{"id":1830,"date":"2026-03-06T06:00:00","date_gmt":"2026-03-06T12:00:00","guid":{"rendered":"https:\/\/hacking.onesec.mx\/?p=1830"},"modified":"2026-03-05T23:00:41","modified_gmt":"2026-03-06T05:00:41","slug":"las-causas-raiz-de-vulnerabilidades-en-ot-explicadas","status":"publish","type":"post","link":"https:\/\/hacking.onesec.mx\/index.php\/2026\/03\/las-causas-raiz-de-vulnerabilidades-en-ot-explicadas\/","title":{"rendered":"Las causas ra\u00edz de vulnerabilidades en OT explicadas"},"content":{"rendered":"\n

Introducci\u00f3n<\/h3>\n\n\n\n

Ubiqu\u00e9monos hace 30 a\u00f1os, digamos 1995, en ese entonces un equipo de ingenieros estaba encargado de crear un sistema de control para una planta petroqu\u00edmica. La arquitectura dise\u00f1ada era impecable para su \u00e9poca, controladores industriales conectados mediante cables especiales del fabricante, computadoras que nunca tocaban internet, acceso f\u00edsico controlado por guardias y tarjetas magn\u00e9ticas, y cero conexi\u00f3n con las oficinas corporativas. El sistema era, en su contexto, virtualmente impenetrable, no por tener controles de ciberseguridad sofisticados, simplemente no los necesitaba. La seguridad resid\u00eda en el aislamiento.<\/strong><\/p>\n\n\n\n

Treinta a\u00f1os despu\u00e9s, esa misma planta sigue operando con gran parte de esa infraestructura original. Pero el mundo cambi\u00f3 radicalmente. Ahora los ejecutivos requieren dashboards en tiempo real desde sus oficinas corporativas. Los proveedores necesitan acceso remoto para diagnosticar incidencias. La integraci\u00f3n con sistemas ERP (Sistema de Planificaci\u00f3n de Recursos Empresariales) es esencial para optimizar la cadena de suministro. Lo que no cambi\u00f3 fue la arquitectura de seguridad del sistema, que sigue asumiendo un mundo aislado que dej\u00f3 de existir hace dos d\u00e9cadas.<\/strong><\/p>\n\n\n\n

\"Planta<\/figure>\n\n\n\n

En nuestro art\u00edculo anterior, “9 tipos de vulnerabilidades que deber\u00edas conocer si te dedicas a seguridad en OT<\/strong><\/a>“, identificamos las manifestaciones visibles de inseguridad en entornos industriales, desde c\u00f3digo deficiente hasta configuraciones inseguras. Pero identificar s\u00edntomas no es lo mismo que diagnosticar la enfermedad. Las vulnerabilidades no necesariamente aparecieron por negligencia o incompetencia. Son consecuencias sistem\u00e1ticas de causas ra\u00edz profundas<\/strong>.<\/p>\n\n\n\n

As\u00ed como un \u00e1rbol, las vulnerabilidades visibles en la superficie tienen ra\u00edces profundas que las alimentan. La Cybersecurity and Infrastructure Security Agency (CISA)<\/strong> identifica cinco causas ra\u00edz fundamentales que explican por qu\u00e9 sistemas dise\u00f1ados brillantemente para su \u00e9poca se han convertido en blancos vulnerables en la nuestra. Estas causas son consecuencias de un cambio radical en el entorno operacional para el cual estos sistemas nunca fueron dise\u00f1ados.<\/p>\n\n\n\n

\"Diagrama<\/figure>\n\n\n\n

Las cinco causas ra\u00edz que exploraremos son:<\/p>\n\n\n\n

Causa Ra\u00edz<\/th>Descripci\u00f3n<\/th><\/tr><\/thead>
Sistemas de Control Legacy<\/td>Dise\u00f1ados para ciclos de vida de 15-30 a\u00f1os en entornos que ya no existen<\/td><\/tr>
Migraci\u00f3n a COTS (Commercial Off-The-Shelf)<\/td>Heredando vulnerabilidades del mundo IT al adoptar sistemas comerciales est\u00e1ndar<\/td><\/tr>
Programaci\u00f3n de Dispositivos<\/td>Funcionalidad embebida sin controles de seguridad<\/td><\/tr>
Conectividad y Arquitectura de Red<\/td>Del aislamiento f\u00edsico a la hiperconexi\u00f3n sin controles adecuados<\/td><\/tr>
Cultura de Ciberseguridad<\/td>Eslab\u00f3n organizacional dif\u00edcil de cambiar<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Cada causa ra\u00edz no funciona sola. Se alimentan entre s\u00ed, creando un c\u00edrculo vicioso donde las vulnerabilidades son pr\u00e1cticamente inevitables sin un esfuerzo consciente y estructurado para detenerlas.<\/p>\n\n\n\n

