Cuando la mayoría de las personas se imaginan un ciberataque a la infraestructura crítica, piensan en sofisticados hackers respaldados por estados que despliegan exploits de día cero contra redes gubernamentales fortalecidas. La realidad, como se demostró en abril de 2025, puede ser mucho más desalentadora y evitable.

En lo que desde entonces se ha convertido en uno de los incidentes de ciberseguridad industrial más discutidos del año, los atacantes obtuvieron acceso remoto al sistema de válvulas de toma de agua en la represa hidroeléctrica Sandøy Kraft de Noruega, en el lago Risevatnet. No lo hicieron con herramientas de amenazas persistentes avanzadas ni con recursos estatales. Lo hicieron con un simple exploit de una de las vulnerabilidades más antiguas y comunes en los entornos de tecnología operativa (OT): una contraseña débil y predeterminada en una interfaz hombre-máquina (HMI) expuesta a internet.

Para los líderes de seguridad de OT, ingenieros de ICS, gerentes de planta y CISOs responsables de entornos industriales, este incidente conlleva un mensaje que no se puede ignorar: las vulnerabilidades más peligrosas en su infraestructura crítica suelen ser las que están a la vista de todos.

Qué pasó en el lago Risevatnet: Un resumen detallado del incidente

El lago Risevatnet es un embalse ubicado en el municipio de Sunnfjord, en el oeste de Noruega. Las instalaciones de Sandøy Kraft se abastecen de este embalse como parte de sus operaciones de generación hidroeléctrica. Al igual que miles de instalaciones similares en Europa y América del Norte, la planta depende de sistemas de control automatizados para gestionar el flujo de agua, las operaciones de las turbinas y el posicionamiento de las válvulas.

En abril de 2025, un tercero no autorizado, cuya identidad seguía bajo investigación en el momento del informe, obtuvo acceso remoto al panel HMI de la represa. Este panel es la interfaz digital que utilizan los operadores para monitorear y controlar los procesos físicos, incluida la apertura y el cierre de las válvulas de toma que regulan la cantidad de agua que ingresa al sistema de generación.

El atacante manipuló los controles de las válvulas de forma remota. Esta acción provocó que el nivel de agua del lago subiera aproximadamente cuatro metros por encima de su rango operativo normal. En este contexto, un aumento de cuatro metros en un embalse controlado no es una fluctuación menor; genera un riesgo real de inundaciones río abajo, posible presión estructural en la infraestructura de la represa y un peligro significativo para las comunidades y los ecosistemas cercanos.

Las autoridades noruegas y el operador de las instalaciones respondieron con la rapidez suficiente para evitar un desenlace catastrófico. El incidente fue contenido, pero la advertencia que envió a la comunidad global de infraestructura crítica se difundió de inmediato.

Incidente del lago Risevatnet, de un vistazo

Por qué todos los líderes de seguridad en OT deben prestar atención a este incidente

El ataque a la represa de Risevatnet no es un caso aislado. Es un ejemplo representativo de un patrón de amenazas que los analistas de seguridad han documentado durante años, pero que continúa manifestándose en los sectores de energía, servicios públicos, tratamiento de agua, manufactura y transporte a nivel mundial.

La suposición del «aislamiento físico» es un mito peligroso

Durante décadas, los operadores industriales creyeron que los sistemas de tecnología operativa eran intrínsecamente seguros porque estaban aislados físicamente (air-gapped) de las redes públicas. Esa suposición comenzó a desmoronarse con la convergencia de las redes de TI y OT, y ahora ha sido completamente desmentida por un flujo constante de incidentes del mundo real.

En el caso de Risevatnet, la HMI era directamente accesible a través de internet. Esto no es algo exclusivo de Noruega. Las investigaciones demuestran de manera constante que decenas de miles de sistemas de control industrial, interfaces SCADA y paneles HMI son detectables y accesibles a través de la infraestructura pública de internet, muchos de ellos protegidos únicamente por credenciales predeterminadas de fábrica.

Las contraseñas débiles siguen siendo la mayor superficie de ataque en OT

La comunidad global de ciberseguridad ha gastado enormes recursos en el desarrollo de plataformas avanzadas de detección de amenazas, arquitecturas de confianza cero y sistemas de anomalías impulsados por IA. Sin embargo, los ataques basados en credenciales, que explotan contraseñas débiles, predeterminadas, reutilizadas o no gestionadas, siguen siendo el vector de acceso inicial observado con mayor frecuencia en los incidentes de OT documentados.

