Si camina por la planta de cualquier instalación industrial moderna, encontrará puertos USB en estaciones de trabajo de ingeniería, servidores de bases de datos de proceso (historian), laptops de programación de PLC y paneles HMI. Esos puertos representan comodidad, pero también son uno de los puntos de entrada más explotados en los entornos de tecnología operativa (OT) hoy en día.

Las amenazas a través de medios extraíbles han madurado mucho más allá de la era de las memorias USB infectadas que se dejaban caer en los estacionamientos. En 2026, los actores de amenazas que atacan los sistemas de control industrial utilizan la manipulación a nivel de firmware que sobrevive al formateo, campañas de simulación de extravío de USB (USB baiting) diseñadas en torno a la ingeniería social en lugar del azar y cargas útiles BadUSB que convierten una memoria USB en una plataforma de ataque totalmente funcional, capaz de evadir cualquier herramienta de seguridad de endpoint que vigila la presencia de archivos maliciosos.

Para los gerentes de planta, ingenieros de OT y directores de seguridad de la información (CISO) responsables de la infraestructura crítica, esta evolución exige una respuesta más técnica y precisa que "deshabilitar la ejecución automática" e "instruir a los empleados". Esta publicación desglosa exactamente cómo funcionan estos ataques, qué hace que los entornos ICS sean singularmente vulnerables y cómo se ve una defensa en capas en la práctica.

Antes de continuar, no olvide consultar nuestra publicación de blog anterior sobre el análisis profundo del ciberataque a Cal Water aquí

Por qué los entornos ICS son el objetivo ideal para los ataques con medios extraíbles

Antes de que pueda defenderse de estas amenazas, debe comprender por qué los sistemas de control industrial las atraen.

Las redes OT no son como los entornos de TI corporativos. Muchas instalaciones de ICS ejecutan hardware y software heredados que no pueden recibir parches sin poner en riesgo la continuidad de la producción. Los ingenieros suelen transferir datos, actualizaciones de firmware y archivos de configuración utilizando unidades USB debido a que las redes con aislamiento físico (air-gapped) o segmentadas dejan pocas opciones prácticas. Las ventanas de mantenimiento son estrechas. El tiempo de inactividad es costoso. Las soluciones provisionales se convierten en hábitos.

Esa combinación —sistemas heredados, parches poco frecuentes y dependencia cultural de los medios extraíbles— genera una superficie de amenaza genuinamente difícil de cerrar.

El Modelo Purdue crea una ilusión de separación. La segmentación de TI/OT en el Nivel 3.5 (la zona desmilitarizada) está diseñada para contener amenazas, pero una sola unidad USB infectada que cruza esa frontera de la mano de un usuario autorizado colapsa por completo la arquitectura. El atacante no necesita vulnerar su perímetro: su propio personal introduce la carga útil.

La diversidad de activos amplifica el problema. Una sola instalación industrial puede albergar sistemas Siemens, Rockwell, Emerson, Yokogawa y Honeywell simultáneamente, cada uno con formatos de firmware patentados, diferentes comportamientos en el manejo de medios extraíbles y diversos niveles de visibilidad de endpoints. Las herramientas de seguridad que funcionan en estaciones de trabajo Windows a menudo no tienen ninguna perspectiva de lo que sucede cuando un dispositivo USB se conecta a una consola de Sistema de Control Distribuido (DCS) que ejecuta un sistema operativo de hace 15 años.

Los sistemas de seguridad ahora están en la mira. Los Sistemas Instrumentados de Seguridad (SIS) —la última línea de defensa contra fallas físicas catastróficas— históricamente estaban aislados. Las arquitecturas híbridas modernas conectan cada vez más los componentes de SIS a las redes operativas para su monitoreo. Un ataque con medios extraíbles que llegue al firmware de SIS puede comprometer los sistemas diseñados para prevenir accidentes industriales.

BadUSB: Cuando el dispositivo en sí es el arma

BadUSB no es una variante de malware. Es una clase de ataque. El término describe lo que sucede cuando un atacante reprograma el microcontrolador dentro de un dispositivo USB de modo que se presente ante el sistema host como algo distinto a lo que parece ser.

Conecte lo que parece ser una unidad de almacenamiento USB ordinaria. El sistema operativo host lo reconoce como un Dispositivo de Interfaz Humana (HID); un teclado, para ser precisos. El HID envía una secuencia rápida de pulsaciones de teclas. En cuestión de segundos, abre un símbolo del sistema, descarga una carga útil desde un servidor provisional y se cierra sin dejar evidencia visible. Toda la secuencia tarda menos de 30 segundos. Sin archivos para escanear. Sin ejecutables que marcar. Sin alertas de antivirus.

