Ciberseguridad Industrial Análisis de Amenazas 📅 Septiembre 2026 | ⏱️ 14 min de lectura
En dieciséis años, atacar un sistema industrial pasó de requerir seis meses de desarrollo, un laboratorio con hardware industrial real y certificados digitales robados, a requerir una contraseña de fábrica que nadie cambió. Este análisis reconstruye esa evolución con documentación primaria, examina qué muestran los datos de 2025 y proyecta qué implica para las organizaciones chilenas calificadas como Operadores de Importancia Vital.
Un marco para leer dieciséis años
La historia de los ataques a tecnología operacional admite una división en tres etapas, definidas no por la sofisticación técnica sino por quién podía ejecutarlos.
| Etapa | Período | Quién atacaba | Qué se necesitaba |
|---|---|---|---|
| El arma de Estado | 2010-2016 | Actores estatales | Esquemas del sistema objetivo, laboratorio de pruebas, meses de desarrollo |
| La democratización | 2017-2022 | Criminales organizados | Herramientas disponibles, acceso comprado |
| La industrialización | 2023-2026 | Ecosistema con división del trabajo | Credenciales por defecto |
Cada transición redujo la barrera de entrada. Ninguna la volvió a subir.
Etapa I · 2010-2016
Cuando atacar una planta requería un Estado
Stuxnet, 2010
El análisis técnico de referencia es el W32.Stuxnet Dossier de Symantec Security Response, versión 1.4, publicado en febrero de 2011 por Nicolas Falliere, Liam O Murchu y Eric Chien.
El documento permite dimensionar el esfuerzo con precisión poco común.
Lo que los atacantes necesitaron antes de escribir una línea de código
Symantec lo describe así: como cada controlador se configura de manera única, los atacantes primero necesitaban los esquemas del sistema de control. Esos documentos de diseño pudieron ser robados por alguien interno o recuperados por una versión temprana del propio malware.
Después necesitaron montar un entorno espejo que incluyera el hardware industrial necesario, con controladores, módulos y periféricos, para probar su código.
La estimación de Symantec sobre el ciclo completo: seis meses y entre cinco y diez desarrolladores principales, sin contar el personal de control de calidad y gestión.
Y necesitaron dos certificados digitales válidos para firmar sus controladores. Symantec observa que alguien pudo haber entrado físicamente a las instalaciones de las dos empresas para obtenerlos, dado que ambas estaban en proximidad física.
El criterio de activación. Stuxnet no atacaba cualquier sistema. Verificaba que hubiera al menos 33 convertidores de frecuencia de dos fabricantes específicos: Vacon, de Finlandia, y Fararo Paya, de Teherán. Si no los encontraba, no se activaba.
El mecanismo. Según el Dossier, la secuencia A elevaba la frecuencia máxima a 1410 Hz, luego la reducía a 2 Hz, y después la fijaba en 1064 Hz. El rango operativo normal que el código esperaba observar antes de actuar estaba entre 807 y 1210 Hz.
El informe del Institute for Science and International Security aporta el dato que explica por qué 1410 Hz y no otra cifra: para el rotor de la centrifugadora IR-1, esa frecuencia corresponde a una velocidad tangencial de pared de 443 metros por segundo. El tubo rotor, de aluminio de alta resistencia, tiene una velocidad tangencial máxima de entre 440 y 450 metros por segundo.
Los atacantes eligieron una frecuencia que sitúa el rotor exactamente en el límite de su resistencia mecánica.
El engaño al operador, en tres capas
Primera capa: falsificación de lecturas
Symantec documenta que Stuxnet registraba las frecuencias operativas previas y las reproducía al sistema de monitoreo durante la rutina de sabotaje. En la pantalla, los convertidores parecían operar con normalidad.
Segunda capa: desactivación de alarmas
El ISIS documenta que cada secuencia de ataque enviaba comandos para apagar los controles de advertencia y seguridad de los convertidores, diseñados precisamente para alertar al operador sobre aceleraciones o desaceleraciones anómalas.
Tercera capa: bloqueo de la parada segura
Stuxnet infectaba el bloque OB35, el temporizador de vigilancia que el controlador ejecuta cada 100 milisegundos. Durante el sabotaje, el código malicioso impedía la ejecución del OB35 original.
