Una alerta conjunta de agencias estadounidenses advierte que actores de amenaza están atacando activamente controladores lógicos programables Siemens S7. La actividad combina servicios de escaneo de internet, vulnerabilidades conocidas y scripts asistidos por inteligencia artificial capaces de interactuar con memoria, configuraciones y lógica de los PLC mediante el protocolo S7comm.

La advertencia cubre las series S7-200, S7-300, S7-400, S7-1200 y S7-1500, incluidas variantes de seguridad funcional. Las agencias describen un patrón de reconocimiento persistente y desarrollo de capacidades que podría preparar futuras operaciones disruptivas. No afirman que toda instalación haya sido comprometida ni que cada acceso observado haya producido una alteración física.

Para industrias, empresas de servicios públicos, operadores de agua, energía, alimentos, química y manufactura en España y Colombia, la pregunta inmediata es operativa: ¿qué PLC están realmente instalados, cuáles pueden alcanzarse desde redes no confiables y qué evidencia existe para detectar lecturas, escrituras o cambios fuera del proceso autorizado?

Qué confirma la alerta conjunta

El aviso “Defending Against an Active Threat to Siemens S7 Series PLCs” fue elaborado por la NSA, el FBI, el Departamento de Energía, la Agencia de Protección Ambiental y CISA. Identifica actividad contra todas las variantes de CPU de las familias S7-200, S7-300 y S7-400; modelos concretos S7-1200; y todas las variantes S7-1500, incluidos controladores F-series.

Las agencias señalan que los actores utilizan información pública y asistencia de IA para reducir el tiempo y los conocimientos necesarios para crear herramientas de explotación. También describen el uso de bibliotecas abiertas de automatización industrial, como Snap7, para producir herramientas que imitan software legítimo de monitoreo y realizan operaciones de lectura o escritura sobre memoria, configuración y programas de lógica ladder.

La actividad se apoya en servicios de escaneo para localizar PLC expuestos o insuficientemente segmentados. La alerta considera que los equipos accesibles desde internet tienen un riesgo elevado. Reuters informó el 19 de agosto sobre la advertencia y los posibles efectos en agua, energía, manufactura y otras infraestructuras críticas, sin atribuir formalmente toda la actividad a un actor estatal concreto.

Por qué el riesgo es operativo, no solo informático

Un PLC gobierna estados, secuencias y señales que pueden influir en procesos físicos. Una lectura no autorizada puede revelar cómo funciona una instalación; una escritura indebida puede cambiar parámetros, detener una línea o preparar una acción posterior. Las consecuencias potenciales citadas por las agencias incluyen interrupción de procesos, incidentes de seguridad física, tiempo de inactividad, daño de equipos, exposición de información y efectos en cascada.

La respuesta en tecnología operativa (OT) no puede copiar sin más el procedimiento de un servidor corporativo. Reiniciar, actualizar o aislar un controlador sin evaluar su función puede afectar producción o seguridad. Cada medida necesita participación de operaciones, ingeniería, mantenimiento, seguridad, proveedores y dirección.

Un Security GAP Assessment permite traducir la arquitectura real en brechas priorizadas. Un análisis de vulnerabilidades orientado a OT debe ejecutarse con métodos seguros, ventanas acordadas y conocimiento del proceso; no todo escaneo apropiado para TI es aceptable frente a un controlador industrial.

Señales que conviene revisar

  • Exposición directa o indirecta. Servicios S7comm alcanzables desde internet, redes de proveedores, VPN compartidas o segmentos corporativos sin controles suficientes.
  • Herramientas fuera de lugar. Bibliotecas Snap7, scripts Python con funciones S7comm o software de monitoreo no autorizado en estaciones distintas de las aprobadas.
  • Actividad fuera de horario. Conexiones automatizadas, lecturas o escrituras cuando no existe orden de trabajo ni intervención de ingeniería.
  • Origen inesperado. Accesos desde países, rangos o proveedores que no corresponden con integradores y mantenedores autorizados.
  • Cambios sin trazabilidad. Diferencias entre configuración, firmware o lógica activa y la copia maestra validada.