Sistemas de Control Legacy<\/h3>\n\n\n\n

El Problema del Ciclo de Vida Extendido<\/strong><\/h5>\n\n\n\n

Los sistemas de control industrial con frecuencia se utilizan entre 15 y 30 a\u00f1os en operaci\u00f3n, algunos superan f\u00e1cilmente las tres d\u00e9cadas. Reemplazar una central el\u00e9ctrica o una refiner\u00eda cuesta millones de d\u00f3lares y puede interrumpir operaciones cr\u00edticas, por eso que duren tanto tiempo siempre fue considerado una ventaja. El problema es que un sistema instalado en el a\u00f1o 2000 se dise\u00f1\u00f3 cuando el t\u00e9rmino “ciberseguridad<\/strong>” apenas empezaba a mencionarse, cuando conectarse remotamente a una planta industrial era algo excepcional, cuando Stuxnet<\/strong> todav\u00eda no exist\u00eda (m\u00e1s sobre Stuxnet en el art\u00edculo de Ciberataques y Cat\u00e1strofes<\/a>). Ese mismo sistema opera hoy pr\u00e1cticamente sin cambios importantes en su seguridad, en un mundo donde los ataques cibern\u00e9ticos son comunes, las herramientas para atacar est\u00e1n disponibles gratuitamente en internet, y cualquier cosa conectada es un blanco potencial. CISA documenta c\u00f3mo las caracter\u00edsticas de dise\u00f1o originales de estos sistemas antiguos, que ten\u00edan perfecta l\u00f3gica cuando todo estaba aislado, se han convertido en vulnerabilidades cr\u00edticas ahora que todo est\u00e1 conectado.<\/p>\n\n\n\n

Caracter\u00edstica del Sistema<\/th>Por Qu\u00e9 Ten\u00eda Sentido Antes<\/th>Qu\u00e9 Significa Hoy<\/th><\/tr><\/thead>
Comunicaciones sin cifrar<\/td>Transmitir datos tan pronto como se generan<\/td>Un atacante puede leer toda la informaci\u00f3n y mapear la infraestructura completa<\/td><\/tr>
Todos los usuarios con permisos totales<\/td>Los operadores solo acced\u00edan f\u00edsicamente despu\u00e9s de pasar filtros de seguridad, no se requer\u00edan m\u00e1s controles<\/td>Si un atacante logra entrar, puede controlar cualquier dispositivo sin necesitar permisos adicionales<\/td><\/tr>
No se verifica qu\u00e9 aplicaciones se instalan<\/td>Solo personal de confianza f\u00edsicamente presente instalaba software<\/td>Es m\u00e1s f\u00e1cil instalar malware sin que el sistema lo detecte o bloquee<\/td><\/tr>
No se verifica si los datos mostrados son reales<\/td>Las comunicaciones estaban en red cerrada sin acceso externo<\/td>Se puede enga\u00f1ar a los operadores mostrando informaci\u00f3n falsa en sus pantallas<\/td><\/tr>
El sistema nunca se detiene<\/td>Las operaciones cr\u00edticas no pueden parar ni siquiera para mantenimiento<\/td>Para garantizar que nunca se detenga se sacrific\u00f3 seguridad en el dise\u00f1o del c\u00f3digo<\/td><\/tr>
Conexi\u00f3n directa con oficinas corporativas<\/td>Necesidad de reportes y an\u00e1lisis en tiempo real para toma de decisiones<\/td>Cada conexi\u00f3n crea una puerta de entrada potencial para ataques desde la red corporativa<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Cada caracter\u00edstica de la tabla anterior empez\u00f3 como una decisi\u00f3n de ingenier\u00eda l\u00f3gica optimizada para que el sistema funcionara bien, fuera f\u00e1cil de usar y estuviera siempre disponible.<\/p>\n\n\n\n

Comunicaciones sin cifrar<\/strong>
Los protocolos fueron dise\u00f1ados para ambientes completamente aislados donde lo m\u00e1s importante era que el sistema nunca se detuviera. Las comunicaciones sin cifrar facilitan conectar equipos de diferentes fabricantes y hacen m\u00e1s f\u00e1cil diagnosticar problemas, un ingeniero puede ver exactamente qu\u00e9 est\u00e1 pasando en la red sin complicaciones.<\/p>\n\n\n\n

