A medida que los defensores de la infraestructura crítica aceleran la adopción de inteligencia artificial, aprendizaje automático y Centros de Operaciones de Seguridad (SOC) automatizados para hacer frente a amenazas digitales nuevas y sofisticadas, se está expandiendo una vulnerabilidad asimétrica en la capa más fundamental de los entornos operativos; es decir, la infraestructura física.

Una reciente y altamente coordinada intrusión en la red de alcantarillado subterráneo de la ciudad de Nueva York resalta una realidad persistente que ha llegado a caracterizar la guerra híbrida moderna. Mientras el perímetro digital se encuentra cada vez más fortalecido por defensas algorítmicas, los conductos físicos que albergan el núcleo literal de nuestra existencia civil y digital (incluidos los enlaces troncales de fibra óptica, el enrutamiento de energía, la señalización de control y los sistemas de gestión de agua) permanecen peligrosamente expuestos.

El artículo de hoy examina cómo los adversarios sofisticados, incluidos los grupos de Amenaza Persistente Avanzada (APT) respaldados por estados y los hacktivistas, aprovechan las intrusiones físicas de baja tecnología para sortear las defensas cibernéticas de alta tecnología. Al analizar el valor estratégico de los sistemas subterráneos, la convergencia de las superficies de ataque físicas y digitales y las metodologías de reconocimiento subterráneo, este artículo ofrece a los líderes de Tecnología de Operación (OT), a los Directores de Seguridad de la Información (CISO) y a las partes interesadas en la seguridad nacional un marco integral para defenderse contra campañas convergentes y multidominio.

Antes de continuar, no olvide consultar nuestra publicación de blog anterior sobre las 5 mejores estrategias de protección de medios extraíbles para infraestructura crítica aquí.

También puede descargar nuestro último informe Global OT Cyber Threat Intelligence Advisory H1 2026 aquí. Este informe, lanzado hace dos días, le brinda un contexto y datos más detallados sobre el análisis que se presenta a continuación.  

Análisis del incidente: La brecha subterránea

La intrusión nocturna y no autorizada en el sistema de alcantarillado de la ciudad de Nueva York por parte de actores desconocidos representa mucho más que una simple transgresión civil o una actividad criminal localizada. Para un estratega experimentado en seguridad de OT, las características de estas intrusiones indican un reconocimiento táctico.

Entendiendo el valor estratégico de la topología subterránea

Las redes de servicios públicos subterráneas son, esencialmente, el tejido conectivo literal de los centros metropolitanos y complejos industriales. Los atacantes apuntan a estos entornos porque ofrecen tres ventajas estratégicas distintas:

• Ocultamiento y cobertura: Los sistemas subterráneos permiten a los adversarios moverse por debajo de áreas urbanas fuertemente monitoreadas sin ser detectados por la vigilancia a nivel de superficie, las fuerzas del orden público o los perímetros estándar de seguridad física corporativa.

• Coinstalación de activos críticos: La ingeniería civil moderna utiliza los derechos de vía de los servicios públicos de manera eficiente. Una sola red de alcantarillado municipal o túnel de tránsito suele albergar de manera conjunta líneas de transmisión eléctrica de alto voltaje, controles de agua municipales y haces de fibra óptica de alta densidad que dan servicio a distritos financieros o centros de telecomunicaciones.

• Asimetría de la información: Los mapas completos y precisos de estos sistemas heredados rara vez están centralizados o digitalizados con controles de seguridad modernos, lo que genera un entorno donde un explorador físico local puede obtener una asimetría de información sobre el equipo de seguridad centralizado de una organización.

Extrapolación analítica de los motivos del atacante

Aunque las fuerzas del orden locales puedan tratar tales brechas como actos delictivos aislados o exploración urbana, una evaluación de riesgos de alto impacto apunta a varios vectores sofisticados:

• Reconocimiento y mapeo de dependencias: La fase principal de cualquier campaña estatal es el mapeo estructural. Al ingresar al sistema por la noche, los actores pueden rastrear los conductos físicos hasta sus puntos de entrada en bóvedas bancarias críticas, edificios gubernamentales o subestaciones eléctricas, mapeando interdependencias que no se pueden descubrir mediante el escaneo digital remoto.

• Preparación del campo de batalla: Practicado históricamente por las fuerzas Spetsnaz de la era soviética y modernizado por la doctrina híbrida contemporánea, esto implica identificar ubicaciones óptimas para el sabotaje cinético o la colocación de contramedidas de vigilancia técnica a largo plazo. Todas estas medidas pueden activarse durante momentos de interacciones geopolíticas adversas entre los estados.

