Diseñadas para eludir la detección: la superficie de ataque cada vez mayor de las infraestructuras críticas

• Las infraestructuras críticas pueden sufrir interrupciones derivadas de la red empresarial, y los recientes casos ocurridos en el sector sanitario público demuestran cómo una sola acción de un usuario relacionada con un archivo malicioso puede provocar una interrupción operativa en cadena.
• El correo electrónico sigue siendo uno de los puntos de acceso más transitados de la superficie de ataque: un canal que, por su propia naturaleza, llega tanto a los equipos como a las personas que los manejan, a gran escala.
• Los entornos aislados físicamente siguen dependiendo del contenido procedente del lado conectado, lo que hace que sea importante realizar una inspección previa antes de que los archivos pasen a sistemas más sensibles.
• La innovación es esencial para la resiliencia, pero cada nuevo proveedor, integración y canal de actualización debe planificarse con el mismo cuidado que el beneficio operativo que permite obtener.
• Una estrategia de defensa diseñada para esta realidad considera la seguridad del correo electrónico como uno de los pilares de un modelo integral y por capas, que analiza y reduce el riesgo antes de que el contenido llegue al destinatario, ya sea una persona o una máquina.

En las infraestructuras críticas, el aislamiento se ha considerado a menudo como el objetivo final de la seguridad: basta con segmentar la red y aislar físicamente los sistemas más sensibles para que el problema quede contenido. Sin embargo, las operaciones empresariales se desarrollan fuera del núcleo aislado: programación, logística, facturación, registros históricos de procesos y supervisión. Ese ámbito también constituye una superficie de ataque.

Por lo tanto, la cuestión no es solo qué hay detrás del «air gap», sino qué se puede bloquear antes de que nada llegue hasta él. Para muchas organizaciones de infraestructuras críticas, como hospitales, bancos y redes de transporte —que no podrían funcionar plenamente detrás de un «air gap»—, la red empresarial constituye una parte fundamental de su infraestructura.

Y ese territorio cuenta con una puerta de entrada especialmente transitada. El correo electrónico es una de las puertas más transitadas de la superficie de ataque, un canal que toda organización mantiene abierto por diseño, ya que es por ahí por donde llega el trabajo: actualizaciones de proveedores, documentos de contratistas, la hoja de cálculo con la que se inicia un proyecto. Supone una doble amenaza, ya que llega a los equipos con archivos y enlaces que se ejecutan, y llega a las personas con la persuasión que hace que se abran esos archivos. Pocos canales ofrecen ambas cosas a una escala similar. Los casos que se exponen a continuación son de dominio público y muestran cómo el correo electrónico, los archivos maliciosos o las acciones de usuarios de confianza pueden convertirse en el primer paso hacia una interrupción operativa más amplia.

El Health Service Executive de Irlanda es una de las pocas víctimas que optó por la transparencia total, encargando y publicando un informe independiente, razón por la cual es posible analizar el caso en detalle. En marzo de 2021, un usuario interactuó con un correo electrónico de phishing que infectó una estación de trabajo con malware. A continuación, los atacantes operaron dentro del entorno durante ocho semanas antes de activar el ransomware, aprovechando ese tiempo para comprometer servidores y cuentas con privilegios, desplazarse lateralmente y sustraer datos antes de que la interrupción se hiciera visible a escala nacional. El servicio sanitario desconectó sus sistemas informáticos para contener la propagación. Los hospitales volvieron a utilizar lápiz y papel, se cancelaron las citas en todo el país, la recuperación llevó más de cuatro meses y el coste de la reparación se estimó en 102 millones de euros a fecha de noviembre de 2024.

Un fallo de seguridad en el correo electrónico rara vez se limita a ser un simple problema de correo; puede provocar una reacción en cadena que derive en interrupciones operativas y empresariales, con consecuencias económicas añadidas. En 2024, Ascension informó de que un empleado descargó un archivo malicioso en lo que la organización describió como un error involuntario. El incidente obligó a una de las mayores redes hospitalarias de EE. UU. a desviar ambulancias, posponer la atención sanitaria y, posteriormente, informar de que 5 599 699 personas se vieron afectadas.

Un escenario que los responsables de seguridad deberían tener en cuenta es aquel en el que, al principio, no ocurre nada, en el que el atacante se infiltra en la red de la empresa y accede a: diagramas de red, documentos de ingeniería, credenciales, calendarios de mantenimiento y los propios flujos de trabajo de transferencia. Y cuando la lectura se convierte en acción, las consecuencias pueden llegar al mundo físico. Así es como, según se informa, se desarrolló el ataque de 2015 contra la red eléctrica de Ucrania: los informes públicos y los análisis técnicos describen un compromiso previo de las redes corporativas a través de correos electrónicos de spear-phishing que contenían el malware BlackEnergy, seguido de un reconocimiento, el robo de credenciales y la interrupción coordinada del funcionamiento de las subestaciones. El incidente afectó a unos 225 000 clientes. Un mensaje de confianza, una acción rutinaria, múltiples consecuencias operativas.

