Durante décadas, la seguridad industrial descansó en un principio simple: el aislamiento físico. Los controladores lógicos programables (PLC) que mueven brazos robóticos, prensas y bandas transportadoras vivían en una burbuja eléctrica, ajena a Internet. Esa burbuja, hoy, ya no existe.
Los sensores IoT, el mantenimiento predictivo y el acceso remoto aceleraron algo que ya venía ocurriendo: la convergencia entre la Tecnología de la Información (IT) y la Tecnología Operativa (OT).
Hoy, un PLC, un HMI o un sistema SCADA suelen compartir la misma red corporativa que usa el departamento de contabilidad [1]. La consecuencia práctica es que la superficie de ataque dejó de distinguir entre una laptop de oficina y un robot soldador.
Desde la óptica de la ingeniería mecatrónica y la integración de sistemas, resulta alarmante comprobar cómo un correo de phishing en el ámbito administrativo puede paralizar, en cuestión de horas, el sistema nervioso digital de una fábrica completa.
Este artículo analiza cómo el ransomware evolucionó de secuestrar archivos de oficina a secuestrar líneas de producción enteras, y por qué las redes neuronales aplicadas al tráfico IoT son hoy la defensa preventiva más prometedora contra el secuestro de los sistemas de control.
De la fábrica aislada a la fábrica conectada.
Un PLC (Controlador Lógico Programable) es la computadora industrial que ejecuta la lógica física de una máquina: decide cuándo cierra una válvula, cuándo avanza una banda, cuándo un brazo robótico suelta una pieza.
Pensemos en la fábrica como un organismo: los PLC serían algo así como su corteza motora, la parte que ordena cada movimiento, mientras que el sistema SCADA (Supervisión, Control y Adquisición de Datos) actúa como el sistema nervioso central, reuniendo toda esa actividad en la pantalla de un operador.
El acceso remoto a infraestructuras industriales creció un 53% durante la pandemia, y el número de vulnerabilidades reportadas en sistemas de control industrial no ha dejado de acelerarse desde entonces: de apenas 2 casos en 1997 se pasó a 19 en 2010 y a 189 en 2015 [1].
Integrar redes externas y software comercial en los PLC, pensado originalmente para abaratar costos y ganar eficiencia, terminó abriendo la puerta a ataques dirigidos y sofisticados que hace apenas una década resultaban técnicamente inviables [2].
Factores que amplían la superficie de ataque OT [3]:
• PLC y HMI heredados, diseñados sin cifrado ni autenticación robusta.
• Redes planas, sin segmentación real entre IT y OT.
• Protocolos industriales como Modbus o S7comm que transmiten en texto plano.
• Acceso remoto de proveedores y mantenimiento de terceros mal auditado.
• Software y hardware comercial (COTS) con vulnerabilidades conocidas.
Figura 1. Brazo robótico industrial: el tipo de actuador físico que un PLC comprometido puede terminar moviendo sin que el operador lo note. [4].
La Evolución del Ransomware: de Bloquear Pantallas a Detener Robots
Un negocio criminal en constante mutación
El ransomware no es un fenómeno reciente. Su primer ejemplar documentado, el troyano “PC Cyborg”, data de 1989: ocultaba directorios del disco tras el reinicio número 90 del equipo. Durante los años noventa siguió siendo cosa de aficionados que buscaban notoriedad más que dinero.
Eso cambió hacia 2005, cuando el ransomware pasó de ser vandalismo digital a convertirse en un modelo de negocio. El esquema que domina hoy, Ransomware-as-a-Service (RaaS), funciona casi como una franquicia delictiva: kits listos para usar que permiten montar una campaña completa sin conocimientos técnicos avanzados.
La técnica que prevalece es el cifrado híbrido: el malware genera una llave que cifra los archivos a gran velocidad y luego protege esa misma llave con un segundo candado cuya combinación solo conoce el atacante. Cuando la implementación es correcta, recuperar la información sin pagar resulta, en la práctica, casi imposible [5].
El salto de las oficinas a las líneas de producción
Lo verdaderamente distinto hoy no es la técnica de cifrado, sino el blanco. Benmalek reconstruyó diez incidentes reales en los que el ransomware industrial dio el salto de los sistemas administrativos a los controladores físicos [6]:
• Norsk Hydro / LockerGoga (2019): una campaña de phishing comprometió estaciones administrativas y, al no existir segmentación entre oficina y planta, terminó cifrando PLC y terminales OT en 170 sitios de 40 países, obligando a suspender líneas de producción de aluminio.
