Buena parte del tejido industrial sigue funcionando sobre sistemas de tecnología operacional (OT) con décadas de servicio, muchos con sistemas operativos descatalogados o sin soporte del fabricante. No es negligencia, es aritmética: son equipos fiables, parar una línea de producción cuesta dinero real y sustituir infraestructura integrada en el proceso es un proyecto, no una compra. ESET recoge el término con el que las principales agencias de ciberseguridad han bautizado el resultado: obsolescencia autoestablecida —hardware que sigue cumpliendo su función con normalidad mientras actualizarlo, sustituirlo y protegerlo se vuelve progresivamente más difícil—.
El origen del problema está en el diseño: durante años, los sistemas de control industrial operaron aislados de las redes corporativas e internet, así que la escasez de medidas de seguridad en sus protocolos no era un riesgo relevante. La digitalización y la convergencia entre TI y OT eliminaron ese aislamiento y dejaron expuestas unas arquitecturas que nunca se concibieron para estar conectadas.
El dato que lo resume
Según cifras del SANS Institute recogidas por ESET, cerca del 60% de los ataques contra entornos OT se originan en un compromiso previo de la infraestructura de TI corporativa. Además, el 22% de las organizaciones de sectores esenciales declaró haber sufrido al menos un incidente durante el último año; de esos, el 40% provocó interrupciones operativas y casi uno de cada cinco necesitó más de un mes para resolverse por completo.
Ese 60% es la cifra que conviene retener, porque desmonta la defensa más habitual en una planta: «nuestros sistemas de producción están separados». La separación importa, pero el atacante no entra por ahí. Entra por el correo de administración, por unas credenciales reutilizadas o por un acceso remoto de mantenimiento, y desde ahí llega. Y el segundo dato —un mes largo de recuperación en casi el 20% de los casos— explica por qué el ransomware industrial es tan rentable: lo que se negocia no es el rescate de unos archivos, es el coste de cada día de fábrica parada.
Como referencia histórica, ESET cita BlackEnergy, vinculado al apagón de entre cuatro y seis horas que dejó sin suministro a unas 230.000 personas en Ucrania en 2015; su sucesor GreyEnergy; Industroyer, responsable de un apagón en Kiev en 2016; e Industroyer2, dirigido contra infraestructura energética ucraniana en 2022. Menciona también NotPetya, que sin ser un ataque diseñado contra entornos OT resultó igualmente devastador para ellos.
Qué recomienda ESET
Las medidas que propone no pasan por renovar el hardware, sino por ganar visibilidad y adaptar la arquitectura a lo que hay:
- Mapear los sistemas conectados que hoy no tienen ninguna cobertura de seguridad.
- Identificar los puntos exactos donde se cruzan las redes de TI y las de OT.
- Segmentar esas redes y, sobre todo, monitorizar esa segmentación en vez de darla por buena.
- Cubrir los sistemas que ya no reciben soporte del fabricante, en lugar de asumir que no se puede hacer nada con ellos.
- Proteger desde la red aquellos equipos donde no es posible instalar un agente de seguridad.
- Mantener soporte de seguridad más allá de la ventana de vida que fijó el fabricante original.
A la presión técnica se suma la regulatoria: contratos con proveedores, aseguradoras y normativas como la Directiva NIS2 exigen cada vez más demostrar controles efectivos también sobre los sistemas heredados. Ya no basta con que la planta funcione; hay que poder enseñar cómo se protege.
La mayoría de pymes no tienen una planta con autómatas de hace treinta años, pero el principio no cambia con el tamaño: lo viejo no es el problema mientras nadie recuerde que sigue ahí, encendido y conectado. Un servidor en un armario, una máquina que nadie apaga porque «da miedo tocarla», un acceso remoto que se abrió una vez para un proveedor. El primer paso es siempre el mismo: saber qué hay, quién puede llegar a ello y desde dónde. Es el punto de partida de Ciberseguridad.
Fuente: ESET, «Cybersecurity for the long haul: Protecting legacy OT systems», por Tomáš Foltýn, 17 de junio de 2026.