Cómo funciona BadUSB a nivel de firmware

Cada dispositivo USB tiene un microcontrolador que maneja la comunicación con el host. El firmware de ese controlador define cómo se identifica el dispositivo durante el proceso de enumeración de USB. En el hardware USB de grado comercial, ese firmware no se diseñó pensando en la seguridad y se puede reprogramar utilizando herramientas que están disponibles de forma gratuita.

Cuando un dispositivo BadUSB se enumera como un teclado o un adaptador de red, el sistema operativo host confía en él. Las herramientas de Detección y Respuesta de Endpoint (EDR) vigilan los procesos sospechosos y la actividad del sistema de archivos; no están vigilando la entrada de teclado que llega a velocidad de máquina desde un dispositivo que se acaba de conectar.

En un contexto de ICS, la superficie de ataque se expande drásticamente. Las estaciones de trabajo de ingeniería que ejecutan Windows XP, Windows 7 o compilaciones tempranas de Windows 10 sin parches actualizados son particularmente vulnerables. Muchos entornos de OT deshabilitan los puertos USB a nivel físico o mediante políticas de grupo, pero esos controles rara vez se aplican de manera uniforme en todos los activos de una instalación industrial compleja.

Qué puede hacer BadUSB en un entorno OT

• Desplegar herramientas de reconocimiento que mapean la topología de la red, enumeran los endpoints de PLC y DCS, y extraen archivos de configuración.

• Inyectar lógica de escalera (ladder logic) maliciosa o diagramas de bloques de funciones mediante la automatización de interacciones con el software de ingeniería que se ejecuta en la estación de trabajo comprometida.

• Establecer persistencia a través de tareas programadas, scripts de inicio o modificaciones de firmware en los dispositivos conectados.

• Realizar movimientos laterales desde la estación de trabajo de ingeniería conectada a TI hacia los sistemas OT de Nivel 2, explotando las relaciones de confianza entre hosts en la red.

Los despliegues de BadUSB más peligrosos en entornos ICS no son ruidosos. No activan alarmas. Operan discretamente, recopilando la inteligencia que un adversario necesita para ejecutar un ataque altamente selectivo y de gran impacto semanas o meses después.

USB Baiting: Ingeniería social en la capa física

El USB baiting (simulación de extravío de USB) es exactamente lo que parece. Un atacante deja un dispositivo USB preparado en algún lugar donde es probable que el objetivo lo encuentre. El objetivo lo recoge, lo conecta a una estación de trabajo y la carga útil se ejecuta.

La técnica parece poco sofisticada. En 2026, sigue siendo uno de los métodos de acceso inicial más eficaces en entornos industriales, y se ha vuelto significativamente más selectivo.

La evolución de las campañas de USB Baiting

El USB baiting inicial era oportunista: los atacantes esparcían unidades en los estacionamientos esperando que alguien las conectara. Las campañas modernas dirigidas a operadores de ICS se planifican tácticamente. Los actores de amenazas realizan reconocimiento físico de las instalaciones, identifican al personal que maneja medios extraíbles de forma rutinaria (técnicos de mantenimiento, contratistas, ingenieros de instrumentación y electricidad) y adaptan el anzuelo en consecuencia.

Una memoria USB depositada cerca de una laptop de programación de PLC en el área de descanso de la sala de control tiene muchas más probabilidades de conectarse a un activo de ICS que una arrojada en el estacionamiento general de la oficina. Una unidad con la etiqueta "Revisión Salarial 2026 - Confidencial" apunta a la curiosidad. Una unidad con la etiqueta "Actualización de firmware SCADA - Rev 4.2.1" apela a un hábito profesional. Ambas explotan una vulnerabilidad fundamentalmente humana: la suposición de que la proximidad física equivale a confianza.

Los vectores de contratistas y de la cadena de suministro agravan el riesgo. Los contratistas de mantenimiento a menudo llevan sus propias laptops y unidades USB a las plantas de producción. Se conectan a servidores de bases de datos de proceso (historians), consolas de DCS y estaciones de trabajo de ingeniería con niveles de acceso que alarmarían a la mayoría de los equipos de seguridad, y con endpoints que están completamente fuera del control de su organización.

Por qué el personal de ICS es particularmente vulnerable

Los ingenieros de OT están capacitados para resolver problemas operativos rápidamente. Cuando la producción está en riesgo, el camino más rápido hacia la solución es el que gana. Esa urgencia es una superficie de ataque. Una unidad que parece contener un parche de firmware o un respaldo de configuración se conectará porque esperar a verificar su origen podría significar un costoso tiempo de inactividad adicional.

Lo mismo se aplica a las ventanas de mantenimiento de terceros. Cuando un especialista está en el sitio para una ventana de servicio estrecha, pedirle que envíe un dispositivo USB para una inspección previa se percibe como un obstáculo operativo. En muchas instalaciones, simplemente no se hace.