• Honda / Ryuk (2020): el malware escaló desde credenciales de Active Directory hasta los PLC que coordinaban las líneas de producción justo a tiempo de Honda, forzando el cierre de plantas que ensamblan los modelos Civic y Accord.
• Gedia / Sodinokibi (2020): Este proveedor automotriz vio cifrados los PLC, controladores industriales y HMI que gobiernan sus prensas de estampado y máquinas de mecanizado.
• Colonial Pipeline / DarkSide (2021): el ataque más citado del sector energético obligó a cerrar preventivamente 5.500 millas de oleoducto tras exigir un rescate de 75 bitcoins.
Esta arquitectura, altamente interconectada y con una segregación de red mínima entre los sistemas de oficina y los procesos de control industrial, fue lo que permitió que ransomwar como LockerGoga y Ryuk multiplicara su daño, cifrando HMI, PLC, controladores de seguridad y demás dispositivos que gobiernan líneas de manufactura reales.
[6] El detalle importa: el ransomware industrial no ataca al PLC porque este sea, en sí mismo, más vulnerable. Ataca porque ya no queda una puerta cerrada entre la red que un empleado usa para revisar su correo y la red que mueve un robot soldador — y esa puerta abierta es, en el fondo, la puerta de entrada al secuestro de los sistemas de control.
Figura 2. Pantalla real de un secuestro de tipo “police-locker”: el mensaje suplanta a una autoridad federal para presionar el pago. Es la misma lógica de coerción que hoy se aplica contra líneas de producción enteras. [7].
Detección Preventiva: Redes Neuronales Vigilando el Tráfico IoT
Si el ransomware industrial convierte una intrusión cualquiera en un secuestro de los sistemas de control, la pregunta lógica es cómo detectarla antes de que el ataque llegue al PLC.
Enseñarle a una red a reconocer lo anómalo
Una CNN (Red Neuronal Convolucional) opera un poco como un guardia entrenado para reconocer, entre miles de rostros, el que no encaja: detecta patrones en los datos, aunque haya nacido para procesar imágenes y hoy se aplique a algo parecido a “fotografías” del tráfico de red.
La LSTM (Memoria de Corto y Largo Plazo) añade algo distinto: memoria. Es ese mismo guardia recordando que el mismo visitante ya pasó tres veces por la puerta en la última hora. Juntas, cada una cubre el punto ciego de la otra.
En pruebas sobre tráfico industrial real, un modelo híbrido que combina CNN y LSTM llegó a una precisión de 99,84% detectando intrusiones en redes IIoT, por encima de los modelos CNN, LSTM y GRU (Unidad Recurrente con Puertas) evaluados por separado. Estos últimos, además, funcionan con un consumo de cómputo bajo y no necesitan una conexión activa para reconocer una amenaza [8] [9].
Aprendizaje federado: detectar sin centralizar datos sensibles
Hay un problema práctico detrás de todo esto: entrenar estas redes exige enormes volúmenes de tráfico, y pocas plantas están dispuestas a enviar sus datos operativos a un servidor externo. El aprendizaje federado responde a esa reticencia: es, en cierto modo, como si cada fábrica aprendiera dentro de su propio taller y solo compartiera con un servidor central la lección aprendida, nunca los planos de proceso.
Probado sobre el dataset Edge-IIoTset, este enfoque alcanzó una precisión de 92,49%, apenas por debajo del 93,92% que logra un modelo centralizado tradicional, y sin exponer información sensible de la planta [10].
Ventajas de aplicar redes neuronales al tráfico IoT en tiempo real [11]:
• Detectan anomalías de día cero sin depender de firmas previas.
• Operan con baja latencia, adecuadas para el borde (edge) de la red.
• Se adaptan mediante aprendizaje continuo a nuevas variantes de ataque.
• Preservan la privacidad de los datos operativos mediante entrenamiento federado.
• Se integran con honeypots para enriquecer su inteligencia de amenazas.
Honeypots y arquitectura multicapa: el complemento necesario
Conviene aclarar algo: la inteligencia artificial no reemplaza la defensa en capas, la refuerza. Mesbah et al. trabajaron con Conpot, un honeypot, básicamente un señuelo digital que imita un PLC real para atraer y estudiar al atacante antes de que este llegue a un equipo de verdad.
