En agosto, una pequeña central eléctrica del Reino Unido permaneció fuera de servicio durante cuatro días tras sufrir un ataque cibernético atribuido a un grupo de hackers iraníes. Este incidente ha encendido las alarmas en el sector tecnológico y de infraestructuras críticas, sumándose a recientes ataques similares contra instalaciones de agua en Estados Unidos, que estarían relacionados.
Pese a la confidencialidad de la ubicación exacta del ataque por parte del gobierno británico, se confirmó que el objetivo fue un generador de pequeña escala y que en ningún momento el sistema energético nacional estuvo en peligro. Sin embargo, persisten incógnitas técnicas cruciales, como si los sistemas de control industrial fueron directamente comprometidos o si la desconexión se realizó como medida preventiva mientras se contenía la intrusión.
Tras este ataque pionero en su tipo, las autoridades británicas han remitido recomendaciones a las empresas para protegerse y responder ante posibles amenazas similares. La pregunta central ahora es: ¿qué magnitud tiene el riesgo, a quién afecta y cómo deben reaccionar las organizaciones? 
Una escalada significativa
Markus Mueller, director de seguridad de campo en Nozomi Networks, califica este ataque como «una escalada importante» respecto a la reciente oleada de ataques dirigidos a infraestructuras hídricas en EE. UU. Según Mueller, las centrales de energía de funcionamiento intermitente —conocidas como peaker plants— son especialmente vulnerables por la necesidad de responder rápidamente, donde no existen márgenes y las consecuencias pueden ser graves.
Las infraestructuras críticas suelen depender de tecnologías obsoletas, que nunca fueron diseñadas para estar conectadas a la red pública. En el ataque reciente, el acceso se realizó a través de un controlador lógico programable (PLC) que estaba expuesto públicamente y carecía de medidas básicas de seguridad.
«Si los datos disponibles son correctos, el atacante escaneó la red en busca de PLC expuestos, utilizando scripts generados por inteligencia artificial, una técnica similar a la vista en las plantas de agua en Estados Unidos», detalló Mueller. El atacante accedió con credenciales predeterminadas, reseteó la programación y cambió las configuraciones para desconectarlos y hacerlos inaccesibles.
Un peligro que trasciende las infraestructuras críticas
Este riesgo no se limita únicamente a sectores esenciales, sino que afecta también a la cadena de suministro, industrias diversas y empresas vinculadas a las organizaciones afectadas. Mueller señala que “los scripts automatizados empleados por estos grupos no distinguen entre una central eléctrica, una fábrica, un almacén logístico o sistemas de gestión inteligentes de edificios”.
Por ello, cualquier negocio que dependa de sistemas físicos conectados o controles industriales está expuesto. Además, los proveedores externos y contratistas con acceso remoto a tecnologías operativas representan un vector de ataque crucial, facilitando movimientos laterales hacia redes empresariales más amplias.
Martin Riley, director tecnológico de Bridewell, coincide en que el riesgo supera a los operadores energéticos tradicionales y regulados. La tendencia en el Reino Unido hacia una red energética más distribuida, con dependencia creciente de pequeñas plantas, generadores renovables y almacenamiento en baterías, introduce nuevos retos. Aunque estas instalaciones sean pequeñas individualmente, suman un papel vital en la estabilidad de la red.
Esto supone un desafío complejo, pues muchos de estos usuarios quedan fuera del marco regulatorio que protege a infraestructuras críticas clásicas, pero están conectados a sistemas esenciales para el país.
James Neilson, vicepresidente global de OPSWAT, advierte que fue “un golpe de suerte” que el ataque se limitara a una planta pequeña sin afectar al sistema energético nacional. Recalca que los actores hostiles recurren rutinariamente a acciones cibernéticas contra el Reino Unido, afectando la seguridad, economía y confianza pública. Aunque estas tácticas de guerra híbrida llevan más de una década presentes, su intensidad ha crecido notablemente en los últimos años.
Medidas para aumentar la resiliencia
Tras el incidente, el Gobierno británico y el Centro Nacional de Seguridad Cibernética (NCSC) han instado a todas las organizaciones que gestionan infraestructura crítica a revisar los dispositivos expuestos a internet y aplicar una higiene cibernética rigurosa.
El consejo principal es identificar de inmediato cualquier controlador industrial (PLC) o dispositivo operativo accesible públicamente y desconectarlos de la red global. Deben eliminarse las contraseñas por defecto y activarse la autenticación multifactor para accesos remotos, apunta Markus Mueller.
La clave reside en comprender qué activos están expuestos, qué caminos pueden aprovechar los atacantes y qué consecuencias operativas tendría un acceso no autorizado a los sistemas de control industriales.
Martin Riley enfatiza que la resiliencia requiere segmentar adecuadamente las redes IT y OT, controlar rigurosamente el acceso remoto y establecer controles de seguridad acordes con el riesgo potencial. Advierte también sobre la importancia de la visibilidad conjunta de ambientes IT y OT, para evitar que un intruso pueda moverse sin ser detectado.
Ian Thornton-Trump, CISO de Inversion6, recomienda reforzar las interfaces expuestas mediante tecnologías y arquitecturas específicas, además de usar cortafuegos con control de acceso y listas blancas para limitar conexiones solo a direcciones IP autorizadas.
Para detectar ataques en fases tempranas, sugiere implementar tecnologías de engaño, como honeypots, y aprovechar los servicios de alerta temprana promovidos por el NCSC.
Comprender al adversario es esencial. Neilson indica que grupos estatales, como los iraníes, buscan rápidamente credenciales por defecto para obtener acceso rápido y discreto, por lo que es imprescindible evaluar y reforzar los sistemas críticos con base en los ataques más recientes.
Finalmente, Thornton-Trump aconseja practicar planes de respuesta con simulacros que involucren a todos los niveles operativos y de gestión, mantener equipos de respuesta a incidentes disponibles y establecer redes de contacto en el sector para apoyarse mutuamente. Asegura que un periodo prolongado de inactividad, cibernético o no, es prevenible y recuperable con la planificación adecuada.
