La digitalización industrial y el auge de los dispositivos conectados multiplican los ataques a empresas. Foro UNIR puso de manifiesto que la ciberseguridad ya no es solo un asunto técnico, sino un desafío estratégico que afecta a la continuidad del negocio y la seguridad de las personas.
Los 7 puntos claves del Foro UNIR
- La industria 4.0 amplía la superficie de ataque: La conexión de sistemas industriales a internet incrementa los riesgos de ciberataques con impacto real.
- IT y OT deben alinearse: La integración sin una estrategia de seguridad adecuada genera vulnerabilidades críticas.
- El IoT es el eslabón más débil: Muchos dispositivos conectados no están diseñados bajo principios de seguridad desde el origen.
- Los ataques ya no son solo digitales: Un ciberataque industrial puede provocar daños físicos y afectar a personas.
- El factor humano sigue siendo clave: La ingeniería social es hoy uno de los principales vectores de ataque.
- La IA introduce nuevos riesgos: Su uso sin control puede exponer información crítica de las empresas.
- Falta talento especializado: La ciberseguridad industrial demanda perfiles híbridos y formación continua.
La industria 4.0 ha transformado la forma en que las empresas producen, operan y se conectan con su entorno. Sensores, sistemas industriales, dispositivos IoT y plataformas en la nube permiten hoy una gestión más eficiente, automatizada y remota de procesos críticos. Sin embargo, esta hiperconectividad también ha abierto la puerta a nuevos riesgos. Así se puso de manifiesto en el Foro UNIR ‘Ciberseguridad: riesgos para la Industria 4.0 y los dispositivos conectados‘, que reunió a expertos del sector tecnológico y financiero para analizar un problema que ya no pertenece al futuro, sino al presente.
Durante el encuentro, los ponentes coincidieron en una idea clave: la ciberseguridad industrial ha dejado de ser un asunto exclusivo de ingenieros o especialistas en IT. Hoy afecta directamente a la continuidad operativa de las empresas, a su reputación, a su impacto económico y, en algunos casos, incluso a la seguridad física de las personas. “No podemos proteger lo que no vemos”, advirtieron los especialistas, subrayando la necesidad de adoptar una visión integral y estratégica.
El Foro UNIR, que dirige y presenta el periodista Jorge Heili, contó con la participación, como ponente principal, de Jesús Muñoz Martínez, cybersecurity technical manager de Capgemini, especialista en ciberseguridad industrial e IoT. En la mesa de debate también intervinieron Juan de Vicente Mohíno, arquitecto de ciberseguridad en BNP Paribas Personal Finance, y Sebastián Caballero Barragán, director de Ciberseguridad de Green SQ, conectado desde Colombia.
De la fábrica aislada a la industria conectada
Jesús Muñoz Martínez fue el encargado de abrir el análisis con una exposición técnica y pedagógica sobre la evolución de los ataques a entornos industriales. Para ello, trazó una línea temporal que mostró cómo, a medida que las fábricas y sistemas de control industrial se han ido conectando a internet, también han aumentado los riesgos.
Uno de los ejemplos más emblemáticos fue el ataque Stuxnet, dirigido contra instalaciones nucleares iraníes, que demostró por primera vez que un ciberataque podía provocar daños físicos reales. “En el sector industrial, el daño no es solo digital, puede afectar a personas y a infraestructuras críticas”, explicó.
A diferencia del mundo IT tradicional, donde la prioridad es la confidencialidad y la integridad de los datos, los sistemas industriales están diseñados para garantizar la disponibilidad. “Lo importante es que la fábrica no se pare”, señaló. Esta diferencia de enfoques explica por qué muchos sistemas industriales, algunos con más de 20 años de antigüedad, siguen funcionando con tecnologías obsoletas, pero certificadas y difíciles de actualizar.
IT y OT: la tormenta perfecta
Uno de los conceptos centrales del foro fue el encuentro entre IT (tecnologías de la información) y OT (tecnologías de la operación). Mientras que IT gestiona correos electrónicos, servidores y aplicaciones, OT controla calderas, válvulas, brazos robóticos y procesos industriales críticos mediante sistemas SCADA e ICS.
“El problema surge cuando estos dos mundos se conectan sin una estrategia de seguridad adecuada”, advirtió Muñoz Martínez. Muchos de estos sistemas no fueron diseñados pensando en la ciberseguridad y hoy están expuestos a vulnerabilidades que evolucionan constantemente.
Actualizar estos sistemas no siempre es posible. “No se puede parar una central eléctrica o una planta industrial solo para actualizar un sistema operativo”, explicó. Por ello, la seguridad debe abordarse mediante segmentación de redes, monitorización pasiva y medidas compensatorias que reduzcan el riesgo sin afectar a la operación.
IoT: el eslabón más débil
Foro UNIR dedicó especial atención a los dispositivos conectados, tanto industriales como de consumo. Cámaras de videovigilancia, electroválvulas, interruptores inteligentes o sensores forman parte del ecosistema de la industria 4.0, pero que, a menudo, se convierten en el punto de entrada de los atacantes.
“El principal activo de estos dispositivos es el firmware, y muchas veces está mal diseñado”, explicó Muñoz. En algunos casos, el firmware contiene credenciales, claves o certificados en texto plano. Mediante técnicas de ingeniería inversa, un atacante puede extraer esta información y acceder a redes internas.