La razón es sencilla: los atacantes son racionales. Si un ataque sofisticado requiere semanas de reconocimiento y experiencia especializada, mientras que un simple exploit de credenciales toma minutos y no requiere conocimientos especializados, siempre se preferirá este último cuando esté disponible. El atacante de Risevatnet eligió la puerta más fácil de abrir.

Las consecuencias físicas son la diferencia definitoria en la seguridad de OT

Lo que diferencia fundamentalmente a la seguridad de OT de la seguridad de TI empresarial es la dimensión física. Cuando un servidor de correo electrónico corporativo se ve comprometido, las consecuencias principales son la pérdida de datos, la interrupción del negocio y el daño a la reputación; todo esto es grave, pero rara vez pone en peligro la vida.

Cuando un sistema de control industrial se ve comprometido, las consecuencias pueden incluir daños estructurales a la infraestructura física, liberación de materiales peligrosos, inundaciones, explosiones, cortes de energía que afecten a hospitales y servicios de emergencia, y amenazas directas a la vida humana. El aumento de cuatro metros en el nivel del agua del lago Risevatnet fue una cruda demostración física de esta realidad.

Comprensión del panorama de vectores de ataque de OT en 2025

El incidente de Risevatnet sirve como un lente útil para examinar el panorama general de los vectores de ataque que enfrentan hoy en día los operadores de infraestructuras críticas. Aunque el exploit específico fue una contraseña débil en una HMI expuesta, este tipo de vulnerabilidad forma parte de un ecosistema más amplio de riesgos que las organizaciones industriales deben comprender y abordar.

Vectores de ataque comunes en OT y su nivel de gravedad

Comprender qué vectores están presentes en su entorno y cuáles se explotan activamente es el primer paso para priorizar sus inversiones en seguridad de manera efectiva.

Cinco brechas de seguridad fundamentales que hicieron posible el ataque a Risevatnet

La investigación de incidentes como el ataque a Risevatnet revela un patrón constante de brechas de seguridad fundamentales. Comprender estas brechas y reconocerlas en su propio entorno es esencial para la prevención.

1. Activos de tecnología operativa expuestos a internet

Tal vez el hallazgo más crítico en el incidente de Risevatnet es que la HMI era accesible desde el internet público. En un entorno industrial debidamente protegido, ninguna interfaz de tecnología operativa debe ser accesible directamente desde internet sin controles de acceso robustos, aplicación de autenticación y monitoreo activo. Colocar los activos de OT detrás de firewalls correctamente configurados, con acceso restringido a usuarios registrados a través de rutas de acceso remoto seguras, es una línea base no negociable.

2. Ausencia de autenticación de múltiples factores

Una sola contraseña, sin importar su complejidad, es una barrera insuficiente para los sistemas de infraestructura crítica. La autenticación de múltiples factores (MFA) agrega una segunda capa de verificación que aumenta drásticamente la dificultad de un acceso no autorizado. Para los sistemas que controlan procesos físicos con implicaciones de seguridad pública, la MFA debe considerarse obligatoria, no opcional.

3. Gestión de credenciales débiles y predeterminadas

Los equipos industriales, PLCs, RTUs, HMIs, servidores SCADA e históricos de bases de datos se envían de fábrica con nombres de usuario y contraseñas predeterminados que están documentados públicamente. En una cantidad alarmante de implementaciones, estas credenciales nunca se cambian. Un programa estructurado de auditoría y gestión de credenciales, combinado con un sistema de gestión de accesos privilegiados, elimina directamente toda esta categoría de ataque.

4. Segmentación inadecuada de la red de OT

Las redes planas, donde cada dispositivo puede comunicarse con cualquier otro sin restricciones, son comunes en entornos industriales heredados, pero representan una falla de seguridad fundamental. Cuando un atacante obtiene acceso a un sistema en una red plana, el movimiento lateral a otros sistemas resulta sumamente sencillo. Una segmentación de red adecuada, guiada por modelos como el Modelo Purdue o la arquitectura de zonas y conductos ISA/IEC 62443, contiene las brechas de seguridad y limita su impacto operativo.

5. Monitoreo específico de OT limitado o ausente

Muchos entornos industriales carecen de las capacidades de monitoreo continuo que detectarían comandos anómalos, intentos de autenticación inusuales o cambios de configuración no autorizados en tiempo real. En ausencia de monitoreo, un atacante puede operar sin ser detectado durante minutos, horas o días. Las soluciones de monitoreo pasivo de OT, que observan el tráfico de protocolos industriales sin interrumpir las operaciones, brindan la visibilidad requerida para detectar ataques como el de Risevatnet antes de que ocurran consecuencias físicas.

