Cuando entramos a auditar la red industrial de una pyme en San Juan o el resto de Cuyo, casi nunca encontramos algo exótico. No son ataques sofisticados de un grupo APT los que dejan a una planta parada: son los mismos cinco errores, repetidos una y otra vez, en empresas que nunca pensaron que su PLC o su SCADA fueran un objetivo. La buena noticia es que los cinco se pueden corregir sin parar la producción y, en la mayoría de los casos, sin comprar hardware nuevo.
Esta guía no es una lista de definiciones de ciberseguridad. Es lo que anotamos en el cuaderno de campo cuando entramos a una sala de tableros con la notebook y el analizador de red.
01
Red OT y red IT compartiendo la misma VLAN
El error más frecuente, y el más caro de arreglar después de un incidente. La PC de administración, la impresora de la oficina y el PLC que controla una bomba o un horno están en la misma red plana, sin ningún firewall ni VLAN que los separe. Esto significa que un ransomware que entra por un mail de facturación en administración puede llegar, sin ningún obstáculo, hasta el controlador que maneja la planta.
Por qué pasa: casi siempre porque el proveedor del PLC o el integrador que instaló el equipo hace años lo conectó "para que funcione ya" al mismo switch que todo lo demás, y nadie volvió a tocar esa topología.
Primer paso concreto: no hace falta un proyecto de segmentación completo para empezar. Un firewall barato (o incluso reglas de ACL en el switch que ya tienen) separando la VLAN de planta de la VLAN administrativa, con solo los puertos estrictamente necesarios abiertos, corta de raíz el 80% del riesgo de propagación lateral.
02
Contraseñas de fábrica en PLCs y HMIs
admin/admin, 1234, o directamente sin contraseña. Es sorprendente cuántos paneles HMI (la pantalla táctil que opera la máquina) siguen con la clave que trae de fábrica, la misma que está publicada en el manual del fabricante disponible en internet. Lo mismo pasa con el acceso de programación del PLC: si cualquiera con acceso a la red puede reprogramarlo, cualquiera puede cambiar la lógica de control sin que nadie se entere hasta que algo se rompe.
Un PLC con contraseña de fábrica no es una vulnerabilidad teórica: es la puerta de entrada, sin cerradura, a la parte de la empresa que factura.
Primer paso concreto: un inventario de 30 minutos por sala de tableros para verificar qué equipos siguen con credenciales de fábrica, y cambiarlas por contraseñas únicas documentadas en un gestor (no en un papel pegado al armario, que también lo vemos seguido).
03
Acceso remoto del proveedor sin VPN
Muy común en plantas con equipos importados: el proveedor del variador de frecuencia o del PLC pide "acceso remoto para soporte" y alguien instala TeamViewer o AnyDesk directo en la PC de supervisión de planta, con acceso directo a la red OT, sin pasar por ninguna VPN ni segmentación. Esa sesión de soporte de hace dos años capaz que sigue activa, con credenciales que nadie recuerda haber creado.
Por qué importa: ese software de acceso remoto es exactamente el vector que usan la mayoría de los ataques de ransomware a infraestructura industrial documentados en los últimos años: no rompen el firewall, entran por la puerta que dejaron abierta para el soporte técnico.
Primer paso concreto: reemplazar el acceso directo por una VPN con autenticación de dos factores, que se activa solo cuando hay una sesión de soporte agendada y se desactiva al terminar. Si el proveedor no puede trabajar así, es una señal de alerta sobre el proveedor, no una excusa para dejar la puerta abierta.
04
Sin inventario de activos OT
Le preguntamos al responsable de mantenimiento cuántos PLCs, HMIs y variadores tiene conectados a la red, y en la mayoría de los casos la respuesta es aproximada. Nadie tiene un listado con marca, modelo, versión de firmware y responsable de cada equipo. Sin ese inventario es imposible saber si un firmware tiene una vulnerabilidad conocida (CVE) publicada, y es imposible detectar si apareció un dispositivo nuevo y no autorizado en la red.
Primer paso concreto: no hace falta una herramienta de descubrimiento automático cara para arrancar. Una planilla con IP, MAC, marca, modelo y versión de firmware de cada equipo OT, actualizada cada vez que se instala algo nuevo, ya es infinitamente mejor que no tener nada — y es la base de cualquier auditoría seria.
05
Cero visibilidad: nadie ve lo que pasa en la red OT
El error final, y el que hace que los otros cuatro sean tan graves: si algo raro pasa en la red industrial —un dispositivo nuevo, un pico de tráfico, un PLC que empieza a comunicarse con una IP que nunca usó— nadie se entera hasta que la producción se detiene. No hay logs, no hay alertas, no hay un IDS específico para protocolos industriales (Modbus, DNP3, Profinet) que sepa diferenciar tráfico normal de un intento de manipulación.
Primer paso concreto: antes de invertir en un IDS industrial completo, se puede empezar con algo tan simple como espejar el tráfico del switch de planta a una PC con Wireshark o una herramienta open source como Zeek durante una semana, para tener una foto real de qué tráfico es normal. Esa línea de base es el primer paso de cualquier sistema de detección.
Ninguno de estos cinco errores se arregla comprando un producto
Los cinco tienen algo en común: no se solucionan con una caja mágica. Se solucionan con una auditoría honesta de cómo está armada la red hoy, un plan de segmentación priorizado por riesgo real (no por lo que es más fácil de vender) y disciplina para mantenerlo — porque un inventario de activos que no se actualiza es tan inútil como no tenerlo.