Los sistemas de control industrial enfrentan un riesgo cibernético elevado ante tensiones EE. UU.–Irán

El reciente aumento de tensiones entre EE. UU. e Irán ha intensificado el panorama de amenazas para los sistemas de control industrial (ICS). Las organizaciones que operan infraestructura industrial conectada deben adoptar ahora una postura de seguridad más vigilante.

Eyal Elyashiv, CEO y cofundador de Cynamics, advirtió que el impacto cibernético derivado del asesinato del general iraní Qasem Soleimani podría ser significativo.

Analistas de la industria señalan que el conflicto elevado EE. UU.–Irán eleva el riesgo cibernético general. Bill Malik, VP de estrategias de infraestructura en Trend Micro, declaró: «No tenemos conocimiento interno de planes de ataque específicos, pero es lógico que el aumento de tensiones políticas pueda estimular más ciberataques».

Tras el asesinato, numerosos expertos en ciberseguridad y funcionarios del gobierno de EE. UU. emitieron advertencias sobre el riesgo aumentado de ataques de adversarios afiliados a Irán.

Andrea Little Limbago, Ph.D., científica social jefa en Virtru, advirtió que la probabilidad de ciberataques menores, orientados a la distracción, es mayor que una ciberguerra total. Añadió: «La actividad cibernética de Irán —desde ataques destructivos hasta desinformación— ha sido generalizada durante bastante tiempo. Eso no es nuevo ni está vinculado a los eventos de esta semana».

En la última década, las capacidades cibernéticas de Irán se han expandido dramáticamente. Analistas han atribuido una variedad de ataques —incluidos ataques de denegación de servicio a bancos de EE. UU. y malware personalizado dirigido a Saudi Aramco— a actores iraníes. En 2015, informes alegaron que hackers iraníes se infiltraron en la red eléctrica de EE. UU.

Los funcionarios de EE. UU. deberían permanecer profundamente preocupados por el alcance cibernético de Irán, enfatizó Elyashiv.

Una alerta del Department of Homeland Security emitida el 4 de enero advirtió que Irán podría, como mínimo, lanzar ataques con efectos disruptivos temporales contra infraestructura crítica de EE. UU.

Del mismo modo, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. destacó un riesgo elevado de ciberespionaje y ataques contra finanzas, energía, telecomunicaciones y sistemas de control industrial.

La acusación del Departamento de Justicia de EE. UU. de 2016 imputó a siete contratistas iraníes vinculados al Cuerpo de la Guardia Revolucionaria Islámica con ciberataques a varios bancos y una presa de Nueva York. El DHS también advirtió sobre actores iraníes «explorando y planificando contra objetivos de infraestructura y ejecutando ciberataques habilitados contra una variedad de objetivos con base en EE. UU.».

En el sector industrial, un colectivo de hackers conocido como Advanced Persistent Threat 33, vinculado a Irán, ha atacado organizaciones de defensa, transporte y energía, según Cyberscoop.

Limbago cree que, dado el nivel actual de tensiones, es improbable que Irán priorice explotar vulnerabilidades explícitas de ICS a corto plazo. Señaló que «Irán entiende que los ataques destructivos a infraestructura crítica probablemente desencadenarían escalada y represalias».

La ex directora ejecutiva del Centro Contraterrorista de la CIA, Carol Rollie Flynn, predice que los actores iraníes se centrarán en ciberataques menores para evitar provocar represalias.

Limbago también sugiere que los adversarios iraníes pueden atacar organizaciones del sector privado sin una conexión clara con ICS. El precedente histórico, como el ataque al Sands Casino de 2015 presuntamente vinculado a Irán, respalda este enfoque.

La desinformación sigue siendo un componente central de la estrategia cibernética de Irán. Limbago describió estas operaciones como «extremadamente prolíficas y globales», destinadas a reforzar el apoyo interno y sembrar sentimiento antiestadounidense en todo el mundo.

Gestión del riesgo cibernético

Independientemente del panorama geopolítico en evolución, los operadores industriales deben auditar sus dispositivos conectados. Malik recomienda revisar inventarios tecnológicos, evaluar vulnerabilidades y aplicar controles para reducir superficies de ataque.

Dado que el tiempo de actividad es primordial, muchos entornos industriales continúan usando hardware y software obsoletos sin parchear. Elyashiv advirtió que «las organizaciones deben mirar más allá de estos sistemas anticuados que actualmente protegen infraestructura crítica, ya que la historia reciente muestra claramente que pueden ser fácilmente comprometidos».

David Goldstein, presidente y CEO de AssetLink Global LLC, enfatizó que asegurar IIoT requiere más que hardware y software. «La respuesta a la seguridad IIoT no está enteramente en hardware y software», dijo.

El ataque Stuxnet a la instalación de enriquecimiento nuclear de Natanz en Irán ejemplificó la importancia de los controles de acceso físico. En esa operación, agentes dobles instalaron malware en una red central aislada (air-gapped), destruyendo finalmente unos 1.000 centrifugadores.

Goldstein destacó que la confianza y el control de acceso son críticos. Preguntó: «¿Con quién trabaja, en quién confía, quién tiene credenciales para entrar en su sistema, quién tiene acceso físico? La confianza entre actores y socios será cada vez más importante a medida que los sistemas IoT lo impregnen todo».

A medida que las tecnologías IoT se extienden en contextos industriales, persiste una escasez de expertos en ciberseguridad familiarizados con sistemas de control industrial. Goldstein señaló que la mayoría de los analistas aplican técnicas genéricas de TI a IoT industrial, pasando por alto protocolos propietarios y desafíos de actualización, que representan vulnerabilidades significativas.

Organizaciones como el Departamento de Defensa de EE. UU. y MITRE Corp. están cerrando esta brecha con marcos como MITRE ATT&CK para ICS. Malik explicó que este marco permite a fabricantes, propietarios y operadores discutir escenarios de ataque e informar vulnerabilidades de manera consistente entre sectores.

Malik subrayó que la ciberseguridad es un viaje, no un destino. Dada la naturaleza a corto plazo de las tensiones actuales, dijo: «Hay poco que los fabricantes de IC puedan hacer para fortalecer rápidamente su postura de seguridad de producción».

También identificó una vulnerabilidad específica: los enlaces de mantenimiento de campo usados para diagnósticos pueden convertirse en vectores de ataque. Malik instó a los proveedores a proteger datos de clientes, cifrar tráfico cuando sea posible y asegurar que las actualizaciones de software estén libres de malware.