De su investigación se desprende una idea que conviene interiorizar sobre el mundo OT: mientras la ciberseguridad de IT ordena sus prioridades en confidencialidad e integridad, en una planta industrial la disponibilidad va primero. Una línea detenida cuesta, por minuto, más que un dato filtrado [12].
Wai y Lee pusieron a prueba esta filosofía en una planta real de manufactura electrónica: allí implementaron segmentación de red, control de accesos granular y detección de anomalías.
Los resultados hablan por sí solos [13]: 57.4% 41.2% 79.2% menos eventos de acceso no autorizado más rapidez en la contención de amenazas menos intentos de intrusión exitosos
Resultados de despliegue real de la arquitectura multicapa de Wai y Lee en una planta electrónica. [13].
Figura 3. Visualización conceptual de una red neuronal analizando flujos de datos en tiempo real: el mismo principio detrás de un modelo CNN+LSTM vigilando el tráfico de una red IoT industrial. [14].
Recomendaciones para una Mecatrónica Segura
El secuestro de los sistemas de control dejó de ser un escenario hipotético hace tiempo. Ya en 2021 Gartner proyectaba que, para 2025, el 30% de las organizaciones de infraestructura crítica sufriría una brecha capaz de detener sistemas ciberfísicos de misión crítica, y que los atacantes estarían en condiciones de convertir esos sistemas en un arma que pusiera en riesgo vidas humanas [15].
Ese horizonte ya quedó atrás, y nada en la trayectoria del ransomware industrial descrita en este artículo sugiere que la amenaza haya perdido fuerza.
La mayoría de las defensas estudiadas en la literatura se diseñan después del ataque, no antes [16].
Ahí es exactamente donde el monitoreo neuronal en tiempo real aporta algo distinto. Andrade-Logroño y Cobos-Torres, en su revisión sobre SCADA en infraestructuras críticas, plantean una hoja de ruta concreta [3]:
• Segmentación real de redes IT/OT, no solo en el papel.
• Autenticación multifactor en todo acceso remoto a PLC y HMI.
• Cifrado de comunicaciones industriales, incluso en protocolos legacy.
• Sistemas de detección de intrusos activos, idealmente basados en IA.
• Actualización continua de firmware y evaluación periódica de riesgos.
• Capacitación del personal de planta, no solo del equipo de IT.
Ninguna de estas medidas pertenece en exclusiva al mundo de la ciberseguridad tradicional. Todas exigen la mirada de alguien que entienda tanto el PLC como el paquete de red que lo amenaza.
Conclusión
El ransomware dejó de ser, hace ya varios años, un problema exclusivo de la oficina. Los casos de Norsk Hydro, Honda, Gedia y Colonial Pipeline lo confirman: basta una credencial robada en IT para detener robots, prensas y oleoductos enteros. Y la convergencia IT/OT que hizo posible la Industria 4.0 es, precisamente, la misma que dejó esa puerta abierta.
Pero la defensa también evolucionó. Redes neuronales CNN+LSTM que analizan tráfico IoT en tiempo real, reforzadas con aprendizaje federado, ya permiten detectar un vector de ataque antes de que este alcance un controlador físico.
PARA LLEVAR
El ransomware industrial ya no ataca archivos: ataca físicamente la producción.
La convergencia IT/OT que habilitó la Industria 4.0 es la misma vía que usan los atacantes. Las redes neuronales que vigilan el tráfico IoT en tiempo real son, hoy, la respuesta más madura frente al secuestro de los sistemas de control: la siguiente herramienta de trabajo de la mecatrónica segura.
RANSOMWARE INDUSTRIAL CONVERGENCIA IT/OT REDES NEURONALES SCADA
Bibliografía
[1] O. Pospisil, P. Blazek, K. Kuchar, R. Fujdiak, and J. Misurec, “Application Perspective on Cybersecurity Testbed for Industrial Control Systems,” Sensors, vol. 21, no. 23, art. 8119, 2021. doi.org/10.3390/s21238119.
[2] Z. Wang, Y. Zhang, Y. Chen, H. Liu, B. Wang, and C. Wang, “A Survey on Programmable Logic Controller Vulnerabilities, Attacks, Detections, and Forensics,” Processes, vol. 11, no. 3, art. 918, 2023. doi.org/10.3390/pr11030918.