Un ejemplo ilustrativo fue el de una cámara de videovigilancia instalada en el exterior de una instalación industrial. “Si alguien sustrae la cámara y analiza su firmware, puede obtener la contraseña de la red wi-fi”, señaló. Desde ahí, el atacante podría moverse lateralmente dentro de la red.
Vehículos conectados y nuevos vectores de ataque
La conectividad no se limita a las fábricas. Los vehículos conectados, cada vez más habituales en flotas empresariales, también amplían la superficie de ataque. Durante el foro se presentó una prueba de concepto en la que un vehículo, considerado un “dispositivo confiable”, era utilizado para enviar comandos maliciosos a otros sistemas conectados.
“El diseño de muchas soluciones no contempla que un dispositivo confiable pueda comportarse de forma maliciosa”, explicó Muñoz. Esta falta de previsión permite ataques novedosos que solo pueden detectarse mediante herramientas de monitorización avanzada capaces de identificar comunicaciones anómalas.
GPS ‘spoofing’ y riesgos físicos
Otro de los riesgos analizados fue el GPS spoofing, una técnica que permite falsificar la señal de posicionamiento de un dispositivo. Mediante equipos relativamente accesibles, es posible simular que un vehículo o una maquinaria pesada se encuentra en otro lugar.
“Esto permite robar maquinaria o desviar activos sin que los sistemas de control lo detecten”, explicó el experto. Aunque existen formas de mitigar este riesgo combinando distintas fuentes de geolocalización, el ejemplo evidenció hasta qué punto la ciberseguridad industrial puede tener consecuencias físicas y económicas graves.
¿Siguen las empresas subestimando la ciberseguridad?
En la mesa redonda, Jorge Heili planteó la pregunta sobre si las empresas siguen subestimando la ciberseguridad en entornos industriales. Para Juan de Vicente Mohíno, la conciencia ha aumentado, pero el camino aún es largo. “Hoy hay más legislación y más preocupación, pero la responsabilidad es compartida entre fabricantes, integradores y usuarios”, señaló.
El director de Foro UNIR, Jorge Heili, conversa con Jesús Muñoz Martínez, Juan de Vicente Mohíno y Sebastián Caballero Barragán, conectado desde Colombia.
Desde Colombia, Sebastián Caballero Barragán destacó que la falsa sensación de seguridad ha ido desapareciendo. “Hoy en Colombia y en la región ya no se piensa que esto solo pasa en otros países”, afirmó. Los ataques dirigidos a industrias locales han obligado a las organizaciones a tomarse en serio la ciberseguridad.
El factor humano y la ingeniería social
Uno de los consensos del foro fue que, aunque la tecnología ha mejorado, el factor humano sigue siendo uno de los principales vectores de ataque. “Hoy muchos ataques entran por ingeniería social”, explicó Muñoz Martínez. Phishing, llamadas fraudulentas y manipulación emocional permiten a los atacantes obtener credenciales y acceso a sistemas críticos.
Esto abre un nuevo frente en la ciberseguridad industrial: la concienciación y formación de los operadores. “No basta con proteger sistemas, hay que formar a las personas”, subrayaron los ponentes.
Inteligencia artificial: oportunidad y riesgo
La irrupción de la inteligencia artificial generativa también fue objeto de debate. Juan de Vicente advirtió sobre el uso inadecuado de estas herramientas en entornos empresariales. “Un desarrollador puede subir código confidencial a una plataforma externa sin ser consciente del riesgo”, explicó.
La IA ofrece enormes beneficios, pero también abre nuevos escenarios de ataque. “Los atacantes siempre van un paso por delante”, reconoció, lo que obliga a las organizaciones a anticiparse y revisar continuamente sus políticas de seguridad.
Ante la complejidad del problema, los expertos debatieron sobre quién debe liderar la ciberseguridad industrial. Para Sebastián Caballero, se trata de un asunto estratégico que debe estar cerca de la dirección general. “El líder de ciberseguridad necesita autoridad para tomar decisiones”, afirmó.
Muñoz Martínez coincidió y apostó por perfiles híbridos, con conocimientos tanto de IT como de entornos industriales. “Ni solo industrial, ni solo informático”, señaló. La transversalidad es fundamental para definir políticas eficaces.
Formación y talento: el gran desafío
Los tres expertos coincidieron en que existe una clara falta de profesionales especializados en ciberseguridad industrial. “No hay suficientes perfiles”, afirmó Juan de Vicente. Esta carencia representa, al mismo tiempo, un reto y una oportunidad para quienes quieran formarse en este ámbito.
La formación continua, el conocimiento de normativas como ISO 27001 o IEC 62443 y la experiencia práctica fueron señalados como competencias imprescindibles para afrontar los desafíos de la industria 4.0 hoy y en el futuro.
Los mensajes principales de los participantes
Jesús Muñoz Martínez:
- “La industria conectada no fue diseñada pensando en ciberseguridad, y eso la hace especialmente vulnerable”.
- “No podemos proteger lo que no sabemos que existe; la visibilidad es el primer paso”.
Juan de Vicente Mohíno:
- “La concienciación ha mejorado, pero aún queda mucho camino por recorrer en ciberseguridad industrial”.
- “La inteligencia artificial aporta valor, pero también introduce riesgos que deben gestionarse”.
Sebastián Caballero Barragán:
- “En América Latina ya no existe la falsa sensación de que los ciberataques no nos afectan”.
- “La formación continua es clave para competir frente a atacantes cada vez más sofisticados”.