• Prueba de latencia de seguridad: Los intrusos activan deliberadamente alarmas ambientales de bajo nivel o escotillas de acceso para medir los tiempos de respuesta, las tácticas y los protocolos de comunicación de las autoridades municipales y los propietarios de activos corporativos.

• Factores impulsados por estados frente a extremistas: Mientras que un actor respaldado por un estado busca la persistencia a largo plazo y el acceso preciso para obtener una ventaja estratégica, los actores extremistas o asimétricos ven estos vectores como vías de un solo uso para lograr una interrupción civil de gran trascendencia, como inundar un centro financiero o cortar las comunicaciones regionales.

La superficie de ataque que todos olvidaron

Las organizaciones invierten habitualmente millones en detección de anomalías de red impulsada por IA, detección y respuesta de endpoints (EDR) de próxima generación e infraestructura de SOC gestionada en la nube. Sin embargo, este escudo digital a menudo se ve socavado por un flanco físico vulnerable y sin defensa.

La gravedad se inclina hacia el eslabón más débil

El principio de que el agua encuentra el camino de menor resistencia se aplica bien a las operaciones ofensivas. Cuando una empresa robustece su perímetro de red externo hasta el punto en que la explotación remota requiere cadenas de exploits de día cero que cuestan millones de dólares, el cálculo económico y táctico cambia. Resulta significativamente más barato, seguro y rápido para un adversario desplegar a un operativo físico disfrazado de contratista de servicios públicos para abrir una alcantarilla no asegurada, rastrear un conducto y obtener proximidad física directa a la infraestructura objetivo.

La convergencia de operaciones físicas y cibernéticas

El panorama de amenazas contemporáneo ya no reconoce una bifurcación clara entre la seguridad física y la ciberseguridad. Las campañas híbridas modernas utilizan el acceso físico como el facilitador definitivo para el compromiso cibernético.

Implantes de hardware no autorizados

Una vez dentro de una bóveda subterránea o túnel de servicios públicos, un atacante motivado puede identificar los conductos de red que alimentan un entorno de OT o un sistema de control industrial (ICS). Al realizar un empalme en una línea o aprovechar un switch de campo no monitoreado, pueden instalar implantes de hardware de bajo costo y baja potencia (como computadoras de placa única con conexión celular o puentes de radiofrecuencia no autorizados). Estos dispositivos eluden por completo los firewalls, los sistemas de detección de intrusiones y los aislamientos de red (air-gaps), estableciendo una vía de acceso remoto permanente y fuera de banda directamente hacia la red interna de confianza.

Intercepción y derivación de fibra óptica

Es un error conceptual peligroso creer que las comunicaciones por fibra óptica son inherentemente seguras contra las escuchas. Al acceder a las bandejas de cables subterráneas, los actores pueden emplear acopladores de macrocurvatura no destructivos. Al curvar ligeramente la fibra de vidrio, una fracción de la señal de luz se escapa a través del revestimiento. Esta luz que se escapa es capturada por un receptor fotosensible, lo que permite al adversario clonar e interceptar el tráfico de red original sin interrumpir el enlace físico ni activar alarmas de pérdida de portadora.

Integración de la cadena de suministro y personal interno

Los puntos de acceso subterráneos suelen ser mantenidos por contratistas municipales externos, equipos de buceo o trabajadores de saneamiento cuyos estándares de verificación de antecedentes palidecen en comparación con los del personal de TI interno o de seguridad nuclear. Los adversarios explotan esta vulnerabilidad al reclutar personal interno o al comprometer la cadena de suministro de los proveedores de mantenimiento, obteniendo acceso a llaves, horarios de acceso y planos estructurales.

Lecciones para los defensores de OT e infraestructuras críticas

El comportamiento de los intrusos físicos en la red de alcantarillado de NYC refleja exactamente el ciclo de vida de una Amenaza Persistente Avanzada (APT) que opera en el dominio digital.

Paralelo de comportamiento: El ciclo de vida de la APT ciberfísica

• Paciencia y firmas de baja importancia: Del mismo modo que una APT digital se mueve lentamente, utilizando herramientas administrativas nativas ("living off the land") para evitar activar alertas de comportamiento, el intruso subterráneo se mueve durante los períodos de mayor ruido urbano o en turnos nocturnos, utilizando vestimenta de mantenimiento estándar para mezclarse perfectamente con el entorno urbano.

• Establecimiento de puntos de apoyo: En ambos dominios, la brecha inicial rara vez es el objetivo final. El ingreso principal se utiliza para colocar un punto de apoyo (ya sea una shell web en un servidor DMZ o una cerradura vulnerada en una unión de drenaje subterráneo) para garantizar un acceso confiable para futuras operaciones.