Hoy, un atacante con acceso a la red puede analizar todo el tr\u00e1fico en tiempo real. Como estos sistemas conf\u00edan entre s\u00ed, un atacante que captura una contrase\u00f1a sin cifrar puede hacerse pasar por equipos leg\u00edtimos, inyectar informaci\u00f3n falsa, o interceptar comunicaciones.<\/p>\n\n\n\n

Contrase\u00f1as predeterminadas y codificadas<\/strong> (Hardcoded)<\/strong>
Como estos sistemas est\u00e1n siempre encendidos, la mayor\u00eda de las empresas usan una contrase\u00f1a f\u00e1cil de recordar que todos los operadores comparten, onunca cambian las contrase\u00f1as que vienen de f\u00e1brica<\/strong>. Los operadores deben acceder r\u00e1pidamente en caso de emergencia.<\/p>\n\n\n\n

Algunos fabricantes dise\u00f1aron contrase\u00f1as permanentemente programadas en el c\u00f3digo que no se pueden cambiar. Descubrir estas contrase\u00f1as es f\u00e1cil, se transmiten sin cifrar por la red, est\u00e1n en los manuales que se descargan de internet, o est\u00e1n documentadas en foros t\u00e9cnicos. Existe malware dise\u00f1ado espec\u00edficamente para explotarlas.<\/p>\n\n\n\n

Todos los usuarios con permisos totales<\/strong>
Estos sistemas fueron programados para que todo se ejecutara con permisos ilimitados. En ambientes aislados donde todos eran empleados autorizados f\u00edsicamente presentes, esto no representaba un riesgo. Hoy, si un atacante entra, tiene control total para manipular y da\u00f1ar todo el sistema.<\/p>\n\n\n\n

Sin verificar qu\u00e9 aplicaciones se instalan<\/strong>
Como estos sistemas tienen muy poco tiempo de inactividad, el personal local de confianza deb\u00eda poder instalar software sin demora. Las \u00fanicas personas que pod\u00edan instalar aplicaciones eran ingenieros autorizados f\u00edsicamente presentes.<\/p>\n\n\n\n

A medida que los sistemas se volvieron m\u00e1s complejos, se integran aplicaciones de terceros que no siempre son confiables. El grupo de malware Havex <\/strong>reemplaz\u00f3 archivos de instalaci\u00f3n de software leg\u00edtimo con versiones infectadas, instalando secretamente programas esp\u00eda en sistemas industriales usados desde subestaciones el\u00e9ctricas hasta plantas nucleares.<\/p>\n\n\n\n

Sin verificar si los datos mostrados son reales<\/strong>
Las verificaciones de integridad aseguran que la informaci\u00f3n que un operador ve en su pantalla es correcta y no ha sido modificada. Cuando los sistemas estaban aislados, hab\u00eda poca duda de que las lecturas eran precisas. Ahora que los sistemas est\u00e1n interconectados, si una pantalla de operador es comprometida, podr\u00eda mostrar que una v\u00e1lvula cr\u00edtica est\u00e1 cerrada cuando en realidad est\u00e1 abierta<\/strong>, causando un incidente catastr\u00f3fico. Esto fue lo que atacantes lograron en Stuxnet y en los ataques a la red el\u00e9ctrica de Ucrania, los operadores ve\u00edan lecturas normales mientras el sistema estaba siendo saboteado.<\/p>\n\n\n\n

\"En<\/figure>\n\n\n\n

El sistema nunca se detiene<\/strong>
Dise\u00f1ar un sistema para que nunca se detenga es diferente a dise\u00f1ar uno seguro. Si el sistema no verifica que los datos de entrada sean normales, puede ser atacado mediante denegaci\u00f3n de servicio o inyecci\u00f3n de datos. El c\u00f3digo de ataque disponible p\u00fablicamente aumenta el n\u00famero de atacantes potenciales.<\/p>\n\n\n\n

Conexi\u00f3n directa con oficinas corporativas<\/strong>
Las empresas necesitan informaci\u00f3n en tiempo real para tomar decisiones. Conectar sistemas industriales con oficinas ha mejorado la productividad, pero cada canal de datos crea una vulnerabilidad potencial.<\/p>\n\n\n\n

El ataque a Colonial Pipeline<\/strong> en 2021 es claro, el ransomware entr\u00f3 por credenciales VPN comprometidas que conectaban oficinas con la red de control.<\/p>\n\n\n\n

