📻 Versión en audio: si prefieres escuchar en vez de leer, el resumen del artÃculo está justo aquà arriba.
«¿Y por qué no los desconectan y ya?». Si trabajas en seguridad corporativa, esa pregunta te debe haber cruzado la cabeza cada vez que sale otra noticia de hackeo a congeladores de supermercados, a bancos de sangre o a plantas de agua. Me pasó a mí esta semana leyendo el último capítulo de esta racha negra de la seguridad industrial. Y la respuesta corta es incómoda: el enchufe que quieren desenchufar nunca existió.
Cómo le perdimos el miedo a conectar todo
Quince o veinte años atrás, los equipos industriales eran islas de verdad: protocolos seriales privativos, firmware escrito por el propio fabricante, cada proveedor con su mundo. Seguro, sí, pero carísimo de mantener: piezas escasas, técnicos escasos, repuestos que viajaban meses. La industria resolvió ese dolor como se resuelven todos los dolores de costo: con hardware estándar. PCs con Windows como interfaces de operador, Ethernet comercial encapsulando el tráfico serial, arquitecturas uniformes porque se despliegan y se renuevan más rápido. El efecto secundario fue obvio (y igual se hizo): lo que es familiar para un técnico de sistemas ahora es familiar para un atacante, y una red tipo igual a otra en otro país escala los ataques igual que escala los repuestos.
Todo quiere conectarse, y todos quieren conectarse
La primera fuerza es telemetría. Con energías renovables y logística just-in-time, las decisiones ya se toman a velocidad de máquina: la inercia de la red eléctrica bajó con las renovables y ahora el ajuste fino de generación y carga es continuo. El resultado del que poco se habla: hay compañías eléctricas que hoy no pueden volver a operación manual por más de unos días. Cortar la conexión no es una opción operacional, es apagar el negocio.
La segunda es humana y contractual. El soporte remoto cuesta menos que técnicos permanentes en cada sitio, la pandemia terminó de imponerlo, y las condiciones quedaron congeladas: fabricantes que exigen acceso remoto como condición de soporte dentro del SLA. No es maldad, es el negocio tal como se negoció.
El inventario que nadie quiere hacer
Lo más brutal del caso: quien responde incidentes en entornos industriales a jornada completa cuenta que cuando hace forense en una red industrial normalmente encuentra cinco a siete mecanismos de acceso remoto ademas del DMZ del nivel 3.5 que todos creen conocer: modems sobrantes, concentradores VPN, puentes inalámbricos que montó el subcontratista que hizo la pega un martes. No es traición del área de IT: son años de decisiones razonables que cada una, en su momento, defendía sola.
Yo trabajo en sistemas críticos donde la telemetría no es un lujo, es la razón de existir del sistema. Cuando escucho «air-gap y listo», sé de sobra que quien lo dice nunca hizo el inventario de accesos remotos, porque el inventario asusta. No hay un enchufe: hay más de media docena, cada uno con un contrato detrás y un proveedor que amenaza con retirar el soporte si desactivas el suyo.
Y esto va a empeorar antes de mejorar
Los modelos de lenguaje han bajado la barrera para entender qué dispositivos expuestos son homogéneos y mal defendidos, automatizando ataques simples y disruptivos en masa. No hace falta campaña estatal sofisticada para tirar congeladores a la basura: basta un scan, una CVE sin parchear y presupuesto cero del otro lado.
Mi takeaway para ti: en vez de preguntarte “¿por qué está conectado?”, pregúntate ¿cuántas conexiones tiene ese sistema y quién negoció cada una? Ahí está la superficie real de ataque, no en el diagrama de la auditoría. Y si la respuesta es «no lo sé», tienes tu próxima pega: mapear los accesos remotos es el control más barato que existe contra ataques que ya están ocurriendo. Poca empatía por parte de la gente de enterprise security, mucha curiosidad: el propio autor de la referencia lo pide de forma explícita. Es la mejor forma de aportar a este campo.
Fuente de inspiración: Let’s Talk About Why all This OT Stuff is Connected