La observación de Symantec merece citarse: asumiendo que el código original del OB35 iniciaba un apagado controlado ante eventos catastróficos, aunque los operadores se dieran cuenta de que el sistema operaba de forma anormal, no podrían detenerlo con seguridad.
El resultado físico, con la precisión que corresponde
Los datos de salvaguardias del Organismo Internacional de Energía Atómica muestran que entre noviembre de 2009 y enero de 2010, en el módulo A26 de la Planta de Enriquecimiento de Combustible en Natanz, once de dieciocho cascadas quedaron con centrifugadoras desconectadas. Esas once cascadas contenían 1.804 centrifugadoras IR-1.
El ISIS documenta que Irán retiró y reemplazó aproximadamente mil centrifugadoras a fines de 2009 o principios de 2010, lo que implica que se rompieron, y que ese nivel de rotura excedió las expectativas.
Sobre la causa, el informe es explícitamente cauteloso. Su título es una pregunta y se presenta como evaluación preliminar. Su conclusión textual: Stuxnet es una explicación razonable para el daño aparente al módulo A26, pero quedan preguntas sobre esa conclusión.
Red eléctrica de Ucrania, diciembre de 2015
El informe de referencia es Analysis of the Cyber Attack on the Ukrainian Power Grid: Defense Use Case, publicado el 18 de marzo de 2016 por el E-ISAC y SANS ICS, con autoría de Robert M. Lee, Michael J. Assante y Tim Conway.
El 23 de diciembre de 2015, alrededor de las 15:35 hora local, siete subestaciones de 110 kV y veintitrés de 35 kV quedaron desconectadas durante tres horas. Se supo después que tres empresas distribuidoras distintas fueron atacadas, con ataques ejecutados dentro de treinta minutos unos de otros. Al menos veintisiete subestaciones quedaron fuera de línea, afectando a aproximadamente 225.000 clientes.
El informe documenta que los atacantes obtuvieron acceso más de seis meses antes, como parte de una campaña de acceso más amplia conducida en la primavera de 2015. El gráfico de la operación completa abarca desde marzo hasta el 23 de diciembre.
Lo que los atacantes desarrollaron a medida. El informe documenta que escribieron firmware malicioso para los dispositivos convertidores de serie a ethernet en las subestaciones, cargándolo en múltiples sitios en períodos cortos. Los autores caracterizan ese ataque con una frase que quedó en el vocabulario del sector: quemar los puentes. Aunque los operadores recuperaran sus estaciones de trabajo, no podrían enviar comandos remotos para reconectar las subestaciones.
La evaluación del informe sobre dónde estaba la capacidad real es explícita: la capacidad más fuerte de los atacantes no estuvo en su elección de herramientas ni en su experticia técnica, sino en su capacidad de realizar operaciones de reconocimiento de largo plazo necesarias para aprender el entorno y ejecutar un ataque altamente sincronizado, multietapa y multisitio.
Un detalle que conecta con el presente. El informe consigna que las conexiones VPN desde la red de negocio hacia la red industrial aparentemente carecían de autenticación de dos factores.
Etapa II · 2017-2022
Cuando el ransomware descubrió la industria
La transición no ocurrió porque los criminales desarrollaran capacidades comparables a las de un Estado. Ocurrió porque descubrieron que no las necesitaban.
El informe anual de Waterfall Security e ICS STRIVE documenta el mecanismo. Históricamente, las consecuencias físicas se produjeron por cuatro vías, distribuidas aproximadamente en treinta por ciento cada una de las tres primeras y diez por ciento la última.
- 1Compromiso directo de los sistemas de automatización. La vía que requiere conocimiento industrial.
- 2Paradas precautorias. La organización detiene la operación porque no confía en operar durante un ataque en curso.
- 3Dependencias de sistemas de gestión. La producción física se detiene porque un sistema administrativo esencial dejó de funcionar.
- 4Efectos de cadena de suministro. El ataque golpea a un proveedor o cliente y la consecuencia se propaga.
Tres de esas cuatro vías no exigen que el atacante entienda el proceso industrial. Basta con cifrar los sistemas administrativos y esperar. Ese descubrimiento eliminó la barrera de entrada que definía la etapa anterior.
