esa actividad en la pantalla de un operador.

El acceso remoto a infraestructuras industriales creció un 53 % durante la pandemia, y el número de vulnerabilidades reportadas en sistemas de control industrial no ha dejado de acelerarse: de apenas 2 casos en 1997 se pasó a 19 en 2010 y a 189 en 2015. Integrar redes externas y software comercial en los PLC, pensado originalmente para abaratar costos y ganar eficiencia, terminó abriendo la puerta a ataques dirigidos que hace una década resultaban técnicamente inviables.

Lo que amplía hoy la superficie de ataque en el mundo OT es bastante concreto:

• PLC y HMI heredados, diseñados sin cifrado ni autenticación robusta.
• Redes planas, sin segmentación real entre IT y OT.
• Protocolos industriales como Modbus o S7comm que transmiten en texto plano.
• Acceso remoto de proveedores y mantenimiento de terceros mal auditado.
• Software y hardware comercial con vulnerabilidades conocidas.

Del bloqueo de pantallas a la detención de robots

El ransomware no es un fenómeno reciente. Su primer ejemplar documentado, el troyano PC Cyborg, data de 1989: ocultaba directorios del disco tras el reinicio número 90 del equipo. Durante los noventa siguió siendo cosa de aficionados que buscaban notoriedad más que dinero.

Eso cambió hacia 2005, cuando el ransomware pasó de ser vandalismo digital a convertirse en un modelo de negocio. El esquema que domina hoy, el ransomware como servicio, funciona casi como una franquicia delictiva: kits listos para usar que permiten montar una campaña completa sin conocimientos técnicos avanzados. La técnica que prevalece es el cifrado híbrido, donde el malware genera una llave que cifra los archivos a gran velocidad y luego protege esa llave con un segundo candado que solo conoce el atacante. Cuando está bien implementado, recuperar la información sin pagar resulta casi imposible.

Lo verdaderamente distinto hoy no es la técnica de cifrado, sino el blanco. Benmalek reconstruyó diez incidentes reales en los que el ransomware industrial dio el salto de los sistemas administrativos a los controladores físicos:

• Norsk Hydro, con LockerGoga (2019). Una campaña de phishing comprometió estaciones administrativas y, al no existir segmentación entre oficina y planta, terminó cifrando PLC y terminales OT en 170 sitios de 40 países, obligando a suspender líneas de producción de aluminio.
• Honda, con Ryuk (2020). El malware escaló desde credenciales de Active Directory hasta los PLC que coordinaban las líneas justo a tiempo, forzando el cierre de plantas que ensamblan los modelos Civic y Accord.
• Gedia, con Sodinokibi (2020). Este proveedor automotriz vio cifrados los PLC, controladores industriales y HMI que gobiernan sus prensas de estampado y máquinas de mecanizado.
• Colonial Pipeline, con DarkSide (2021). El ataque más citado del sector energético obligó a cerrar preventivamente 5.500 millas de oleoducto tras exigir un rescate de 75 bitcoins.

El detalle importa: el ransomware industrial no ataca al PLC porque este sea, en sí mismo, más vulnerable. Ataca porque ya no queda una puerta cerrada entre la red que un empleado usa para revisar su correo y la red que mueve un robot soldador.

Redes neuronales vigilando el tráfico IoT

Si el ransomware industrial convierte una intrusión cualquiera en un secuestro de los sistemas de control, la pregunta lógica es cómo detectarla antes de que el ataque llegue al PLC.

Una red neuronal convolucional opera un poco como un guardia entrenado para reconocer, entre miles de rostros, el que no encaja: detecta patrones en los datos, aunque haya nacido para procesar imágenes y hoy se aplique a algo parecido a fotografías del tráfico de red. La memoria de corto y largo plazo, la LSTM, añade algo distinto: memoria. Es ese mismo guardia recordando que el mismo visitante ya pasó tres veces por la puerta en la última hora. Juntas, cada una cubre el punto ciego de la otra.

En pruebas sobre tráfico industrial real, un modelo híbrido que combina ambas alcanzó una precisión del 99,84 % detectando intrusiones en redes IIoT, por encima de los modelos evaluados por separado. Y funcionan con un consumo de cómputo bajo, sin necesitar una conexión activa para reconocer una amenaza.

Aprender sin entregar los planos de la planta

Hay un problema práctico detrás de todo esto: entrenar estas redes exige enormes volúmenes de tráfico, y pocas plantas están dispuestas a enviar sus datos operativos a un servidor externo.

El aprendizaje federado responde a esa reticencia. Es, en cierto modo, como si cada fábrica aprendiera dentro de su propio taller y solo compartiera con un servidor central la lección aprendida, nunca los planos del proceso. Probado sobre el conjunto de datos Edge-IIoTset, este enfoque alcanzó una precisión del 92,49 %, apenas por debajo del 93,92 % que logra un modelo centralizado tradicional, y sin exponer información sensible de la planta.