Manipulación de firmware: La amenaza que sobrevive a todo

De las tres categorías de ataque analizadas aquí, la manipulación de firmware es la más sofisticada técnicamente y la más difícil de detectar y remediar. También es la de mayores consecuencias en un contexto de ICS.

Qué significa la manipulación de firmware

Cada dispositivo en su entorno OT —PLC, HMI, RTU, controladores DCS, relés de protección— ejecuta un firmware. Ese firmware controla el comportamiento del dispositivo a un nivel elemental. Si un atacante puede modificarlo, toma el control total del dispositivo.

Los ataques de firmware dirigidos a activos de ICS normalmente siguen una de estas dos rutas:

Ruta 1: Firmware malicioso distribuido a través de medios extraíbles. Un atacante prepara una imagen de firmware modificada para un modelo de dispositivo específico. La entrega mediante un USB, ya sea a través de un dispositivo BadUSB que inicia silenciosamente el proceso de actualización, o mediante ingeniería social que convence a un ingeniero de aplicar un archivo de firmware "actualizado". El firmware modificado ejecuta los comportamientos definidos por el atacante mientras presenta información de estado normal a los operadores.

Ruta 2: Explotación del mecanismo de actualización del firmware. Muchos dispositivos ICS aceptan actualizaciones de firmware a través de herramientas USB suministradas por el fabricante. Estos mecanismos se diseñaron para la facilidad de uso, no para la seguridad. Con frecuencia carecen de verificación criptográfica de la imagen de firmware. Un atacante que entienda el protocolo de actualización puede diseñar un paquete de firmware malicioso que el dispositivo aceptará como legítimo.

Por qué los ataques a nivel de firmware son particularmente peligrosos en ICS

Sobreviven al formateo y reinstalación. Si un atacante logra persistencia a nivel de firmware, limpiar y reinstalar el sistema operativo en una estación de trabajo conectada no elimina la amenaza. El firmware comprometido continúa ejecutándose en el propio dispositivo.

Pueden causar daños físicos. Un PLC que ejecuta firmware malicioso puede enviar comandos incorrectos a motores, válvulas, actuadores y otros componentes físicos. Esto no es teórico: la historia industrial registra incidentes en los que la manipulación a nivel de firmware provocó la destrucción de equipos físicos y, en algunos casos, creó condiciones que pusieron en peligro al personal.

Son casi invisibles para las herramientas de monitoreo estándar. Su SIEM recibe registros de hosts de Windows, dispositivos de red y firewalls. No recibe registros del firmware del PLC. Los historians de procesos registran datos de la planta, no la integridad del firmware. Un atacante que opera a nivel de firmware se sitúa por debajo del plano de visibilidad de la mayoría de las arquitecturas de seguridad industrial.

Explotan la confianza depositada en los procesos del fabricante. Los ingenieros y técnicos aplican actualizaciones de firmware porque confían en la fuente. Los atacantes explotan esa confianza comprometiendo la cadena de suministro de actualizaciones o haciendo que el firmware malicioso parezca provenir del fabricante.

El panorama de amenazas en 2026: Qué ha cambiado

Los actores de amenazas que apuntan a entornos OT se han profesionalizado. Los grupos de Estados-nación con capacidades documentadas en ICS —aquellos que operan con el fin de generar una interrupción estratégica en infraestructuras críticas— han ido más allá de las intrusiones oportunistas. Sus campañas son operaciones de ciclo largo impulsadas por inteligencia que utilizan medios extraíbles como punto de apoyo inicial en redes que, de otro modo, serían difíciles de penetrar de forma remota.

El desarrollo de cargas útiles asistido por IA ha reducido la barrera para la creación de scripts BadUSB dirigidos. Lo que antes requería conocimientos especializados de seguridad ofensiva ahora se puede acelerar con herramientas de IA, lo que pone capacidades sofisticadas de ataque USB al alcance de una gama más amplia de actores de amenazas, incluidos los grupos cibercriminales de menor nivel.

El hardware de uso común facilita ataques avanzados. Los dispositivos capaces de ejecutar ataques BadUSB están disponibles comercialmente como herramientas de pruebas de penetración, se venden abiertamente y cuestan menos de $100 USD. La barrera técnica para desplegar un ataque BadUSB contra un objetivo de OT prácticamente ha desaparecido.

El compromiso de la cadena de suministro se ha convertido en un vector estándar. En lugar de atacar la instalación directamente, los adversarios sofisticados se dirigen a los proveedores, contratistas y proveedores de componentes que llevan con regularidad medios extraíbles a entornos industriales. Comprometer la laptop o la unidad de actualización de un solo contratista puede proporcionar acceso a decenas de instalaciones.

La presión regulatoria se está intensificando. Las normas IEC 62443, NIST SP 800-82, NERC CIP y NIS2 abordan la seguridad de los medios extraíbles con especificaciones cada vez mayores. En 2026, los reguladores no se conforman con documentos de políticas; exigen evidencia de controles implementados, registros de auditoría y capacidad demostrada de respuesta a incidentes.

