El mago de OT: Aprovechando MDR para proteger la manufactura

Los ciberdelincuentes que buscan ganancias rápidas han estado atacando a la industria manufacturera durante años, ya que los sistemas obsoletos que se utilizan frecuentemente resultan objetivos fáciles.

La industria manufacturera, responsable de la producción de sistemas de transporte, productos químicos, infraestructura energética y más, es lo que mantiene en movimiento la bien engrasada máquina de la economía mundial.

Sin embargo, no todo es lo mismo cuando se trata del sector manufacturero. Existen Nodos críticos que la mayoría de los estados-nación identifican como cruciales para la infraestructura crítica. Estos incluyen metales primarios, maquinaria, equipos y componentes eléctricos y equipos de transporte. Prevenir la interrupción de estos sectores en una piedra angular de la seguridad y la estabilidad nacional.

Para los fabricantes, la transformación digital ha demostrado ser un arma de doble filo, ya que, si bien crea oportunidades mejoradas para la productividad y una mayor eficiencia, también abre una caja de Pandora de problemas derivados del uso de dispositivos cibernéticos adyacentes que dependen de la tecnología operativa (OT) y las redes de TI que pueden ser abusadas para realizar ataques devastadores, deteniendo las líneas de producción y amenazando la existencia de las empresas más grandes e, incluso, de la seguridad nacional.

Un buen ejemplo de esta superposición son los ataques modernos a la cadena de suministro. En 2021, un importante oleoducto de combustible de Estados Unidos que transportaba 2.5 millones de barriles al día fue desactivado tras un ataque de ransomware por la banda de ciberdelincuentes DarkSide. Esto obligó al gobierno de EE. UU. a relajar las reglas sobre el transporte de combustible por tierra y provocó un aumento de alrededor del 6 por ciento en los precios de la gasolina. Según se informa, los atacantes ingresaron a través de una contraseña de cuenta VPN expuesta. Al final, la empresa optó por pagar un rescate de alrededor de 5 millones de dólares para recuperar sus sistemas.

Sin embargo, el ransomware no es la única amenaza que puede afectar a los fabricantes. En 2017, los investigadores de ESET revelaron Industroyer, una de las mayores amenazas para los sistemas de control industrial. Las capacidades de este malware incluyen el control directo de interruptores y disyuntores de subestaciones eléctricas mediante el abuso de los protocolos de comunicación industrial utilizados en la infraestructura de suministro de energía, los sistemas de control de transporte y otros sectores críticos. Esto significa que el impacto potencial de un ataque podría causar daños y fallos en cascada en los equipos.

Debido a la estrecha interconexión entre proveedores, contratistas, distribuidores y prestadores de servicios externos, se crea una superficie de ataque ampliada. Si se cae una ficha, cual dominó, las demás siguen. Lo mismo ocurre con los sistemas conectados internamente, como sucedió con el caso del malware Petya: comprometió el software de contabilidad M.E.Doc y ejecutó una actualización troyanizada, permitiendo a los atacantes lanzar una campaña global y masiva de ransomware.

Estos incidentes son especialmente perjudiciales para los fabricantes críticos que utilizan sistemas heredados. A diferencia de otras industrias, donde los sistemas obsoletos pueden actualizarse o reemplazarse más fácilmente (como en la industria de TI), la manufactura depende de equipos especializados y costosos que a veces utilizan sistemas informáticos obsoletos. Así, cuando una planta de producción es atacada por un ransomware como LockerGoga, podría obligar a una operación global a entrar en modo manual, costando millones debido a la pérdida de eficiencia.

Sin embargo, la actualización o el reemplazo de estos sistemas a menudo requiere un tiempo de inactividad prolongado, lo que puede resultar en grandes pérdidas financieras debido a los retrasos operativos. Esto crea un entorno en el que las inversiones en ciberseguridad y las actualizaciones de sistemas a menudo no tienen prioridad, creando brechas en la seguridad que, con el tiempo, sin duda serían explotadas.

La gran pregunta aquí es: ¿quién debería asumir la mayor responsabilidad por las fallas de seguridad derivadas del uso de sistemas obsoletos o inseguros? ¿Los profesionales de ciberseguridad que hacen todo lo posible por proteger la operación 24/7, o los líderes que podrían preferir evitar interrupciones menores relacionadas con el mantenimiento, arriesgándose a pagar rescates millonarios y enfrentar paralizaciones globales?

Dado que el costo promedio de una brecha de datos en el sector industrial es de 5.56 millones de dólares, es urgente que se generen debates serios y exhaustivos dentro de las salas de juntas sobre si estos costos son aceptables.

Los ejecutivos y gerentes juegan un papel clave a la hora de definir cómo se prioriza e implementa la ciberseguridad en una organización. Para los fabricantes, esto implica tratar la ciberseguridad como un objetivo estratégico del negocio, en lugar de relegarla a ser una simple responsabilidad del departamento de TI.