Aplicadas al tráfico IoT en tiempo real, estas redes detectan anomalías de día cero sin depender de firmas previas, operan con baja latencia en el borde de la red, se adaptan a nuevas variantes mediante aprendizaje continuo y se integran con honeypots para enriquecer su inteligencia de amenazas.

La disponibilidad va primero

Conviene aclarar algo: la inteligencia artificial no reemplaza la defensa en capas, la refuerza. Mesbah y su equipo trabajaron con Conpot, un honeypot que imita un PLC real para atraer y estudiar al atacante antes de que llegue a un equipo de verdad.

De ahí se desprende una idea que conviene interiorizar sobre el mundo OT: mientras la ciberseguridad de IT ordena sus prioridades en confidencialidad e integridad, en una planta industrial la disponibilidad va primero. Una línea detenida cuesta, por minuto, más que un dato filtrado.

Wai y Lee pusieron a prueba esta filosofía en una planta real de manufactura electrónica, donde implementaron segmentación de red, control de accesos granular y detección de anomalías. Los resultados: 57,4 % menos eventos de acceso no autorizado, 41,2 % más rapidez en la contención de amenazas y 79,2 % menos intentos de intrusión exitosos.

Recomendaciones para una mecatrónica segura

El secuestro de los sistemas de control dejó de ser un escenario hipotético hace tiempo. Ya en 2021, Gartner proyectaba que para 2025 el 30 % de las organizaciones de infraestructura crítica sufriría una brecha capaz de detener sistemas ciberfísicos de misión crítica. Ese horizonte ya quedó atrás, y nada en la trayectoria del ransomware industrial sugiere que la amenaza haya perdido fuerza.

La mayoría de las defensas estudiadas en la literatura se diseñan después del ataque, no antes. Ahí es exactamente donde el monitoreo neuronal en tiempo real aporta algo distinto. Andrade-Logroño y Cobos-Torres, en su revisión sobre SCADA en infraestructuras críticas, plantean una hoja de ruta concreta:

• Segmentación real de redes IT y OT, no solo en el papel.
• Autenticación multifactor en todo acceso remoto a PLC y HMI.
• Cifrado de comunicaciones industriales, incluso en protocolos heredados.
• Sistemas de detección de intrusos activos, idealmente basados en IA.
• Actualización continua de firmware y evaluación periódica de riesgos.
• Capacitación del personal de planta, no solo del equipo de IT.

Ninguna de estas medidas pertenece en exclusiva al mundo de la ciberseguridad tradicional. Todas exigen la mirada de alguien que entienda tanto el PLC como el paquete de red que lo amenaza.

Para llevar

El ransomware dejó de ser, hace ya varios años, un problema exclusivo de la oficina. Los casos de Norsk Hydro, Honda, Gedia y Colonial Pipeline lo confirman: basta una credencial robada en IT para detener robots, prensas y oleoductos enteros. Y la convergencia IT/OT que hizo posible la industria 4.0 es, precisamente, la misma que dejó esa puerta abierta.

Pero la defensa también evolucionó. Redes neuronales que analizan tráfico IoT en tiempo real, reforzadas con aprendizaje federado, ya permiten detectar un vector de ataque antes de que alcance un controlador físico. El ransomware industrial ya no ataca archivos: ataca físicamente la producción, y esa es la razón por la que vigilar el tráfico dejó de ser una tarea de la oficina para volverse parte del trabajo de planta.

Fuentes

Este artículo se publicó originalmente en la Biblioteca Digital de Cyberprevention y se apoya, entre otras, en estas referencias:

• Pospisil, Blazek, Kuchar, Fujdiak y Misurec, “Application Perspective on Cybersecurity Testbed for Industrial Control Systems”, Sensors, vol. 21, n.º 23, 2021.
• Wang, Zhang, Chen, Liu, Wang y Wang, “A Survey on Programmable Logic Controller Vulnerabilities, Attacks, Detections, and Forensics”, Processes, vol. 11, n.º 3, 2023.
• Andrade-Logroño y Cobos-Torres, “Vulnerabilidades y ciberseguridad en sistemas SCADA”, MQRInvestigar, vol. 9, n.º 1, 2025.
• Beaman, Barkworth, Akande, Hakak y Khan, “Ransomware: Recent advances, analysis, challenges and future research directions”, Computers & Security, vol. 111, 2021.
• Benmalek, “Ransomware on cyber-physical systems: Taxonomies, case studies, security gaps, and open challenges”, Internet of Things and Cyber-Physical Systems, vol. 4, 2024.
• Altunay y Albayrak, “A hybrid CNN+LSTM-based intrusion detection system for industrial IoT networks”, Engineering Science and Technology, vol. 38, 2023.