[3] F. Andrade-Logroño and J. C. Cobos-Torres, “Vulnerabilidades y ciberseguridad en sistemas SCADA: Análisis de riesgos y estrategias de protección en infraestructuras críticas,” MQRInvestigar, vol. 9, no. 1, pp. 1–25, 2025. doi.org/10.56048/MQR20225.9.1.2025.e289.
[4] S211897polito, “Comau robotics.jpg,” Wikimedia Commons, 20 May 2015. [Imagen en línea; licencia CC BY-SA 3.0]. commons.wikimedia.org/wiki/File:Comau_robotics.jpg.
[5] C. Beaman, A. Barkworth, T. D. Akande, S. Hakak, and M. K. Khan, “Ransomware: Recent advances, analysis, challenges and future research directions,” Computers & Security, vol. 111, art. 102490, 2021. doi.org/10.1016/j.cose.2021.102490.
[6] M. Benmalek, “Ransomware on cyber-physical systems: Taxonomies, case studies, security gaps, and openchallenges,” Internet of Things and Cyber-Physical Systems, vol. 4, pp. 186–202, 2024. doi.org/10.1016/j.iotcps.2023.12.001.
[7] Federal Bureau of Investigation (captura: usuario Motormille2), “Ransomware-pic.jpg,” Wikimedia Commons, 12 Feb. 2016. [Imagen en línea; dominio público]. commons.wikimedia.org/wiki/File:Ransomware-pic.jpg.
[8] H. C. Altunay and Z. Albayrak, “A hybrid CNN+LSTM-based intrusion detection system for industrial IoT networks,” Engineering Science and Technology, an International Journal, vol. 38, art. 101322, 2023. doi.org/10.1016/j.jestch.2022.101322.
[9] A. M. Banaamah and I. Ahmad, “Intrusion Detection in IoT Using Deep Learning,” Sensors, vol. 22, no. 21, art. 8417, 2022. doi.org/10.3390/s22218417.
[10] M. M. Rashid, S. U. Khan, F. Eusufzai, M. A. Redwan, S. R. Sabuj, and M. Elsharief, “A Federated Learning-Based Approach for Improving Intrusion Detection in Industrial Internet of Things Networks,” Network, vol. 3, no. 1, pp.158–179, 2023. doi.org/10.3390/network3010008.
[11] A. R. Khan, M. Kashif, R. H. Jhaveri, R. Raut, T. Saba, and S. A. Bahaj, “Deep Learning for Intrusion Detection and Security of Internet of Things (IoT): Current Analysis, Challenges, and Possible Solutions,” Security and Communication Networks, vol. 2022, art. 4016073, 2022. doi.org/10.1155/2022/4016073.
[12] M. Mesbah, M. S. Elsayed, A. D. Jurcut, and M. Azer, “Analysis of ICS and SCADA Systems Attacks Using Honeypots,” Future Internet, vol. 15, no. 7, art. 241, 2023. doi.org/10.3390/fi15070241.
[13] E. Wai and C. K. M. Lee, “Seamless Industry 4.0 Integration: A Multilayered Cyber-Security Framework for Resilient SCADA Deployments in CPPS,” Applied Sciences, vol. 13, no. 21, art. 12008, 2023.doi.org/10.3390/app132112008.
[14] mikemacmarketing, “Artificial Neural Network with Chip.jpg,” Wikimedia Commons (originalmente en Flickr), 16 Aug. 2018. [Imagen en línea; licencia CC BY 2.0]. commons.wikimedia.org/wiki/File:Artificial_Neural_Network_with_Chip.jpg.
[15] A. Alqudhaibi, M. Albarrak, A. Aloseel, S. Jagtap, and K. Salonitis, “Predicting Cybersecurity Threats in Critical
Infrastructure for Industry 4.0: A Proactive Approach Based on Attacker Motivations,” Sensors, vol. 23, no. 9, art. 4539, 2023. doi.org/10.3390/s23094539.
[16] V. Pedreira, D. Barros, and P. Pinto, “A Review of Attacks, Vulnerabilities, and Defenses in Industry 4.0 with New
Challenges on Data Sovereignty Ahead,” Sensors, vol. 21, no. 15, art. 5189, 2021. doi.org/10.3390/s21155189.