Cómo se ve realmente una defensa en capas contra las amenazas de medios extraíbles

Defenderse de BadUSB, la simulación de extravío de USB y la manipulación de firmware en un entorno ICS requiere aplicar controles en múltiples niveles de forma simultánea. Una sola política o una única herramienta no son suficientes.

Capa 1: Controles físicos y administrativos

Hacer cumplir una política de medios extraíbles estricta. Documente qué activos están autorizados para utilizar medios extraíbles, bajo qué condiciones y con qué proceso de aprobación previa. Exija que todos los dispositivos USB externos se escaneen en una estación de inspección dedicada y con aislamiento físico (air-gapped) antes de que toquen cualquier activo de OT. Esto incluye los dispositivos de contratistas.

Utilizar bloqueadores físicos de puertos USB. En el caso de activos donde el uso de medios extraíbles no sea operativamente necesario, implemente bloqueadores físicos de puertos USB. Estos son controles de bajo costo y alta efectividad que eliminan por completo el riesgo de conexiones accidentales o no autorizadas.

Clasificar sus activos de OT por nivel de riesgo. No todos los dispositivos de su entorno conllevan la misma consecuencia si se ven comprometidos. Los componentes de SIS, los clústeres de PLC principales y los servidores historian justifican controles de medios extraíbles más estrictos que las estaciones de trabajo de monitoreo secundarias. Aplique controles proporcionales a las consecuencias de la afectación.

Registrar cada evento de conexión de medios extraíbles. Su solución de seguridad de endpoints o control de dispositivos debe generar una alerta cada vez que se conecte un dispositivo USB a un activo de OT. Ese registro debe enviarse a su plataforma de Gestión de Información y Eventos de Seguridad (SIEM) y revisarse dentro de un acuerdo de nivel de servicio (SLA) definido.

Capa 2: Controles técnicos

Implementar software de control de dispositivos adaptado para OT. Las herramientas corporativas de bloqueo de USB creadas para entornos de TI a menudo fallan en contextos de OT: pueden entrar en conflicto con software industrial patentado, requerir conectividad a Internet para las actualizaciones o simplemente ser incompatibles con sistemas operativos heredados. Necesita soluciones de control de dispositivos validadas para entornos ICS.

Implementar listas blancas de dispositivos USB. En lugar de intentar bloquear todos los dispositivos maliciosos, defina una lista positiva de dispositivos USB aprobados por ID de hardware, número de serie y clase de dispositivo. Cualquier dispositivo que no esté en la lista blanca no podrá conectarse. Este enfoque contrarresta directamente los ataques BadUSB ya que, incluso si un dispositivo malicioso se presenta como un HID, no coincidirá con un ID de hardware aprobado.

Utilizar hardware de bloqueo de escritura para la transferencia de datos. Cuando sea obligatorio trasladar datos a entornos OT mediante medios extraíbles, utilice bloqueadores de escritura por hardware durante la inspección previa. Esto evita que la estación de trabajo de inspección se vea comprometida por una unidad infectada durante el propio proceso de escaneo.

Verificar la integridad del firmware antes y después de los mantenimientos. Establezca un código hash de firmware de referencia para cada dispositivo OT en su entorno. Después de cualquier ventana de mantenimiento que implique uso de medios extraíbles, verifique que el firmware no haya cambiado. Esto requiere herramientas capaces de comunicarse con sus tipos específicos de dispositivos, no un monitor genérico de integridad de archivos.

Desplegar puertas de enlace de seguridad unidireccionales para la transferencia de datos. Cuando los datos deban fluir de OT a TI, las pasarelas unidireccionales implementadas mediante hardware eliminan la posibilidad de explotar canales de retorno. Son más eficaces que los diodos de datos basados en software y eliminan por completo el requisito de medios extraíbles para muchos casos de uso de transferencia de datos.

Capa 3: Monitoreo y respuesta

Extender el monitoreo de OT para incluir actividad USB anómala. Su solución de monitoreo de red industrial debe ser capaz de detectar comportamientos inusuales que ocurran justo después de la conexión de un dispositivo USB: tráfico saliente inesperado, ejecución de nuevos procesos en estaciones de trabajo de ingeniería o cambios en los archivos de programación de PLC.

Integrar las alertas de OT con su SOC. Los incidentes relacionados con USB en entornos OT no deben ser gestionados exclusivamente por los equipos de operación. Su función de operaciones de seguridad necesita visibilidad y la capacidad de realizar un escalamiento rápido.

Probar su plan de respuesta a incidentes frente a escenarios de ataque USB. Los ejercicios de simulación que incluyen escenarios de BadUSB o de distribución de USB (