Ciberseguridad en Minería
LATAM 2025–2026

Remote Desktop Protocol (TCP/3389) expuesto a internet sin mediación de VPN es el vector de acceso inicial más explotado en infraestructura crítica globalmente en 2024 (Verizon DBIR 2025). Sistemas Windows 7/Server 2008 no parcheados aún activos en entornos mineros con BlueKeep activo.

Mitigación validada:

• Deshabilitar RDP directo a internet sin excepción operativa.
• Implementar VPN con MFA como único punto de entrada remota (Palo Alto GlobalProtect, Fortinet FortiClient, Cisco AnyConnect).
• Si la VPN tiene latencia incompatible con OT: bastion host con grabación de sesiones (CyberArk PSM, BeyondTrust).
• Alerta inmediata ante cualquier intento de conexión RDP desde internet, incluso bloqueado.

Fabricantes como Schneider Electric, Siemens (WinCC), Rockwell (FactoryTalk), AVEVA e Ignition publican sus credenciales por defecto en manuales de acceso público. Los atacantes automatizan escaneos de estas credenciales contra sistemas expuestos.

Mitigación validada:

• Auditoría obligatoria de todas las cuentas SCADA, HMI, PLCs y dispositivos OT antes de cualquier otra acción.
• Implementar PAM (CyberArk, BeyondTrust Password Safe, Thycotic) — las credenciales críticas NO deben ser conocidas por usuarios.
• Política: contraseñas ≥ 20 caracteres; rotación máximo 90 días; sin conocimiento humano directo.

IT y OT en el mismo plano lógico habilita movimiento lateral. Un ransomware que ingresa por phishing en un equipo administrativo puede alcanzar el SCADA en menos de 4 horas. Estándar de referencia: IEC 62443-3-3 (zonas y conductos).

ZONA CORPORATIVA (IT)           ZONA INDUSTRIAL (OT)
Red administrativa               Red de control
Email, ERP, RRHH                SCADA, DCS, PLCs
        │                               │
        └──── FIREWALL OT-AWARE ────────┘
              + DMZ Industrial
              (historians, data brokers,
               servidores de salto)

Mitigación validada:

• Firewall NGFW OT-aware en boundary IT/OT (Fortinet FortiGate-ICS, Palo Alto con ICS App-ID, Cisco Firepower).
• DMZ Industrial para todos los flujos IT↔OT: ninguna conexión directa.
• Micro-segmentación intra-OT: PLCs de subestación separados de PLCs de planta concentradora.
• Deny-all como política por defecto; solo flujos explícitamente documentados permitidos.

Fabricantes OEM (Caterpillar, Komatsu, Sandvik, Metso, ABB) acceden remotamente con VPNs permanentes y credenciales genéricas compartidas entre múltiples técnicos, sin expiración y sin supervisión.

Mitigación validada:

• Eliminar VPNs permanentes de acceso continuo para terceros.
• Acceso just-in-time (JIT): VPN activa solo durante ticket de servicio abierto y aprobado.
• Jump server con grabación completa (video + keystroke) para todos los accesos de terceros.
• MFA obligatorio sin excepción para todas las cuentas de terceros.

Sistemas sin actualizaciones de seguridad desde 2014 (XP), 2020 (Win7), 2015/2020 (Server 2003/2008) con cientos de vulnerabilidades conocidas y explotadas activamente. La justificación operativa es real: actualizar el OS puede romper el software SCADA.

Mitigación validada (sin reemplazo inmediato):

• Aislamiento de red estricto: sistema legacy en su propia VLAN con lista blanca de 3–5 IPs permitidas.
• Application Allowlisting (no antivirus tradicional): Tripwire Enterprise, Carbon Black App Control, Windows AppLocker.
• Monitoreo de integridad: alertas ante cualquier cambio en archivos del sistema operativo.
• Plan de migración con fecha comprometida, propietario técnico y presupuesto asignado.

El ransomware moderno (LockBit, RansomHub, BlackSuit) incluye módulos para descubrimiento y eliminación de backups antes de cifrar producción. Sin backups íntegros, no hay opción de recuperación sin pagar el rescate.

Mitigación validada — Regla 3-2-1-1:

• 3 copias de datos críticos, en 2 medios distintos, 1 copia fuera de sitio, 1 copia completamente air-gapped.
• El sistema de backup air-gapped sin conexión de red permanente — no una VLAN separada.
• Backup de configuraciones OT específicamente: lógica de PLCs, configuración SCADA, listas blancas.
• Pruebas de restauración trimestrales obligatorias y documentadas. El 41% de backups industriales fallan en primera restauración de emergencia (Veeam 2025).

Sin visibilidad del tráfico OT, el dwell time promedio antes de detección fue 287 días en 2024 (Dragos YiR 2024). En ese período, el atacante mapea la infraestructura, exfiltra terabytes de datos, instala backdoors persistentes y prepara el payload para el momento óptimo.

En 2025, los LLMs eliminaron los indicadores lingüísticos que permitían identificar correos de phishing. Tasa de clic en phishing simulado en minería sin programa de concienciación: 38.4%. Con simulación mensual activa: 4.6% en 12 meses.

Mitigación validada:

• Simulaciones de phishing mensuales (KnowBe4, Proofpoint SAT, Cofense). La retroalimentación inmediata tras el clic simulado es el mecanismo de entrenamiento más efectivo.
• MFA en todos los correos corporativos sin excepción.
• ATP de correo (Proofpoint TAP, MS Defender for Office P2, Mimecast CTP): sandboxing de adjuntos.
• DMARC en modo 'reject' para el dominio corporativo: previene spoofing en BEC.

Problemáticas frecuentes: cuentas de administrador local compartidas con la misma contraseña en decenas de estaciones; cuentas de servicio SCADA con permisos de Domain Admin; operadores con acceso a configuración de PLCs que excede sus necesidades.

Mitigación validada:

• PAM: ningún administrador conoce las contraseñas. Las credenciales se solicitan al sistema por tiempo limitado (check-out).
• Principio de menor privilegio: cada cuenta con exactamente los permisos necesarios.
• JIT para privilegios elevados: el privilegio se otorga por tiempo definido y se revoca automáticamente.
• Separación de cuentas: cuenta estándar para actividades cotidianas; cuenta privilegiada separada para acciones administrativas.

El atacante compromete el proveedor upstream y distribuye código malicioso mediante el mecanismo de actualización legítimo. Documentado en 2024: al menos dos incidentes con software de gestión de activos mineros comprometido (CISA ICS-CERT Alert AA24-165A).

Mitigación validada:

• Entorno de staging aislado + período de observación mínimo de 2 semanas antes de actualizar sistemas críticos.
• Verificación de integridad criptográfica: comparar hash SHA-256 del instalador con el publicado por el fabricante.
• SBOM (Software Bill of Materials): requerir a proveedores OT críticos la entrega de SBOM actualizado con cada versión.
• Monitoreo de comportamiento post-instalación: conexión de red nueva desde software OT = alerta inmediata.