Migraci\u00f3n a COTS (Commercial Off-The-Shelf)<\/h3>\n\n\n\n
De Sistemas Propietarios a Sistemas Comerciales Est\u00e1ndar<\/h5>\n\n\n\n

A medida que los sistemas computacionales desarrollados para negocios aumentaron en poder y velocidad, la comunidad ICS comenz\u00f3 a adoptar hardware y sistemas operativos comerciales est\u00e1ndar<\/strong> conocidos como COTS (Commercial Off-The-Shelf, por sus siglas en ingl\u00e9s)<\/strong>. COTS se refiere a productos de software y hardware que est\u00e1n disponibles comercialmente, son ampliamente usados, y no son desarrollados espec\u00edficamente para un prop\u00f3sito \u00fanico.<\/p>\n\n\n\n


En el contexto de OT, esto signific\u00f3 migrar de:<\/strong><\/p>\n\n\n\n

Sistemas operativos propietarios \u2192 Windows, Linux
Hardware especializado \u2192 Servidores x86 est\u00e1ndar
Protocolos propietarios \u2192 TCP\/IP, Ethernet
Bases de datos propietarias \u2192 SQL Server, Oracle<\/p>\n\n\n\n

Esta migraci\u00f3n tambi\u00e9n introdujo vulnerabilidades del mundo IT directamente en los sistemas industriales. CISA es clara al respecto, muchas de las vulnerabilidades en sistemas industriales son similares o id\u00e9nticas a las vulnerabilidades de tecnolog\u00eda de informaci\u00f3n.<\/p>\n\n\n\n

Vulnerabilidades de plataforma heredadas<\/strong>
Cada vulnerabilidad descubierta en un sistema operativo popular afecta autom\u00e1ticamente a todos los sistemas industriales que lo usan. Esto incluye problemas en hardware, software, firmware y aplicaciones.<\/p>\n\n\n\n


Vulnerabilidades de red heredadas<\/strong>
Los protocolos desarrollados para automatizaci\u00f3n industrial fueron dise\u00f1ados para confiabilidad y facilidad de uso en entornos aislados. Muchos carec\u00edan de contramedidas de seguridad porque la protecci\u00f3n del sistema depend\u00eda de la disponibilidad y el acceso f\u00edsico controlado. Cuando estos protocolos se adaptan para redes modernas, simplemente se montan sobre las comunicaciones existentes sin mejorar su seguridad, incrementando los riesgos.<\/p>\n\n\n\n


El caso WannaCry<\/strong>
El ejemplo m\u00e1s claro fue el ransomware WannaCry<\/strong> en 2017. Explot\u00f3 una vulnerabilidad de Windows (EternalBlue)<\/strong> que afect\u00f3 sistemas corporativos y tambi\u00e9n sistemas industriales en hospitales, plantas de manufactura e infraestructura cr\u00edtica globalmente. La vulnerabilidad fue heredada del sistema operativo comercial que ejecutaban. Microsoft hab\u00eda lanzado un parche meses antes del ataque, pero muchos sistemas industriales no pudieron aplicarlo debido a restricciones operacionales.
La comunidad industrial adopt\u00f3 sistemas comerciales est\u00e1ndar para obtener la madurez y el rendimiento del mundo IT. Lo que no anticiparon completamente fue heredar tambi\u00e9n todo el perfil de amenazas, la velocidad de descubrimiento de vulnerabilidades y los desaf\u00edos de gesti\u00f3n de parches, aplicados a sistemas que no pueden ser f\u00e1cilmente actualizados o reiniciados.<\/p>\n\n\n\n

Programaci\u00f3n de Dispositivos (Funcionalidades embebidas)<\/h3>\n\n\n\n

Los fabricantes incluyen servicios adicionales en sus sistemas como servidores Web, FTP y SNMP para mejorar las operaciones. Un operador puede abrir un navegador y acceder directamente a la configuraci\u00f3n de un controlador, un t\u00e9cnico puede usar FTP para cargar nuevos programas. Muchos dispositivos traen estos servicios habilitados por defecto<\/strong> sin que los ingenieros lo sepan, creando formas para que un atacante configure remotamente estos dispositivos o modifique el firmware.<\/p>\n\n\n\n

Los dispositivos de campo fueron desplegados asumiendo que estar\u00edan en un entorno seguro, por eso usan protocolos sin autenticaci\u00f3n ni autorizaci\u00f3n. En muchas arquitecturas, cualquier equipo puede comunicarse y enviar comandos a cualquier otro dispositivo. Son vulnerables a fallos catastr\u00f3ficos debido a tormentas de datos, inundaci\u00f3n de paquetes o datos malformados que pueden resultar en p\u00e9rdida de control del proceso.<\/p>\n\n\n\n