Etapa III · 2023-2026
La industrialización del ataque
Los datos provienen del informe 2026 de Waterfall e ICS STRIVE, que aplica criterios restrictivos: solo cuenta incidentes deliberados, con consecuencias físicas verificables, en industria pesada o infraestructura crítica, documentados en el registro público. El informe publica su dataset completo, con los 57 incidentes de 2025 y enlaces a las fuentes de cada caso.
2024
76
Incidentes con consecuencias físicas
2025
57
Caída de 25%
La caída es real. Los autores examinan tres hipótesis y descartan dos.
Hipótesis descartada
Hay incidentes ocultos
Las consecuencias físicas son difíciles de esconder. Cruzan el dato con la encuesta del SANS Institute: de 330 encuestados, el 22% sufrió un incidente y el 15% de esos resultó en degradación o interrupción de un sistema de ingeniería, equivalente a diez casos.
Hipótesis descartada
Las defensas mejoraron
Citan datos de Google y Mandiant que muestran que las vulnerabilidades de día cero explotadas se mantienen constantes desde el cambio de década. Y observan que no se divulgaron nuevas herramientas de ataque específicas para sistemas de control durante 2025.
Hipótesis aceptada
Hubo menos ransomware, por razones temporales
Parte de los criminales dejó de cifrar y solo extorsiona por datos. El ecosistema se reorganizó a mediados de 2025 cuando un proveedor importante cerró. Y la persecución penal redujo algo la población de atacantes.
Mientras el ransomware bajaba, los ataques deliberados de estados y hacktivistas se duplicaron. De los catorce registrados, cinco están vinculados al conflicto entre Rusia y Ucrania.
El caso que cierra el arco de dieciséis años
El 29 de diciembre de 2025, atacantes rusos ingresaron a más de treinta generadores eólicos y solares polacos, y a equipos de control de una planta de cogeneración que suministra calor a casi medio millón de clientes.
Los atacantes llevaban meses en las redes y tenían privilegios administrativos sobre los firewalls de cada sitio.
| Dispositivo | Método |
|---|---|
| Hitachi RTU560 | Firmware corrupto, equipo en ciclo de reinicio |
| RTU Mikronika | Acceso al sistema operativo subyacente, intento de borrado total |
| Relés Hitachi Relion 650 | Cuenta FTP por defecto, borrado de archivos esenciales |
| Computadores HMI Mikronika | Escritorio remoto, programa de borrado en dos pasadas |
| Servidores seriales Moxa NPort | Credenciales por defecto, restablecimiento de fábrica |
Comparado con Ucrania 2015, donde los atacantes escribieron firmware a medida y montaron una operación de reconocimiento de nueve meses, aquí dos de los cinco métodos consistieron en usar contraseñas que están publicadas en el manual del fabricante.
La capacidad destructiva aumentó. El esfuerzo requerido bajó.
La referencia económica
El ataque a Jaguar Land Rover detuvo las fábricas británicas por más de un mes.
| Concepto | Monto |
|---|---|
| Costos directos de recuperación reportados | USD 258 millones |
| Pérdidas totales de la compañía | ~USD 1.000 millones |
| Impacto sobre la economía británica, incluyendo proveedores | USD 2.500 millones |
El informe lo ubica entre los tres incidentes más costosos de la historia de la seguridad OT, comparable a NotPetya sobre Merck, donde la farmacéutica obtuvo 1.400 millones de su aseguradora, y a Stuxnet, estimado entre 2.000 y 3.000 millones.
Un ataque de ransomware genérico de 2025 alcanzó el orden de magnitud de una operación de Estado de 2010.
Proyección 2027-2030 para Chile
La proyección textual del informe de Waterfall para el escenario global: en ausencia de otros cambios, la actividad de ransomware volverá a aumentar a tasas cercanas a las históricas de treinta a sesenta por ciento anual durante 2026-2027.
Sobre esa base, cuatro consideraciones aplican al contexto chileno.
El tamaño no es factor de protección
El dataset incluye 21 países, desde economías altamente industrializadas hasta naciones menores. El ataque a Polonia afectó generadores que, según el propio CERT polaco, no eran suficientemente grandes en conjunto para impactar la red nacional. Fueron atacados igual.
Nada en la metodología es específico de un país
El informe del E-ISAC sobre Ucrania lo estableció hace una década con una formulación que sigue vigente: nada del ataque en Ucrania era inherentemente específico de la infraestructura ucraniana. El impacto de un ataque similar puede ser distinto en otras naciones, pero las tácticas, técnicas y procedimientos observados son empleables en infraestructuras de todo el mundo.