• El punto ciego del defensor: Los equipos de seguridad siguen estando fundamentalmente preocupados por los indicadores de compromiso (IoC) de alta visibilidad, como cargas útiles de malware activo, firmas de ransomware o picos repentinos en el tráfico de red de salida. En consecuencia, pasan por alto las actividades de preparación previas al ataque de baja frecuencia: la exploración física de un punto de acceso, el sondeo de una puerta externa o el mapeo de referencia de las dependencias periféricas de una instalación industrial.

Implicaciones para estados nacionales y la guerra híbrida

La integración del reconocimiento de la infraestructura física en marcos militares y de inteligencia más amplios es una competencia central documentada de varios actores estatales.

China (Volt Typhoon)

Las agencias de inteligencia occidentales han alertado repetidamente sobre campañas respaldadas por estados, como Volt Typhoon, cuyo objetivo principal no es el espionaje o el robo de propiedad intelectual, sino el preposicionamiento a largo plazo dentro de la infraestructura crítica. El perfil operativo de estos grupos coincide con la utilidad estratégica del acceso físico subterráneo: establecer una persistencia profunda y silenciosa dentro de los sistemas de agua, energía y transporte para ejecutar acciones cinéticas o ciber-cinéticas altamente disruptivas durante una crisis geopolítica o un conflicto armado.

Rusia (Sandworm y reconocimiento marítimo/subterráneo)

La inteligencia militar rusa (el GRU), a través de unidades especializadas como Sandworm, cuenta con experiencia pionera en la ejecución de ataques ciberfísicos exitosos contra redes eléctricas. Paralelamente, activos navales y de inteligencia rusos especializados han mapeado rutinariamente cables de comunicación submarinos y subterráneos. Esta doble capacidad les permite ejecutar operaciones de zona gris (actos altamente disruptivos que quedan justo por debajo del umbral de la guerra abierta) combinando una interrupción física localizada con un ataque coordinado digital de denegación de servicio o de destrucción de datos.

Objetivos estratégicos: Disuasión y coerción

Al mapear y demostrar la vulnerabilidad de los activos de infraestructura ocultos en áreas metropolitanas importantes como Nueva York, los estados nacionales logran un nivel de disuasión estructural. El mensaje implícito es claro: el adversario posee la capacidad de paralizar los motores económicos de la nación objetivo desde adentro hacia afuera, aprovechando los puntos de acceso físicos para amplificar el impacto psicológico y funcional de una escalada.

Las dimensiones poco valoradas de la defensa subterránea

Defender lo que no se puede ver es uno de los desafíos más significativos en la seguridad de la infraestructura moderna. El espacio bajo tierra opera bajo un conjunto único de leyes físicas y realidades estructurales que favorecen al atacante.

El déficit de visibilidad subterránea

Las herramientas de seguridad estándar están optimizadas para la atmósfera o la nube digital. Las frecuencias de radio se degradan rápidamente a través del concreto espeso, el suelo húmedo y la mampostería subterránea, lo que inutiliza las cámaras de seguridad inalámbricas estándar, el rastreo GPS y los sensores de seguridad física basados en telefonía celular sin una infraestructura de repetición especializada e industrializada. En consecuencia, una vez que un intruso desciende del nivel de la calle, entra en un punto ciego total de seguridad donde el defensor tiene cero conciencia situacional en tiempo real.

Mapeo de ataques del terreno al plano digital

Existe una correlación directa entre la topología física de un paisaje urbano y la topología lógica digital de una red industrial. El cruce de un río, un túnel de metro subterráneo o una zanja de servicios públicos dictan exactamente dónde deben agruparse los cables de fibra óptica para pasar a través de un cuello de botella geográfico.

La vulnerabilidad crítica: Un único punto de interceptación física en un cuello de botella subterráneo puede otorgar a un adversario acceso simultáneo a enlaces de red redundantes que están lógicamente separados en un diagrama de red pero físicamente adyacentes en una sola zanja de concreto.

El valor de inteligencia de los planos de servicios públicos

Para una agencia de inteligencia, un solo plano de ingeniería civil heredado que detalle el enrutamiento del alcantarillado, las tuberías de agua y los conductos eléctricos vale más que una docena de vulnerabilidades de software. Estos documentos revelan las ubicaciones precisas de las vulnerabilidades estructurales donde un ataque combinado puede causar una falla en cascada. Por ejemplo, la rotura de una tubería de agua directamente sobre una bóveda de telecomunicaciones subterránea puede aprovechar la gravedad para deshabilitar infraestructura digital crítica sin necesidad de desplegar una sola línea de código malicioso.