Las redes modernas hacen posible acceder remotamente para solucionar problemas y modificar programas, pero tambi\u00e9n para atacar el sistema emitiendo comandos no autorizados o resete\u00e1ndolo. A diferencia de dispositivos IT, los activos dentro de sistemas de control fueron dise\u00f1ados asumiendo que el control de acceso ser\u00eda manejado por aislamiento f\u00edsico. Cuando estos dispositivos son expuestos a redes m\u00e1s amplias, carecen de mecanismos defensivos como autenticaci\u00f3n fuerte<\/strong>, registros de auditor\u00eda o detecci\u00f3n de comportamiento an\u00f3malo.<\/p>\n\n\n\n

Conectividad y Arquitectura de Red<\/h3>\n\n\n\n

Los ingenieros pueden conectar redes industriales y redes de negocio. A medida que los requisitos corporativos para monitoreo en tiempo real se han vuelto comunes, las arquitecturas conectan directamente ambas redes. El problema es que si la red industrial conf\u00eda en la red corporativa, y la red corporativa est\u00e1 conectada a internet, un atacante que compromete la red corporativa puede usar esa conexi\u00f3n para llegar a la red industrial.<\/p>\n\n\n\n

Medios de comunicaci\u00f3n vulnerables<\/strong>
Los sistemas industriales usan varios medios de comunicaci\u00f3n que introducen riesgos. El acceso inal\u00e1mbrico<\/strong> (WiFi, radio, microondas) es una v\u00eda significativa de ataque, muchas soluciones comerciales tienen medidas de seguridad d\u00e9biles o que han sido quebradas p\u00fablicamente. Los m\u00f3dems<\/strong> anal\u00f3gicos todav\u00eda se usan en sistemas antiguos y tienen vulnerabilidades como n\u00fameros telef\u00f3nicos de acceso p\u00fablico y controles de acceso deficientes. Las redes corporativas conectadas a internet<\/strong> crean un camino que un atacante puede usar para llegar a los sistemas industriales. Las l\u00edneas de comunicaci\u00f3n<\/strong> f\u00edsicas como fibra \u00f3ptica o l\u00edneas arrendadas pueden ser saboteadas con un simple corte.<\/p>\n\n\n\n

Cultura de Ciberseguridad<\/h3>\n\n\n\n

\u00bfQu\u00e9 es una cultura de ciberseguridad?<\/strong>
Cultura es “una forma de pensar, comportarse o trabajar que existe en un lugar u organizaci\u00f3n”. Considere las actitudes compartidas, valores, metas y pr\u00e1cticas asociadas con la ciberseguridad en su organizaci\u00f3n. \u00bfCu\u00e1les son las actitudes de sus operadores? \u00bfDe sus proveedores? \u00bfDe sus consultores? \u00bfDe sus integradores de sistemas?

Hist\u00f3ricamente, el personal responsable de sistemas industriales proven\u00eda de ingenier\u00eda u Operaciones y Mantenimiento<\/strong>. Entend\u00edan el proceso y c\u00f3mo controlarlo de manera segura y confiable. Hace quince a\u00f1os, la idea de que alguien externo intentara atacar un sistema industrial era extra\u00f1a<\/strong> para la mayor\u00eda de ingenieros. El campo de la ciberseguridad industrial <\/strong>estaba en su infancia y no era un conjunto de habilidades familiar.

A medida que las arquitecturas transicionan de sistemas cerrados propietarios a est\u00e1ndares abiertos, los ingenieros de sistemas de control necesitan desarrollar nuevas habilidades en redes, sistemas operativos y bases de datos<\/strong>.<\/p>\n\n\n\n


El choque de mundos entre ingenieros OT y profesionales IT<\/strong>
El personal con experiencia en IT frecuentemente es tra\u00eddo para soportar la transici\u00f3n, y en algunos casos, reemplaza a ingenieros de sistemas de control. Cuando esto sucede, el personal enfocado en IT puede no tener el conocimiento de procesos que pose\u00eda el personal de OT, presentando una dificultad para mantener la confiabilidad y disponibilidad.<\/p>\n\n\n\n