Contexto regulatorio y de cumplimiento: Qué dicen los estándares sobre la higiene básica de OT

El ataque a Risevatnet no ocurrió en un vacío normativo. Los requisitos que violó (o, al menos, que puso en evidencia) están bien establecidos en los estándares y marcos globales de ciberseguridad industrial.

• IEC 62443 (ISA 62443): El estándar internacionalmente reconocido para la seguridad de sistemas de control y automatización industrial. Aborda explícitamente la segmentación de redes, el control de acceso, los requisitos de autenticación y el monitoreo de seguridad para entornos de OT. Las fallas explotadas en Risevatnet se abordan directamente en este estándar.

• Marco de Ciberseguridad del NIST (CSF): Las funciones de Identificar, Proteger, Detectar, Responder y Recuperar del NIST CSF se alinean directamente con las fallas observadas en el incidente de Risevatnet, particularmente en las categorías de Proteger (control de acceso, gestión de activos) y Detectar (monitoreo continuo).

• Directiva de Seguridad de las Redes y Sistemas de Información de la UE (NIS2): En vigor desde octubre de 2024, la directiva NIS2 amplía significativamente el alcance de los operadores de infraestructuras críticas obligados a cumplir con las responsabilidades de ciberseguridad en la Unión Europea. Las instalaciones de energía de Noruega se rigen por marcos nacionales similares. Incidentes como el de Risevatnet demuestran con precisión el tipo de falla de higiene básica que los reguladores sancionan cada vez con mayor autoridad.

• Estándares NERC CIP: Para las empresas de servicios eléctricos en América del Norte, NERC CIP proporciona requisitos detallados para los perímetros de seguridad electrónica, la seguridad física, la gestión de la seguridad del sistema y el reporte de incidentes. Los requisitos de control de acceso según CIP-005 y CIP-007 son directamente relevantes para el tipo de exposición observado en Risevatnet.

El cumplimiento con estos marcos no es simplemente una obligación regulatoria; es una guía práctica para prevenir exactamente el tipo de incidente que ocurrió en el lago Risevatnet.

Recomendaciones prácticas para operadores de infraestructuras críticas

Si el incidente de Risevatnet lo ha llevado a examinar su propia postura de seguridad en OT, las siguientes recomendaciones proporcionan un punto de partida práctico. Estas no son ideas teóricas; son medidas viables que abordan directamente los tipos de vulnerabilidades explotadas en el ataque.

• Realice un inventario completo de activos de OT y una evaluación de exposición: no se puede proteger lo que no se puede ver. Identifique cada componente HMI, PLC, RTU y SCADA en su entorno, determine cuáles son accesibles desde internet y corrija de inmediato cualquier exposición no autorizada.

• Implemente un programa de auditoría y remediación de credenciales: identifique todos los sistemas que utilicen credenciales predeterminadas, compartidas o débiles. Establezca un proceso formal de gestión de accesos privilegiados con rotación regular de credenciales y asignación de responsabilidades.

• Aplique autenticación de múltiples factores en todas las rutas de acceso remoto: no se debe permitir la autenticación de un solo factor para acceder a los sistemas de OT, especialmente aquellos que controlan procesos físicos.

• Implemente una segmentación de red compatible con OT: diseñe su arquitectura de red industrial basándose en el modelo de zonas y conductos. Instale firewalls y diodos de datos en los límites adecuados para contener posibles brechas de seguridad.

• Establezca un monitoreo pasivo de OT y detección de anomalías: despliegue soluciones que puedan observar el tráfico de protocolos industriales, detectar comandos no autorizados y alertar en tiempo real a los equipos de operaciones sin interrumpir la producción.

• Desarrolle y pruebe periódicamente un plan de respuesta a incidentes específico para OT: la realización de ejercicios simulados y simulacros en tiempo real de escenarios ciberfísicos, incluida la manipulación remota de válvulas, es una preparación esencial.

• Adapte y restrinja el acceso remoto de terceros y proveedores: asegúrese de que todo acceso de proveedores tenga un límite de tiempo, esté monitoreado y se rija por políticas de acceso claramente definidas.