Estrategia y marco de defensa

Para mitigar los riesgos expuestos por las amenazas físico-cibernéticas convergentes, los operadores de infraestructura crítica deben alejarse de los paradigmas de seguridad aislados. El siguiente marco proporciona un modelo para la defensa convergente:

Gobernanza y propiedad del riesgo

• Propiedad de riesgo unificada: Abolir la división operativa entre el Director de Seguridad (CSO), responsable de las puertas físicas y los guardias, y el CISO, responsable de los firewalls y el software. Establecer una Oficina de seguridad convergente dedicada que asuma la propiedad del perfil de riesgo del límite físico-cyber sin ambigüedades.

• Responsabilidades multidisciplinarias: Requerir que el personal de seguridad física reciba capacitación básica de concientización en OT, y exigir que los ingenieros de redes de OT realicen recorridos físicos de rutina por las rutas que transportan sus medios de red.

Controles mejorados de seguridad física

• Robustecimiento del acceso subterráneo: Realizar la transición de todas las escotillas de acceso a servicios públicos, alcantarillas y puertos de inspección dentro de las instalaciones críticas o adyacentes a ellas hacia mecanismos de cierre electrónico de alta seguridad y monitoreados que requieran autenticación multifactor (por ejemplo, una llave física combinada con un código de autorización móvil de un solo uso).

• Infraestructura de detección de manipulación: Desplegar sistemas de interferometría de fibra óptica pasiva a lo largo de los tramos de conductos críticos. Estos sistemas detectan las vibraciones acústicas diminutas o los cambios estructurales causados por alguien que abre una bandeja de cables, camina cerca de un conducto o intenta doblar un cable de fibra, proporcionando monitoreo perimetral en tiempo real bajo tierra.

• Arquitectura de conductos sellados: Encapsular el cableado crítico de OT y de comunicaciones dentro de conductos presurizados o llenos de epoxi equipados con sensores de caída de presión para alertar instantáneamente al SOC si un tubo es cortado, perforado o comprometido estructuralmente.

Mejoras en la seguridad de la Tecnología de Operación (OT)

• Segmentación de red de confianza cero: Implementar una segmentación de red estricta (por ejemplo, arquitectura ISA/IEC 62443) asumiendo que la capa física será vulnerada. Todos los datos que fluyan desde dispositivos de campo ubicados en bóvedas remotas o subterráneas deben cifrarse en tránsito utilizando IPSec o MACsec.

• Inventario continuo de activos y huellas de dispositivos: Desplegar soluciones de monitoreo de red que establezcan continuamente una línea base de las firmas de hardware de la red. Si un atacante conecta un implante de hardware no autorizado a un switch subterráneo, el sistema debe identificar de inmediato la dirección MAC no autorizada, el perfil del dispositivo o la discrepancia criptográfica e aislar el puerto.

• Raíz de confianza de hardware: Utilizar dispositivos de campo y RTU (Unidades de Terminal Remota) que fuercen configuraciones de inicio seguro e identidades criptográficas de dispositivos, garantizando que el acceso físico a un dispositivo no permita a un atacante cargar firmware modificado sin las claves criptográficas válidas.

Monitoreo integrado y respuesta ante incidentes

• El SOC convergente: Integrar los registros de seguridad física (alertas de apertura de escotillas, picos de temperatura en bóvedas, detecciones acústicas de manipulación) directamente en el sistema centralizado de Gestión de Información y Eventos de Seguridad (SIEM) del SOC cibernético. Entrenar a los motores de análisis para correlacionar una alarma de seguridad física con una anomalía de red concurrente o una pérdida temporal de señal.

• Manuales de estrategia ante ataques híbridos: Desarrollar y probar manuales de respuesta ante incidentes que contemplen un ataque en ambos dominios de manera simultánea. Por ejemplo, si un enlace crítico de red de OT queda fuera de línea inesperadamente, el manual debe exigir una inspección física inmediata de los conductos de enrutamiento junto con el diagnóstico digital estándar.

• Ejercicios multidisciplinarios: Realizar ejercicios de simulación en vivo de tipo "red-team" donde intrusos físicos intenten comprometer una red de OT dirigiéndose a puntos de acceso a servicios públicos remotos, forzando la coordinación entre la seguridad corporativa, la ingeniería, las instalaciones y los servicios de emergencia locales.