Esta brecha de conocimiento funciona en ambas direcciones. Los ingenieros OT son expertos en f\u00edsica de procesos, control de lazos, instrumentaci\u00f3n y confiabilidad, pero frecuentemente carecen de entrenamiento formal en ciberseguridad, arquitectura de redes modernas o gesti\u00f3n de vulnerabilidades. Los profesionales IT son h\u00e1biles en ciberseguridad, gesti\u00f3n de parches, arquitectura de redes y respuesta a incidentes pero frecuentemente carecen de comprensi\u00f3n de las restricciones operacionales de OT<\/strong>, los requisitos de disponibilidad y las consecuencias de seguridad f\u00edsica de fallos en sistemas de control. El resultado es una fricci\u00f3n organizacional profunda donde ambos grupos tienen raz\u00f3n dentro de sus marcos de referencia<\/strong>, pero luchan por encontrar terreno com\u00fan.<\/p>\n\n\n\n


\u00bfQui\u00e9n protege el sistema industrial?<\/strong>
Las organizaciones luchan con c\u00f3mo proteger mejor sus sistemas industriales mientras garantizan safety<\/em> (Prevenci\u00f3n de accidentes industriales), disponibilidad e integridad<\/strong>. \u00bfDebe el personal de soporte estar en la divisi\u00f3n industrial donde trabajan estrechamente con el personal operativo, o debe el departamento IT manejar esta responsabilidad? Cuando el departamento IT es asignado para asegurar el entorno del sistema de control, la soluci\u00f3n usualmente es desplegar tecnolog\u00edas de seguridad comerciales dise\u00f1adas para entornos corporativos tradicionales, que no abordan los requisitos del dominio de sistemas de control<\/strong>. La falta de claridad organizacional sobre qui\u00e9n es responsable lleva a responsabilidades fragmentadas, soluciones IT aplicadas sin consideraci\u00f3n de restricciones operacionales, resistencia de equipos operativos, y falta de presupuesto dedicado.<\/p>\n\n\n\n


El panorama de amenazas que cambi\u00f3<\/strong>
M\u00faltiples elementos de amenaza ahora se est\u00e1n combinando para incrementar significativamente el panorama de amenazas. Los grupos est\u00e1n usando motores de b\u00fasqueda especializados como Shodan para identificar sistemas de control expuestos a internet, aprovechando el creciente arsenal de herramientas de explotaci\u00f3n desarrolladas espec\u00edficamente para sistemas industriales.

Hace quince a\u00f1os, atacar un sistema de control requer\u00eda conocimiento especializado de protocolos propietarios, acceso f\u00edsico a las instalaciones y motivaci\u00f3n extraordinaria. Hoy, el conocimiento t\u00e9cnico necesario est\u00e1 disponible en tutoriales de YouTube, las herramientas de ataque son de c\u00f3digo abierto en GitHub, la inteligencia artificial<\/strong> puede ayudar a entender y dise\u00f1ar ataques, y el acceso se obtiene v\u00eda VPN comprometida, phishing o sistemas directamente expuestos a internet.<\/p>\n\n\n\n


C\u00f3mo se relacionan las causas ra\u00edz con las vulnerabilidades<\/strong>
Las cinco causas ra\u00edz no operan de manera aislada. Se alimentan mutuamente y generan las nueve vulnerabilidades que analizamos en el art\u00edculo anterior. Comprender esta interrelaci\u00f3n es esencial para dise\u00f1ar soluciones efectivas.<\/p>\n\n\n\n