Las infraestructuras críticas están innovando porque no les queda más remedio. El entorno de amenazas se está agravando, las expectativas de disponibilidad son cada vez mayores y la resiliencia depende cada vez más de sistemas más inteligentes y mejor conectados. Una subestación que funcionó con la misma lógica durante veinte años puede ahora enviar datos a sistemas de análisis en la nube; una bomba que se revisaba manualmente una vez por turno puede ahora transmitir datos de telemetría a un proveedor; y el mantenimiento, que antes esperaba a que se produjera un fallo, puede ahora guiarse por predicciones basadas en la inteligencia artificial y el aprendizaje automático. Estas mejoras no son distracciones opcionales; son la forma en que las infraestructuras críticas se mantienen al día. La oportunidad es significativa, siempre que el modelo de seguridad evolucione al mismo ritmo que la tecnología que lo rodea.

Cada oleada de innovación conlleva cambios: nuevo código, nuevas integraciones, nuevos proveedores, canales de actualización y nuevas vías de acceso remoto. Con un plan minucioso, ese cambio se puede gestionar. Los responsables de seguridad pueden definir cómo se mueven los datos, cómo se conectan los proveedores, cómo se validan las actualizaciones y dónde se inspecciona el contenido antes de que llegue a los flujos de trabajo confidenciales. El riesgo no es la innovación en sí misma, sino la confianza sin planificar. Cada nuevo proveedor y contratista puede crear una nueva relación por correo electrónico, con archivos adjuntos, facturas y avisos de actualización que se espera que los usuarios abran. La superficie de exposición se amplía, al igual que el número de puntos de entrada por los que puede llegar algo no fiable con apariencia de legitimidad.

Entonces, ¿qué ocurre cuando la modernización avanza más rápido que las defensas diseñadas para hacerle frente? Ese es el efecto acumulativo: incluso si la capacidad de los atacantes se detuviera hoy mismo, la exposición seguiría aumentando, porque el entorno sigue sumando nuevos puntos de conexión. La inteligencia artificial y el aprendizaje automático pueden mejorar la resiliencia operativa en el ámbito defensivo, pero la capacidad de los atacantes tampoco da señales de ralentizarse. La inteligencia artificial puede acelerar la investigación, la selección de objetivos y la iteración en el ámbito ofensivo, lo que convierte a la seguridad planificada y adaptativa en parte de una innovación responsable, en lugar de una barrera para ella.

Son pocos los operadores que pueden predecir con exactitud cómo será su propio entorno dentro de cinco años, por lo que es posible que la arquitectura de seguridad actual ya esté protegiendo la topología de ayer. El objetivo no es frenar la innovación, sino garantizar que la seguridad evolucione al mismo ritmo que ella. El aislamiento sigue siendo importante, pero funciona como una capa más dentro de un modelo de resiliencia más amplio, en lugar de ser la solución definitiva.

Los responsables de seguridad suelen evaluar una amenaza planteándose tres preguntas: ¿tiene el adversario la intención, la capacidad y la oportunidad? En muchos entornos de infraestructuras críticas, la respuesta a las tres preguntas es, cada vez más, «sí».

• Objetivo: Las infraestructuras críticas son blanco deliberado de adversarios que investigan a sus víctimas, y es probable que sigan siendo un objetivo atractivo, ya que la recompensa potencial justifica el esfuerzo.
• Capacidad: Los ataques están cada vez más industrializados, y la inteligencia artificial reduce el coste de crear, probar y alternar campañas.
• Oportunidad: la superficie de ataque cambia a medida que la innovación conecta sistemas que antes funcionaban de forma independiente y los contenidos siguen traspasando las barreras que aún persisten.

Detrás de estos tres aspectos se esconden las mismas dos constantes: la gente seguirá recurriendo al correo electrónico, porque es esencial para mantener las operaciones en marcha, y el contenido seguirá traspasando muchas de las barreras que establecemos, porque así es como funcionan las empresas.

Una defensa diseñada para esa realidad tiene una estructura reconocible. Considera la seguridad del correo electrónico como una de las puertas de acceso más transitadas del perímetro y le asigna los recursos correspondientes, como uno de los pilares de un modelo integral. Establece controles en capas en esa puerta de acceso, cada uno de los cuales realiza una función diferente, de modo que el contenido se inspecciona y el riesgo se reduce antes de que un lector, ya sea humano o una máquina, tenga contacto con él. Utiliza análisis asistidos por IA dentro del ciclo operativo para lograr una correlación más rápida, una clasificación más rápida y un aprendizaje más rápido a partir de los intentos bloqueados, acercándose así al ritmo que marcan los atacantes. Y considera la mejora continua como parte de una modernización responsable, ya que el entorno de amenazas está en constante cambio.

La pregunta que conviene plantearse en tu propio entorno es sencilla: cuando el contenido se dirige hacia los sistemas que menos te puedes permitir perder, ¿cuál es el último punto en el que se inspecciona realmente y sería ese punto capaz de detectar contenido diseñado para parecer seguro y fiable? Para muchas organizaciones, rastrear ese contenido hasta el lugar donde llegó por primera vez suele terminar en el mismo sitio: la bandeja de entrada.