Métricas e indicadores clave de rendimiento (KPIs)

Para garantizar la eficacia de esta estrategia defensiva convergente, los operadores de infraestructura crítica deben realizar un seguimiento de métricas cuantificables a través de cuatro categorías principales:

KPIs de seguridad física

• Tasa de detección de acceso no autorizado ($R_{UAD}$):

Meta: >98% para todos los activos críticos y subterráneos.

• Tiempo de detección de intrusión física ($T_{DPI}$): El tiempo transcurrido entre la brecha física de una escotilla, bóveda o conducto y la generación de una alerta procesable en el SOC. Meta: <60 segundos.

• Cobertura de inspección de activos físicos: El porcentaje de millas de conductos subterráneos y bóvedas remotas inspeccionadas física o electrónicamente en busca de integridad estructural e implantes no autorizados dentro de un período continuo de 90 días. Meta: 100%.

KPIs de seguridad de OT

• Porcentaje de visibilidad de activos de OT: La proporción de dispositivos activos en el entorno de OT que están completamente perfilados y rastreados por herramientas automatizadas de gestión de activos. Meta: 100%.

• Tiempo promedio de detección (MTTD) de activos no gestionados: El tiempo que se tarda en detectar y emitir una alerta sobre un dispositivo de hardware no autorizado conectado a cualquier puerto de red. Meta: <5 minutos.

• Cobertura de cifrado de red: El porcentaje de enlaces de red entre sitios y subterráneos que utilizan encapsulación criptográfica activa (por ejemplo, MACsec). Meta: 100%.

KPIs de seguridad híbrida

• Tasa de correlación de incidentes físico-cibernéticos: El porcentaje de alertas de seguridad física que la plataforma SIEM/SOAR contrasta automáticamente con los registros de la red digital. Meta: >90%.

• Frecuencia de ejercicios conjuntos multidominio: El número de simulaciones de respuesta a incidentes a gran escala que se realizan anualmente e involucran a los equipos de seguridad física, ciberseguridad industrial/IT e instalaciones operativas. Meta: Mínimo de 4 al año.

KPIs ejecutivos y de resiliencia

• Puntuación de reducción de riesgos de activos críticos: Un índice compuesto que mide la eliminación de puntos únicos de falla tanto en las rutas físicas como en las rutas lógicas de la red.

• Objetivo de tiempo de recuperación (RTO) para fallas convergentes: El período de tiempo objetivo requerido para restaurar la capacidad operativa completa después de un evento coordinado de destrucción física y borrado digital. Meta: Dependiente del entorno, típicamente <4 horas para funciones críticas de seguridad.

La seguridad de la infraestructura crítica moderna no puede depender únicamente de las defensas digitales. Como lo demuestra la intrusión en la red subterránea de la ciudad de Nueva York, un adversario de élite no necesita descifrar una clave criptográfica de 256 bits ni descubrir un exploit de día cero para comprometer un activo. Simplemente puede caminar bajo nuestros pies, abrir una escotilla no monitoreada y conectarse directamente al corazón físico de nuestra infraestructura.

In una era gobernada cada vez más por la inteligencia artificial y la defensa de red automatizada, el mundo físico sigue siendo el árbitro definitivo de la resiliencia operativa. Los defensores deben mirar hacia abajo con la misma frecuencia con la que miran hacia arriba, reconociendo que si las vías físicas que conectan nuestras sociedades permanecen expuestas, el SOC más avanzado del mundo será simplemente un espectador costoso de su propia destrucción. La continuidad operativa exige un enfoque de defensa unificado y de confianza cero; uno que resguarde el concreto y el cobre con la misma vigilancia que el código.

Recursos técnicos recomendados

Plan de respuesta a incidentes para OT/ICS: Una plantilla práctica para construir resiliencia

Enlace: Shieldworkz OT/ICS Incident Response Playbook

Plantilla de respuesta a incidentes para eventos de seguridad en instalaciones

Enlace: Shieldworkz Facility Incident Response Template

Lista de verificación de cumplimiento e implementación de NIST SP 800-61 para entornos de OT/ICS

Enlace: Shieldworkz NIST SP 800-61 OT/ICS Checklist

Lista de verificación de validación e implementación de zonificación basada en IEC 62443

Enlace: Shieldworkz IEC 62443 Zoning Checklist

Lista de verificación integral para la evaluación de riesgos de OT

Enlace: Shieldworkz Comprehensive OT Risk Assessment Checklist

Guía de inventario de activos de OT y gestión de dispositivos para una seguridad mejorada

Enlace: Shieldworkz OT Asset Inventory Guide

Lista de verificación de seguridad operativa de ciberseguridad para OT / ICS

Enlace: Shieldworkz Operational Security Checklist