Irán tras tu infraestructura crítica: la nueva amenaza en ciberseguridad
Hay cosas que a los profesionales de ciberseguridad nos quitan el sueño, y los ataques a infraestructuras críticas están en lo más alto de esa lista. La situación actual con Irán es particularmente preocupante, y no es para menos: estamos hablando de plantas de tratamiento de agua y otros sistemas fundamentales que podrían verse comprometidos como parte de una represalia geopolítica.
El aviso que nadie quería escuchar
Las principales agencias de seguridad estadounidenses (CISA, FBI, NSA y el Centro de Cibercrimen del Departamento de Defensa) han lanzado una advertencia conjunta que podría resumirse en: «Irán viene a por vosotros». Y cuando cuatro organismos de este calibre se ponen de acuerdo en algo, conviene prestar atención.
El mensaje es claro: «Actores cibernéticos afiliados a Irán pueden apuntar a dispositivos y redes estadounidenses para operaciones a corto plazo», un eufemismo técnico para decir que están preparando ataques como respuesta a las recientes acciones militares de Israel y Estados Unidos.
Aunque el aviso va dirigido principalmente a organizaciones norteamericanas, sabemos que este tipo de amenazas no suelen respetar fronteras. Lo preocupante no es solo la amenaza en sí, sino el estado de vulnerabilidad en el que se encuentran muchos de estos sistemas.
Sistemas de control industrial: el eslabón más débil
Los hackers iraníes tienen un objetivo preferente: los sistemas de control industrial (ICS), especialmente aquellos fabricados por empresas israelíes. Entre noviembre de 2023 y enero de 2024, el Cuerpo de la Guardia Revolucionaria Islámica de Irán ya demostró sus capacidades comprometiendo controladores lógicos programables (PLC) e interfaces hombre-máquina en múltiples sectores.
El caso de los dispositivos Unitronics
Los dispositivos de la serie Vision de Unitronics, una empresa israelí que fabrica controladores para automatización industrial, han sido particularmente vulnerables. En los ataques mencionados, lograron comprometer al menos 75 dispositivos, incluyendo 34 en instalaciones de agua estadounidenses.
¿Y sabes cuál fue el sofisticado método que utilizaron para hackearlos? Contraseñas predeterminadas o, peor aún, ausencia total de contraseñas. Sí, estamos en 2025 y seguimos teniendo infraestructuras críticas protegidas con el equivalente digital a dejar la puerta de casa abierta con un cartel de «pase usted».
El panorama actual: datos que asustan
La firma de seguridad Censys ha publicado recientemente un estudio que complementa estas advertencias, y los datos no invitan precisamente al optimismo. Entre enero y junio de este año, han observado un aumento sostenido de dispositivos de control industrial expuestos a Internet:
- Dispositivos con el marco Niagara de Tridium: aumento del 9%, hasta 43.167 unidades
- Equipos Red Lion: incremento del 7%, llegando a 2.639 dispositivos
- Sistemas Unitronics: crecimiento del 4%, alcanzando 1.697 dispositivos
El único fabricante que mostró una reducción fue Orpak SiteOmat, con un descenso del 24% en dispositivos expuestos. Pero incluso con esa mejora, tanto estos como los de Unitronics siguen enviándose con credenciales predeterminadas, lo que según Censys hace que «el acceso a estos sistemas sea trivial para un actor de amenaza».
¿Por qué Iran apunta específicamente a estos sistemas?
La lógica detrás de estos ataques combina factores técnicos y geopolíticos:
Impacto máximo con esfuerzo mínimo
Los sistemas de agua representan una infraestructura vital cuyo compromiso puede generar alarma pública y problemas sanitarios significativos. Un ataque exitoso puede provocar interrupciones en el suministro, contaminación o fallos en los sistemas de tratamiento, afectando directamente a la población.
Simbolismo político
Al apuntar a sistemas fabricados por empresas israelíes, Irán establece una conexión directa con el conflicto geopolítico actual. No es solo un ataque técnico, sino un mensaje político claro dirigido tanto a Israel como a sus aliados.
Vulnerabilidades conocidas y explotables
Como he mencionado, muchos de estos sistemas presentan configuraciones de seguridad deficientes. Para un grupo respaldado por un estado, con recursos y conocimientos avanzados, estos objetivos representan victorias «fáciles» con gran impacto mediático.
Cómo protegerse: más allá de las contraseñas
La buena noticia es que tanto las agencias federales como Censys han proporcionado recomendaciones para proteger estos sistemas. Y aunque cambiar las contraseñas predeterminadas parece algo obvio (y lo es), hay otras medidas igualmente importantes:
Segmentación de redes
Los sistemas de control industrial nunca deberían estar directamente expuestos a Internet. Una arquitectura de red bien diseñada, con zonas desmilitarizadas (DMZ) y múltiples capas de protección, puede dificultar enormemente el acceso no autorizado.
Actualizaciones de firmware
Muchos de estos dispositivos funcionan con versiones de firmware antiguas y vulnerables. Mantenerse al día con los parches de seguridad es fundamental, aunque requiera planificar ventanas de mantenimiento.
Monitorización continua
Implementar sistemas de detección de intrusiones específicos para entornos industriales puede ayudar a identificar comportamientos anómalos antes de que se conviertan en compromisos completos.
Autenticación multifactor
Siempre que sea posible, implementar MFA para el acceso a estos sistemas críticos añade una capa adicional de protección, especialmente para accesos remotos o administrativos.
La realidad sobre el terreno
Como profesional que ha trabajado con organizaciones que utilizan estos sistemas, puedo decir que la teoría y la práctica a menudo están separadas por un abismo. Los sistemas de control industrial suelen tener ciclos de vida muy largos (10-15 años no es raro), y fueron diseñados en épocas donde la conectividad a Internet no era la norma.
Muchos de estos dispositivos simplemente no fueron concebidos con la seguridad como prioridad, y actualizarlos o reemplazarlos puede ser costoso y complejo. Añade a eso equipos de TI y OT (Tecnología Operativa) que históricamente han trabajado en silos separados, y tienes la receta perfecta para vulnerabilidades persistentes.
Sin embargo, la amenaza actual de Irán podría ser el catalizador que muchas organizaciones necesitan para finalmente priorizar la seguridad de estos sistemas críticos. A veces se necesita una crisis inminente para impulsar el cambio, aunque lamento que tengamos que llegar a este punto.
En el cambiante panorama de la ciberseguridad, la protección de infraestructuras críticas ya no es negociable. Y mientras los actores estatales como Irán siguen desarrollando sus capacidades, nosotros tenemos que estar a la altura del desafío.