La ausencia de una alerta del antivirus no descarta actividad. Muchas interacciones usan protocolos y bibliotecas legítimas. La detección requiere conocer qué estaciones pueden programar, cuándo deben hacerlo, qué cambios están aprobados y qué versión de la lógica constituye la referencia confiable.

Plan de protección por prioridades

  1. Construir un inventario inmediato. Identificar modelo, CPU, firmware, ubicación, proceso controlado, estación de ingeniería, proveedor, conectividad y responsable de cada Siemens S7.
  2. Eliminar la exposición a internet. La alerta recomienda bloquear TCP 102 en el perímetro y comprobar que no exista enrutamiento no autorizado entre redes corporativas e industriales.
  3. Separar TI y OT. Implementar una zona desmilitarizada, controlar los flujos permitidos y considerar pasarelas unidireccionales cuando el caso operativo lo justifique.
  4. Actualizar con pruebas previas. Revisar avisos de Siemens ProductCERT, probar firmware y software de ingeniería en un entorno de desarrollo y priorizar los controladores expuestos o ubicados en una DMZ.
  5. Restringir la ingeniería. Limitar TIA Portal y STEP 7 a estaciones autorizadas, activar protección por contraseña y niveles de lectura o escritura, y eliminar comunidades SNMP predeterminadas.
  6. Monitorear el comportamiento. Registrar conexiones S7comm, cambios de lógica, accesos remotos, actividad de proveedores y divergencias frente a copias maestras.

Las pruebas de seguridad deben acordarse con operaciones y diseñarse para no alterar el proceso. Cuando existe un entorno de laboratorio o réplica, un ejercicio de ethical hacking controlado puede verificar segmentación, acceso remoto y rutas de confianza antes de probar medidas en producción.

Prioridades para España y Colombia

España y Colombia cuentan con sectores industriales y servicios esenciales que dependen de integradores, mantenimiento remoto y controladores con ciclos de vida largos. Aunque el aviso procede de agencias estadounidenses, las condiciones técnicas descritas —exposición, segmentación insuficiente, credenciales débiles y software desactualizado— no están limitadas a ese país.

La primera decisión directiva debería ser exigir una respuesta verificable a cuatro preguntas: cuántos PLC S7 existen, cuáles tienen una ruta desde redes no confiables, qué terceros conservan acceso y cómo se detectaría un cambio no autorizado. Un modelo de CISO as a Service puede coordinar este riesgo entre seguridad, operaciones, compras y proveedores sin convertirlo en una responsabilidad exclusiva del equipo de planta.

Si aparecen cambios de lógica, conexiones desconocidas o herramientas no autorizadas, conviene preservar configuraciones, registros, capturas de red y copias maestras antes de modificar el entorno. La recuperación no consiste únicamente en volver a producir; también exige comprender qué cambió, desde dónde y durante cuánto tiempo.

La conclusión es sencilla: un PLC no debería ser localizable desde internet ni confiar por defecto en cualquier sistema que alcance su red. La defensa efectiva reduce rutas, limita funciones, registra cambios y permite demostrar que la lógica activa coincide con una referencia aprobada.

Conozca la exposición real de su entorno industrial

Insylux puede ayudar a inventariar activos OT, revisar segmentación y accesos de terceros, priorizar correcciones y construir una hoja de ruta compatible con la continuidad del proceso.

Solicite una evaluación de exposición y segmentación para su entorno OT.

Fuentes y alcance

Los modelos afectados, técnicas y mitigaciones atribuidas a las agencias proceden del aviso conjunto. La aplicación a España y Colombia y el orden de priorización son análisis editorial del Equipo Insylux. No se atribuye la actividad a un actor concreto más allá de lo confirmado por las fuentes.