Matriz de Interrelaciones<\/strong><\/h3>\n\n\n\n
Vulnerabilidad<\/th>Causas Ra\u00edz Contribuyentes (1\u00b0 = primaria, 2\u00b0 = secundaria)<\/th><\/tr><\/thead>
Calidad de C\u00f3digo Deficiente<\/strong><\/td>Legacy (1\u00b0) – c\u00f3digo antiguo sin actualizar
Cultura (2\u00b0) – falta de prioridad en seguridad desde dise\u00f1o<\/td><\/tr>
Servicios Web Vulnerables<\/strong><\/td>Programaci\u00f3n de dispositivos (1\u00b0) – funcionalidad embebida sin an\u00e1lisis
COTS (2\u00b0) – servidores web est\u00e1ndar con vulnerabilidades conocidas<\/td><\/tr>
Implementaci\u00f3n Deficiente de Protocolos<\/strong><\/td>Legacy (1\u00b0) – protocolos sin autenticaci\u00f3n\/cifrado
Programaci\u00f3n de dispositivos (2\u00b0) – protocolos asumen confianza<\/td><\/tr>
Gesti\u00f3n Deficiente de Parches<\/strong><\/td>Legacy (1\u00b0) – sistemas dif\u00edciles\/costosos de actualizar
Cultura (2\u00b0) – “no tocar lo que funciona”
Conectividad (3\u00b0) – complejidad de arquitectura h\u00edbrida<\/td><\/tr>
Autenticaci\u00f3n D\u00e9bil<\/strong><\/td>Legacy (1\u00b0) – contrase\u00f1as codificadas, dise\u00f1o sin autenticaci\u00f3n
Programaci\u00f3n de dispositivos (2\u00b0) – protocolos sin autenticaci\u00f3n
Cultura (3\u00b0) – contrase\u00f1as compartidas para acceso r\u00e1pido<\/td><\/tr>
Violaci\u00f3n de M\u00ednimos Privilegios<\/strong><\/td>Legacy (1\u00b0) – dise\u00f1ados con privilegios ilimitados
Cultura (2\u00b0) – operadores requieren “control completo”<\/td><\/tr>
Divulgaci\u00f3n de Informaci\u00f3n<\/strong><\/td>Legacy (1\u00b0) – tr\u00e1fico en texto plano
Conectividad (2\u00b0) – exposici\u00f3n a redes no confiables
Programaci\u00f3n de dispositivos (3\u00b0) – servicios que divulgan informaci\u00f3n<\/td><\/tr>
Dise\u00f1o de Red Inadecuado<\/strong><\/td>Conectividad (1\u00b0) – redes planas, confianza transitiva
Cultura (2\u00b0) – falta de segmentaci\u00f3n por conveniencia<\/td><\/tr>
Configuraciones Inseguras<\/strong><\/td>Cultura (1\u00b0) – configuraciones por defecto nunca cambiadas
Conectividad (2\u00b0) – complejidad de arquitectura
Programaci\u00f3n de dispositivos (3\u00b0) – servicios habilitados por defecto<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Ejemplos Concretos de Interrelaci\u00f3n<\/strong><\/h3>\n\n\n\n

Ejemplo 1 – Gesti\u00f3n deficiente de parches<\/strong><\/p>\n\n\n\n

Un sistema SCADA ejecuta Windows Server 2012 (sistemas comerciales est\u00e1ndar COTS<\/strong>) con software de supervisi\u00f3n de 15 a\u00f1os de antig\u00fcedad (legacy<\/strong>). Microsoft publica un parche cr\u00edtico de seguridad. El fabricante del software de supervisi\u00f3n no ha certificado compatibilidad con el parche (legacy<\/strong>), la planta opera 24\/7 sin ventanas de mantenimiento planificadas (cultura<\/strong>), y no hay redundancia para probar el parche en entorno no productivo (conectividad con arquitectura sin separaci\u00f3n<\/strong>). El resultado es que el parche no se aplica y la vulnerabilidad persiste.<\/p>\n\n\n\n

Ejemplo 2 – Autenticaci\u00f3n d\u00e9bil<\/strong><\/p>\n\n\n\n

Un PLC Siemens de 20 a\u00f1os (legacy<\/strong>) tiene un servidor web embebido habilitado por defecto (programaci\u00f3n de dispositivos<\/strong>) usando credenciales predeterminadas que nunca fueron cambiadas (cultura<\/strong>). Est\u00e1 conectado a la red corporativa mediante un switch no gestionado (conectividad<\/strong>). Un atacante que compromete una laptop corporativa v\u00eda phishing puede escanear la red, descubrir el PLC, acceder con credenciales predeterminadas documentadas p\u00fablicamente<\/strong>, y modificar la l\u00f3gica del PLC.<\/p>\n\n\n\n

Ejemplo 3 – Divulgaci\u00f3n de informaci\u00f3n<\/strong><\/p>\n\n\n\n

Una planta qu\u00edmica usa el protocolo Modbus TCP sin cifrado (legacy<\/strong>) para comunicaci\u00f3n entre pantallas de operador y controladores. La red industrial est\u00e1 conectada a la red corporativa sin segmentaci\u00f3n (conectividad<\/strong>). Un analista de datos corporativo instala Wireshark para diagnosticar problemas de red (cultura con falta de control sobre herramientas<\/strong>). Accidentalmente captura tr\u00e1fico Modbus que incluye par\u00e1metros cr\u00edticos de temperatura y presi\u00f3n, y contrase\u00f1as en texto plano (programaci\u00f3n de dispositivos donde protocolos asumen confianza<\/strong>).<\/p>\n\n\n\n

Estos ejemplos demuestran que abordar vulnerabilidades individuales sin atacar las causas ra\u00edz es como cortar las ramas de un \u00e1rbol sin eliminar las ra\u00edces. Las vulnerabilidades simplemente se manifestar\u00e1n de nuevas formas.<\/p>\n\n\n\n

Conclusi\u00f3n: Entender las Ra\u00edces para Dise\u00f1ar Soluciones Efectivas<\/h3>\n\n\n\n

Las cinco causas ra\u00edz que hemos analizado no son secretos. CISA las ha documentado, los est\u00e1ndares de la industria como ISA\/IEC 62443<\/strong> las reconocen, los profesionales de seguridad industrial las conocen. Entonces, \u00bfpor qu\u00e9 persisten?