Cómo apoya Shieldworkz a las organizaciones industriales para asegurar sus entornos de OT

En Shieldworkz trabajamos exclusivamente en el ámbito de la tecnología operativa y la ciberseguridad industrial. Entendemos las limitaciones únicas de los entornos de OT, la necesidad de evaluaciones de seguridad sin interrupciones, el desafío de proteger equipos heredados que no se pueden parchar o reemplazar fácilmente, y la realidad operativa de que la seguridad y la disponibilidad siempre deben ser la prioridad.

El ataque a Risevatnet refuerza lo que nuestros especialistas observan en los entornos industriales todos los días: las mejoras de seguridad más efectivas rara vez son las más costosas o complejas. Son aquellas que solucionan las deficiencias fundamentales (los paneles expuestos, las contraseñas sin cambiar, las redes sin monitoreo) que los atacantes buscan y explotan con mayor facilidad.

Servicios de seguridad de OT/ICS de Shieldworkz adaptados a riesgos del mundo real

Por qué las organizaciones industriales eligen a Shieldworkz

Experiencia especializada en OT/ICS: Nuestro equipo incluye antiguos ingenieros industriales, especialistas en sistemas de control y profesionales de ciberseguridad de OT con experiencia práctica en los sectores de energía, servicios públicos, manufactura y transporte.

• Metodología de evaluación no disruptiva: Todas las evaluaciones de seguridad se realizan utilizando técnicas pasivas de solo lectura que no interfieren con la producción activa ni con la continuidad operativa.

• Recomendaciones prácticas y priorizadas: Entregamos resultados en un lenguaje relevante para el negocio con clasificaciones de riesgo claras y hojas de ruta de remediación secuenciadas, no solo reportes técnicos que quedan archivados.

• Diseño de programas alineados con estándares: Todos los compromisos de Shieldworkz están alineados con IEC 62443, NIST CSF y los estándares nacionales pertinentes para infraestructuras críticas.

• Modelo de colaboración a largo plazo: Trabajamos junto con sus equipos internos como una extensión de sus capacidades de seguridad, no como un auditor de una sola vez.

Conclusión: La incómoda lección del lago Risevatnet

El ataque de abril de 2025 contra la represa hidroeléctrica del lago Risevatnet se estudiará en los programas de ciberseguridad industrial durante años, no por su complejidad técnica, sino por su simplicidad fundamental.

Un atacante no necesitó exploits de día cero, recursos de un estado de nación ni herramientas sofisticadas. Necesitó una pantalla accesible de forma pública, una contraseña predecible y la voluntad de actuar. El lago subió cuatro metros. Las comunidades río abajo se enfrentaron a un riesgo real. Y la postura de seguridad de la infraestructura de una nación quedó expuesta en el escenario global.

Para los líderes de seguridad de OT, CISOs, gerentes de planta e ingenieros industriales que leen esto: la lección no es que su entorno se enfrente exactamente al mismo escenario. La lección es que la misma clase de vulnerabilidad (activos expuestos, credenciales débiles, falta de monitoreo, segmentación inadecuada) casi con seguridad existe en su entorno en este momento. La pregunta no es si un atacante la buscará. La pregunta es si usted la encontrará primero.

Shieldworkz existe para ayudarle a hacer exactamente eso: de manera sistemática, exhaustiva y sin interrumpir las operaciones de las que dependen su organización y sus comunidades.

¿Está realmente seguro su entorno de OT?

El ataque al lago Risevatnet expuso una verdad incómoda: las amenazas sofisticadas no siempre son necesarias cuando no hay una seguridad fundamental instalada. Una contraseña débil y una pantalla expuesta fueron suficientes para poner en riesgo una represa, una comunidad y la reputación de la infraestructura de todo un país.

Shieldworkz ayuda a las organizaciones industriales a solucionar las deficiencias de seguridad antes de que un atacante las encuentre. Nuestros especialistas en seguridad de OT/ICS aportan experiencia probada en el campo en los sectores de energía, servicios públicos, manufactura e infraestructura crítica.

RESERVE SU CONSULTA GRATUITA CON LOS EXPERTOS DE SHIELDWORKZ 

Sin compromisos. Confidencial. Adaptado a su entorno industrial.

Recursos adicionales:

Análisis profundo sobre el ciberataque a Stryker y el punto ciego del que pocos están hablando aquí.

Por qué el ciberataque al Centro de Investigación Nuclear de Polonia podría ser una operación de bandera falsa aquí.

El ataque que falló: Lecciones del incidente de OT casi catastrófico en Suecia aquí.