Sistemas de control industrial en riesgo ante tensiones EE. UU.–Irán

En medio de la escalada de tensiones entre EE. UU. e Irán, las organizaciones que operan infraestructura industrial conectada deben fortalecer sus defensas cibernéticas.

«El impacto cibernético del asesinato del general Qasem Soleimani es profundo», advirtió Eyal Elyashiv, CEO y cofundador de la firma de seguridad de redes Cynamics.

Analistas de la industria señalan que el reciente brote EE. UU.–Irán amplía el riesgo cibernético general. «No tenemos inteligencia interna sobre ataques específicos, pero las tensiones políticas elevadas probablemente estimularán más ciberataques», dijo Bill Malik, vicepresidente de estrategias de infraestructura en Trend Micro.

Tras la muerte de Soleimani, especialistas en ciberseguridad y funcionarios de EE. UU. han advertido sobre la amenaza que adversarios afiliados a Irán representan para los sistemas de control industrial.

Algunos expertos argumentan que los atacantes pueden lanzar incidentes cibernéticos menores y de distracción en lugar de una ciberguerra a gran escala. «Suponer un conflicto cibernético total es prematuro», señaló Andrea Little Limbago, Ph.D., científica social jefa en Virtru. «La actividad cibernética de Irán, que va desde ataques destructivos hasta desinformación, ha sido pervasiva durante años y no está vinculada de forma única a eventos recientes».

En la última década, las capacidades cibernéticas de Irán han crecido dramáticamente. Investigadores de seguridad atribuyen una variedad de ataques —incluidos asaltos DDoS a bancos de EE. UU. y malware personalizado dirigido a Saudi Aramco— a actores iraníes. En 2015, informes también alegaron que hackers iraníes se infiltraron en la red eléctrica de EE. UU.

«Los funcionarios de EE. UU. deberían estar profundamente preocupados por el alcance y capacidades cibernéticas de Irán», enfatizó Elyashiv.

A pesar de informes de una disminución en las tensiones bilaterales, una alerta del DHS emitida el 4 de enero advirtió que Irán podría lanzar «ataques con efectos disruptivos temporales contra infraestructura crítica de EE. UU.».

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) también señaló un riesgo elevado de ataques y ciberespionaje contra sectores estratégicos —finanzas, energía, telecomunicaciones— y destacó un enfoque creciente en sistemas de control industrial y tecnología operacional.

Los actores iraníes tienen un historial de atacar infraestructura de EE. UU. En 2016, el Departamento de Justicia reveló una acusación contra siete contratistas vinculados al Cuerpo de la Guardia Revolucionaria Islámica por ciberataques a múltiples bancos y una presa de Nueva York. El DHS también advirtió que actores afiliados a Irán «exploran y planifican contra objetivos de infraestructura, ejecutando ciberataques habilitados en una variedad de sitios de EE. UU.».

Los objetivos industriales no se salvan. Cyberscoop informa que el colectivo de hackers vinculado a Irán Advanced Persistent Threat 33 ha atacado repetidamente los sectores de defensa, transporte y energía.

Limbago advierte que es prematuro esperar que Irán se centre en explotar vulnerabilidades de control industrial inminentemente. «Si las tensiones aumentan más, la estrategia puede cambiar, pero en la actualidad la actividad cibernética de Irán permanece en la zona gris —por debajo de la guerra total», explicó. «Irán sabe que los ataques destructivos a infraestructura crítica provocarían represalias».

La ex ejecutiva del Centro Contraterrorista de la CIA, Carol Rollie Flynn, predice que Irán lanzará ciberataques menores para evitar provocar represalias de EE. UU. «Quieren mantenerse bajo el radar», dijo.

Limbago también advirtió que Irán podría atacar entidades del sector privado sin vínculos industriales obvios. Citó un incidente de 2015 cuando el ex director de inteligencia nacional James Clapper atribuyó un ataque a Sands Casino a Irán, en represalia por comentarios del CEO Sheldon Adelson. «Irán típicamente ataca empresas privadas conectadas al ramo ejecutivo para infligir daño financiero sin encender una respuesta más amplia de EE. UU.», anotó Limbago.

Las campañas de desinformación forman un núcleo de la estrategia cibernética de Irán. Limbago las describió como «extremadamente prolíficas y globales». «Estas operaciones persistirán tanto nacionalmente, para reforzar el sentimiento progubernamental, como internacionalmente, para alimentar narrativas antiestadounidenses», añadió.

Gestión del riesgo cibernético

Independientemente de cómo evolucionen las tensiones actuales, el momento ofrece a los operadores de infraestructura industrial la oportunidad de auditar sus dispositivos conectados. «Instamos a propietarios y operadores de sistemas de control industrial a inventariar su tecnología, evaluar vulnerabilidades e implementar controles que reduzcan su superficie de ataque», aconsejó Malik.

Las entidades industriales priorizan el tiempo de actividad, lo que a menudo resulta en dependencia de hardware y software heredados sin parchear. «Deben mirar más allá de estos sistemas anticuados, ya que la historia muestra que son fácilmente comprometidos», advirtió Elyashiv.

La higiene cibernética sigue siendo esencial, pero David Goldstein, presidente y CEO de AssetLink Global LLC, subraya la necesidad de seguridad física robusta. «La seguridad IIoT no se trata solo de hardware y software», dijo.

El acceso físico fue crucial en la operación Stuxnet de 2010 contra la instalación de enriquecimiento nuclear de Natanz en Irán. Agentes dobles vinculados a la inteligencia de EE. UU. e Israel habrían introducido malware en la red aislada, deshabilitando finalmente unos 1.000 centrifugadores.

Goldstein señala que Stuxnet subraya la necesidad de estricto control de acceso y confianza. «Con quién colabora, la confianza que deposita en socios y quién tiene acceso físico son factores críticos», enfatizó.

Con la proliferación de IoT en la industria, surge una brecha de talento: pocos expertos en ciberseguridad se especializan en sistemas de control industrial. «Muchos analistas aplican tácticas convencionales de TI a IoT industrial sin tener en cuenta protocolos propietarios y desafíos de actualización, creando vulnerabilidades significativas», advirtió Goldstein.

Agencias federales —incluido el Departamento de Defensa— y la Corporación MITRE están abordando esta brecha con marcos de control industrial como MITRE ATT&CK para IC. «Este marco permite a fabricantes, propietarios y operadores articular escenarios de ataque e informar vulnerabilidades de manera consistente entre sectores», explicó Malik. «Todas las organizaciones deberían adoptarlo para evaluar su postura de seguridad IC».

Malik destacó que la ciberseguridad es un viaje continuo, no un destino. «Si las tensiones elevadas son de corta duración, los fabricantes tienen un alcance limitado para fortificar rápidamente su seguridad de producción», dijo.

Señaló una vulnerabilidad clave: los enlaces de mantenimiento de campo. «Cuando los proveedores acceden a sus equipos para mantenimiento o diagnóstico de fallos, esas conexiones se convierten en vectores de ataque potenciales», advirtió Malik.

Malik instó a los proveedores a salvaguardar los datos de los clientes cifrando el tráfico cuando sea factible y asegurando las actualizaciones de software. «Sería desastroso si un problema menor en un cliente llevara a un fabricante a desplegar un parche que inadvertidamente introdujera malware en toda su cartera», advirtió.