D\u00e9cadas de historia no se pueden “parchear”. La cultura organizacional no se reescribe con un memo ejecutivo. Miles de millones de d\u00f3lares en infraestructura legacy no se reemplazan de la noche a la ma\u00f1ana. Y la operaci\u00f3n de infraestructura cr\u00edtica no se puede pausar mientras se redise\u00f1a su arquitectura de seguridad.

Lo que s\u00ed podemos hacer es, antes que nada, tomar conciencia de estos defectos de origen y, con base en ello, dise\u00f1ar controles compensatorios basados en la comprensi\u00f3n profunda de estas causas ra\u00edz. Cuando entendemos que los sistemas legacy usan tr\u00e1fico en texto plano porque fueron dise\u00f1ados para entornos aislados, podemos implementar segmentaci\u00f3n de red rigurosa y monitoreo de tr\u00e1fico an\u00f3malo. Cuando entendemos que la cultura industrial prioriza disponibilidad porque el tiempo de inactividad tiene consecuencias catastr\u00f3ficas, podemos dise\u00f1ar estrategias de gesti\u00f3n de parches con redundancia y ventanas de mantenimiento planificadas. Cuando entendemos que la migraci\u00f3n a sistemas comerciales est\u00e1ndar hered\u00f3 vulnerabilidades del mundo IT, podemos aplicar controles IT probados adaptados para entornos industriales.

La responsabilidad de proteger infraestructura cr\u00edtica es compartida entre propietarios de activos, fabricantes, reguladores y la comunidad de ciberseguridad. El conocimiento de estas causas ra\u00edz es el primer paso hacia soluciones sist\u00e9micas que aborden las condiciones fundamentales que permiten que las vulnerabilidades persistan.<\/p>\n\n\n\n

Referencias<\/h3>\n\n\n\n

CISA Cybersecurity and Infrastructure Security Agency, Department of Homeland Security \u2013 210W-07 ICS Cybersecurity Vulnerabilities (Root Causes Section)<\/a>. Recuperado en enero de 2026.
ISA\/IEC 62443 Series of Standards \u2013 Industrial Automation and Control Systems Security<\/a>. Recuperado en enero de 2026.<\/p>\n\n\n\n

CISA Cybersecurity and Infrastructure Security Agency, Department of Homeland<\/a> – ICS Focused Malware. Recuperado el 01 de marzo 2026.<\/p>\n\n\n\n

CONGRESS.GOV – Attacks on Ukraine\u2019s Electric Grid: Insights for U.S. Infrastructure Security and Resilience.<\/a> Recuperado el 01 de marzo 2026.<\/p>\n\n\n\n

U.S. DEPARTMENT OF ENERGY – Colonial Pipeline Cyber Incident.<\/a> Recuperado el 02 de marzo 2026.<\/p>\n\n\n\n

<\/p>\n","protected":false},"excerpt":{"rendered":"

Introducci\u00f3n Ubiqu\u00e9monos hace 30 a\u00f1os, digamos 1995, en ese entonces un equipo de ingenieros estaba encargado de crear un sistema de control para una planta petroqu\u00edmica. La arquitectura dise\u00f1ada era impecable para su \u00e9poca, controladores industriales conectados mediante cables especiales del fabricante, computadoras que nunca tocaban internet, acceso f\u00edsico controlado por guardias y tarjetas magn\u00e9ticas, […]<\/p>\n","protected":false},"author":2,"featured_media":1849,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[10,41,6,4,5],"tags":[],"class_list":["post-1830","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-internet-de-las-cosas-iot","category-operational-technologies-ot","category-pentest-2","category-pentest","category-seguridad-de-la-informacion"],"_links":{"self":[{"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/posts\/1830","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/comments?post=1830"}],"version-history":[{"count":10,"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/posts\/1830\/revisions"}],"predecessor-version":[{"id":1850,"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/posts\/1830\/revisions\/1850"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/media\/1849"}],"wp:attachment":[{"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/media?parent=1830"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/categories?post=1830"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/hacking.onesec.mx\/index.php\/wp-json\/wp\/v2\/tags?post=1830"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}