Ciberataques a infraestructuras críticas: Sus consecuencias y cómo las abordan gobiernos y empresas

ESET Latinoamérica recomienda a las organizaciones permanecer alertas ante posibles ciberataques y analiza la importancia de proteger las infraestructuras críticas.

ESET , compañía líder en detección proactiva de amenazas, advirtió en su último informe de Tendencias en ciberseguridad 2025: “Uso malicioso de la IA generativa y tecnologías operativas en la mira ” que los ataques a infraestructuras críticas serán, cómo hace unos años, una preocupación destacada en los próximos meses.

Las infraestructuras críticas de un país en particular hacen referencia a cualquier sistema, ya sea digital como físico, que brinde algún servicio esencial para el funcionamiento de la sociedad. En caso de verso afectado podría tener un impacto grave en algún área crítica como seguridad, economía, salud, energía, comunicaciones, entre otros.

Ya han habido casos de ciberataques a infraestructuras críticas que han dejado grandes huellas en los países donde sucedieron. Uno de esos casos fue derivado del conflicto armado de Rusia-Ucrania, en donde cientos y millas de ucranianos se quedaron sin luz producto de un ataque bajo la amenaza de Black Energy en 2015. Un año después, una familia de malware similar afectó a la capital ucraniana. Y además, también se identificaron intentos de ciberataques como los ocurridos en Estados Unidos hace algunos años atrás, donde se buscó envenenar una planta potabilizadora , llegando a casi afectar los servicios de agua y saneamiento.

“ Como adelantamos en nuestro informe de Tendencias en ciberseguridad 2025 , los ataques a infraestructuras críticas seguirán siendo una preocupación. Los sistemas OT (tecnología operativa) serán el objetivo clave, por su interconexión y su rol esencial en sectores estratégicos. Fortalecer su ciberseguridad será prioritario, considerando su vulnerabilidad demostrada en conflictos recientes, donde su explotación ha tenido graves consecuencias para las poblaciones afectadas ”, comenta Martina López, Investigadora de Seguridad informática de ESET Latinoamérica.

Las amenazas que se dirigen a infectar estos sistemas críticos tienen diversos orígenes, aclaran desde ESET, ya sean políticos, económicos, financieros o activistas. Desde el punto de vista técnico se suelen identificar amenazas como gusanos, botnets, troyanos, evidencias de ataques de phishing, exploits de vulnerabilidades 0-day, o no conocidas por sus creadores, y también, grupos APTs (Advanced Persistent Threats/tipo de amenaza persistente avanzada), que, como describe la investigadora de ESET, cuentan una dedicación y sofisticación superior a las se observa en las amenazas comunes dirigidas al usuario final.

Pie de imagen: Infraestructuras críticas de un país según CISA

Este tipo de ciberataques, según ESET, tienen una estructura muy similar a la que se observa, por ejemplo, en ataques a compañías tanto públicas como privadas. En primer lugar, un punto de entrada, puede ser la explotación de una vulnerabilidad en un sistema que quedó viejo, anticuado y no actualizado, o también un ataque de ingeniería social engañando a un colaborador o facilitador dentro del objetivo de ataque, ya sea la planta en donde está esa infraestructura o en el sistema.

En segundo lugar, descrito por ESET, está la ejecución de la amenaza cuya intención es causar el mayor daño posible. Generalmente se realiza en un formato que puede tener como fin destruir o secuestrar (algún tipo de ransomware) los sistemas o la información. Esta amenaza sigue las instrucciones de acción de los cibercriminales.

” Entre el primer paso y el segundo pueden horas, minutos, hasta días o meses, dependiendo del objetivo de los ciberatacantes. Los mismos suelen actuar en grupo, ya sea para recolectar información, obtener reconocimiento, causar el mayor daño posible o identificar una actividad operativa para poder atacar con más efectividad. De eso dependerá, por supuesto, no sólo el tipo de amenaza que se va a desplegar, destructiva, de secuestro o una que robe de información pero sin mayores sobresaltos y pasando desapercibida. Generalmente se suele tratar de grupos APT, o grupos de amenazas persistentes y avanzadas, en donde los objetivos, como decíamos, pueden ser variados Los económicos, activistas, sociales, suelen ser los más comunes ”, concluye Martina López de ESET Latinoamérica.

Es importante que las empresas, así como los gobiernos, comiencen a implementar soluciones y planes que disminuyan los riesgos de sus infraestructuras críticas. En este sentido, ESET comparte una serie de consejos para minimizar los riesgos de sectores críticos:

• Implementar no solo soluciones de Threat Intelligence, sino que además implementar soluciones más proactivas, como Threat Hunting, para evitar caer en ataques que todavía no han sido detectados.

• Diseñar planes de respuesta ante incidentes, que sean claros y objetivos.

• Implementar el modelo Zero Trust y seguridad en capas

• Elaborar planes de capacitación dirigidos al equipo de colaboradores en materia de seguridad de la información.