La calificación como OIV crea visibilidad que antes no existía
La Ley 21.663 estableció obligación de reportar incidentes a la ANCI en plazos de tres horas, setenta y dos horas y quince días. Más de 1.150 organizaciones están calificadas. Cuando esos reportes empiecen a fluir de forma sistemática, el panorama real de incidentes industriales en Chile será visible por primera vez. Es razonable anticipar que las cifras públicas aumenten, no porque haya más ataques, sino porque antes no se contaban.
El vector documentado sigue siendo el mismo desde 2015
El informe de Ucrania consignó que las VPN hacia la red industrial carecían de autenticación de dos factores. La encuesta del SANS Institute de 2025 establece que la mitad de los incidentes industriales se originó en conectividad externa o rutas de acceso remoto, y que el treinta y uno por ciento de las organizaciones no mantiene inventario formal de esos accesos.
Diez años después, el mismo vector.
Lo que dieciséis años de evidencia permiten concluir
La barrera de entrada solo ha bajado
Stuxnet requirió los esquemas de un sistema de control específico, un laboratorio con hardware industrial real, seis meses de desarrollo, entre cinco y diez ingenieros, y dos certificados digitales robados. El ataque a Polonia de 2025 requirió, en dos de cinco casos, conocer la contraseña que viene en el manual.
El costo del incidente solo ha subido
El impacto económico de un ataque de ransomware genérico en 2025 alcanzó el orden de magnitud de una operación de Estado de 2010.
Las fluctuaciones anuales no invierten la tendencia
La caída de 2025 se explica por factores temporales del ecosistema criminal, no por mejoras defensivas. Los propios autores del informe recomiendan que los equipos que defienden operaciones industriales no se apoyen en una disminución prolongada de la actividad de amenazas.
Para entender la diferencia entre entornos de gestión y operacionales, revisa nuestra entrada sobre IT vs OT e IEC 62443. Para el enfoque práctico en instalaciones existentes, revisa cómo proteger sistemas que nacieron sin seguridad. Y para el marco de gobernanza, revisa gobernanza de seguridad en entornos IT y OT.
En diciembre de 2010, el informe del Institute for Science and International Security que analizaba los efectos de Stuxnet cerró con una advertencia. Sus autores plantearon que países hostiles podrían sentirse justificados para lanzar sus propios ataques, quizás incluso usando código Stuxnet modificado, y que un ataque así podría apagar grandes porciones de redes eléctricas nacionales u otra infraestructura crítica, causando una emergencia nacional.
Quince años después, el informe de Waterfall documenta a atacantes con privilegios administrativos sobre los firewalls de más de treinta instalaciones de generación eléctrica europeas, borrando firmware con contraseñas de fábrica.
La advertencia se cumplió. Para los Operadores de Importancia Vital chilenos, la proyección relevante no es cuántos ataques habrá. Es que el primer incidente de impacto público en Chile va a ocurrir en un contexto donde la obligación de reportar ya existe, los plazos son de tres horas, y la evidencia de que los controles funcionaban debe estar construida antes, no después.
Fuentes primarias: Falliere, Murchu y Chien, W32.Stuxnet Dossier, versión 1.4, Symantec Security Response, febrero de 2011 · Albright, Brannan y Walrond, Did Stuxnet Take Out 1,000 Centrifuges at the Natanz Enrichment Plant?, Institute for Science and International Security, 22 de diciembre de 2010 · Lee, Assante y Conway, Analysis of the Cyber Attack on the Ukrainian Power Grid: Defense Use Case, E-ISAC y SANS ICS, 18 de marzo de 2016 · Ginter, Hale y Walhof, 2026 OT Cyber Threat Report, Waterfall Security Solutions e ICS STRIVE, marzo de 2026 · SANS Institute, State of ICS/OT Cybersecurity 2025, sobre respuestas de 330 profesionales del sector industrial · Ley N.º 21.663, Marco de Ciberseguridad e Infraestructura Crítica de la Información.
¿Qué encontraría un atacante con acceso a sus sistemas de control?
En CSITI realizamos el levantamiento de activos OT y rutas de acceso externo sin interferir con la operación. El resultado incluye verificación de credenciales por defecto, exposición a internet y equipos sin reemplazo disponible en el mercado.