En esencia, los líderes deben asignar recursos de forma estratégica, asegurando un presupuesto dedicado para herramientas, capacitación y personal especializado de ciberseguridad. Además, hacer esto en conjunto con actualizaciones y mejoras de procesos puede traer beneficios significativos en forma de mayor productividad y generando más oportunidades de negocio a largo plazo.

Una vez que el liderazgo establece objetivos firmes para mejorar la seguridad, también debe considerar a su equipo. Esto se aplica menos a los operadores manuales y más a quienes tienen acceso a sistemas críticos conectados a la red, que podrían introducir amenazas como malware en los sistemas industriales. Así lo subraya el Informe de Investigaciones de Brechas de Datos de Verizon de 2024, que reveló que el 83% de las brechas en manufactura se debieron a intrusiones en el sistema, ingeniería social y ataques básicos a aplicaciones web.

Los ciberdelincuentes suelen explotar a las personas mediante tácticas de ingeniería social, como mensajes de phishing, o introduciendo malware en sus dispositivos a través de archivos adjuntos maliciosos u otras descargas engañosas. Por eso, es fundamental ofrecer capacitaciones periódicas de ciberseguridad que aborden temas como la concientización sobre el phishing, la gestión segura de contraseñas y el manejo adecuado de datos sensibles. Además, se debe fomentar una cultura de seguridad abierta y con prioridad en la prevención, donde los empleados se sientan cómodos de reportar actividades sospechosas sin temor a repercusiones.

Adicionalmente, herramientas avanzadas de ciberseguridad como la protección de endpoints y las soluciones de detección y respuesta extendida (XDR) son indispensables para los fabricantes. Estas tecnologías ofrecen visibilidad en tiempo real de toda la red empresarial, ayudando a detectar anomalías y amenazas potenciales antes de que escalen. Este tipo de protección también puede contratarse como un servicio administrado, lo que garantiza cobertura continua con alcance global.

ESET protegiendo a los fabricantes

Servicios administrados como ESET MDR pueden ofrecer seguridad continua las 24 horas del día, reduciendo los riesgos con soluciones como EDR, especialmente en entornos donde el personal de seguridad es escaso o no cuenta con la capacitación adecuada. Todo esto se logra sin necesidad de realizar grandes inversiones en recursos internos y manteniendo la eficiencia de la producción. La oferta MDR de ESET también incluye ESET Detection & Response Ultimate, un servicio altamente personalizado que actúa como un brazo de seguridad extendido especializado de sus clientes, proporcionando profesionales respaldados por investigación avanzada, capaces de responder a incidentes en tan solo 20 minutos.

Más allá de las amenazas externas, existen diversas regulaciones y estándares de cumplimiento que también imponen sanciones en caso de fallas de seguridad, especialmente cuando estas pudieron haberse evitado.

En la Unión Europea, normativas como la Directiva NIS2 o el Reglamento de Maquinaria 2023/1230 establecen requisitos específicos para sectores críticos. La NIS2 reconoce a la manufactura como un sector esencial, exigiendo una mayor seguridad en la cadena de suministro, una gestión adecuada de los riesgos y obligaciones claras de reporte. Por su parte, el Reglamento de Maquinaria es más específico y obliga a los fabricantes a desarrollar conceptos de seguridad industrial apropiados, con un enfoque prioritario en la ciberseguridad, incluida una referencia al Reglamento de Ciberseguridad de la UE  cuando las máquinas contienen elementos digitales o están conectadas a redes.

De este lado del charco, está la  serie de normas ISA/IEC 62443, que establece requisitos para mantener la seguridad de los sistemas de automatización y control industrial. Para los fabricantes de dispositivos médicos, la Ley de Asignaciones Consolidadas de 2023, sección 524B, exige evaluaciones rigurosas que garanticen que los dispositivos conectados cumplan con los estándares de ciberseguridad, como la aplicación de parches de vulnerabilidad.

Dado que los gobiernos seguirán enfocándose en la resiliencia cibernética confiable, es razonable anticipar que surgirán más estándares de cumplimiento para industrias críticas.

Para mitigar los riesgos asociados con sistemas heredados, los fabricantes deben implementar estrategias de prevención sólidas, como el air gapping o la segmentación de la red.

El air gapping consiste en aislar por completo los sistemas críticos de cualquier red, evitando así accesos no autorizados. En términos simples, a menos que se inserte un USB infectado, los actores maliciosos tendrían muchas más dificultades para acceder. Sin embargo, esto también está cambiando, como lo demuestra una investigación reciente de ESET.

Dada la creciente interconectividad, el air gapping ya no puede ser la única estrategia de ciberresiliencia en entornos OT, especialmente cuando se trata de proteger infraestructuras críticas.

Por eso, medidas adicionales como la segmentación de red, que divide la red en zonas más pequeñas y aisladas, pueden ayudar a contener posibles brechas con mayor facilidad. En esencia, estas estrategias aseguran que, incluso si una parte del sistema es comprometida, los atacantes no puedan acceder a otras áreas.

De forma complementaria, puede lograrse un alto nivel de protección mediante servicios de detección y respuesta administrada como ESET MDR, que ayudan a prevenir amenazas sofisticadas antes de que afecten los procesos de manufactura.