Cuando una fábrica se ve obligada a detener la producción, los costes se disparan y los clientes exigen respuestas. Los grupos de ransomware aprovechan cada vez más esa presión atacando los sistemas de los que dependen las organizaciones industriales para seguir funcionando.
Los datos muestran que las 1.183 víctimas de ransomware en el sector manufacturero registradas entre el 1 de enero y el 29 de julio de 2026 suponen un aumento de hasta el 39,7 % con respecto al año anterior. Las víctimas europeas aumentaron nada menos que un 85,4 %.
Se trataba de ataques contra fabricantes, no necesariamente contra su tecnología operativa (OT). Pero los atacantes no necesitan comprometer los controladores industriales para detener la producción. Basta con desactivar las aplicaciones, las cuentas o la infraestructura que los sustenta.
El atractivo radica en una combinación de costosos tiempos de inactividad, sistemas interconectados y una recuperación difícil. Los delincuentes pueden ejercer presión sobre una organización interrumpiendo las operaciones, robando información confidencial o amenazando con ambas cosas.
Para una empresa industrial, el impacto puede incluir el incumplimiento de los objetivos de producción, el retraso en los pedidos de los clientes y la imposibilidad de coordinar a los proveedores. La recuperación puede requerir que los equipos de ingeniería validen los sistemas antes de reiniciar los procesos físicos.
La lógica comercial es sencilla: cuanto más le cueste a una organización funcionar sin sus sistemas, mayor será la presión que los atacantes puedan ejercer. Eso no significa que la víctima vaya a pagar, ni que el pago vaya a restablecer las operaciones.
El incidente de ransomware ocurrido en julio de 2026 en Fairlife, propiedad de Coca-Cola, ofrece un claro ejemplo.
El 16 de julio, Coca-Cola confirmó un acceso no autorizado a los sistemas de Fairlife, incluidos los relacionados con la producción, en relación con un incidente de ransomware. Las operaciones de producción en Estados Unidos se suspendieron temporalmente. La empresa afirmó que la calidad y la seguridad de los productos no se vieron afectadas, y que la producción canadiense no se vio afectada.
El 27 de julio, Coca-Cola anunció que se había reanudado la mayor parte de la producción en las cuatro instalaciones de Fairlife en Estados Unidos. También confirmó que se habían sustraído datos. Las existencias disponibles habían garantizado en gran medida la disponibilidad en los puntos de venta, y la empresa no preveía un impacto financiero significativo según la información de que disponía en ese momento.
El incidente pone de manifiesto cómo el ransomware puede afectar a los sistemas relacionados con la producción e interrumpir las operaciones físicas. No se ha demostrado que los atacantes manipularan controladores industriales, y no debe describirse de esa manera.
Para otros fabricantes, la cuestión práctica es si la producción podría continuar si un sistema de importancia similar dejara de estar disponible.
Las operaciones industriales dependen de algo más que del equipamiento de la planta de producción. Los servicios de identidad, las estaciones de trabajo de ingeniería, la planificación de la producción y otros sistemas de apoyo pueden influir en el funcionamiento de una planta.
Algunas de estas dependencias se encuentran dentro de la OT. Otras conectan los procesos operativos con la TI corporativa.
Dragos puso de relieve este problema de clasificación en su Informe sobre ciberseguridad de OT/ICS de 2026, señalando que las estaciones de trabajo de ingeniería y las interfaces hombre-máquina pueden describirse erróneamente como TI simplemente porque funcionan con Windows. Su sistema operativo no altera su función operativa.
La implicación desde el punto de vista de la defensa es que las organizaciones deben comprender qué hace cada sistema y qué depende de él. El mero hecho de que exista un límite de red no explica si la producción puede sobrevivir a la pérdida de un servicio compartido.
La asistencia remota ayuda a los ingenieros y proveedores a mantener los equipos sin necesidad de estar físicamente presentes. Sin embargo, un acceso mal controlado también puede constituir una vía de acceso a los entornos operativos.
La guía sobre conectividad de la tecnología operativa (OT) del NCSC, publicada en enero de 2026, recomienda reducir la exposición mediante medidas como el acceso «justo a tiempo» y las conexiones intermediadas a través de puertas de enlace controladas. Estos enfoques ayudan a evitar la exposición directa de los activos de OT a redes externas.
Las organizaciones deben poder determinar quién tiene acceso remoto, a qué activos puede acceder, cuándo se necesita ese acceso y cómo puede revocarse.
Una configuración de acceso que permanece activa mucho tiempo después de que finalice una tarea de mantenimiento genera una exposición innecesaria. Lo mismo ocurre cuando la cuenta de un proveedor tiene permisos más amplios de los que requiere su trabajo.
La sustitución o actualización de un activo industrial puede requerir planificación operativa, comprobaciones de compatibilidad y un intervalo de mantenimiento adecuado.
Esas limitaciones pueden hacer que las organizaciones tengan que gestionar sistemas antiguos durante largos periodos de tiempo. El NCSC reconoce que muchos sistemas de tecnología operativa (OT) son difíciles de actualizar o sustituir, lo que hace que una protección sólida de los límites y la segmentación sean especialmente importantes.
Esto debería influir en la forma de priorizar los riesgos. Los equipos deben considerar si se puede acceder a un activo, qué controla y qué protecciones existen ya.
Cuando no sea viable una corrección inmediata, restringir la conectividad y reforzar la supervisión puede ayudar a reducir el riesgo mientras se planifica una solución a más largo plazo.
El 12 de mayo de 2026, Foxconn confirmó que algunas de sus fábricas de América del Norte habían sufrido un ciberataque. En su comunicado, la empresa indicó que se habían activado las medidas de respuesta y que las fábricas afectadas estaban volviendo a la producción normal.
Por otra parte, el grupo de ransomware Nitrogen reivindicó la autoría y afirmó haber sustraído datos. Esas afirmaciones iban más allá de lo que Foxconn confirmó públicamente y deben considerarse como afirmaciones de los atacantes.
La interrupción confirmada de la actividad en las fábricas ilustra las consecuencias operativas de un ataque contra un fabricante importante. También plantea una cuestión relacionada con la cadena de suministro: ¿cómo mantendrían los clientes su producción si un proveedor crítico no pudiera suministrar?
Para los responsables de seguridad y operaciones, la dependencia de los proveedores debe tenerse en cuenta en la planificación frente al ransomware. La resiliencia de su organización puede verse afectada por un incidente ajeno a su propio entorno.
Las pruebas muestran una presión creciente del ransomware sobre las organizaciones industriales. Esto no significa que todos los incidentes en el sector manufacturero impliquen un compromiso directo de los dispositivos de tecnología operativa (OT).
Un informe publicado en febrero de 2026 registró 119 grupos de ransomware que atacaron a organizaciones industriales durante 2025, frente a los 80 de 2024, lo que afectó en total a 3.300 organizaciones. Se trata de observaciones de 2025 publicadas en 2026, y no de las cifras totales de incidentes de 2026.
Hay varias formas en que una organización industrial puede sufrir una interrupción operativa:
Entender qué escenario se ha producido es importante para la investigación y la recuperación. Es necesario tener en cuenta los tres a la hora de planificar la resiliencia.
Empieza por un objetivo práctico: comprender qué podría detener las operaciones y reducir las vías a través de las cuales un atacante podría provocar ese resultado.
Mantener un inventario que relacione los activos con su finalidad, sus propietarios y los procesos críticos. Incluir las estaciones de trabajo de ingeniería, la infraestructura de acceso remoto y los servicios de apoyo necesarios para mantener la producción en marcha.
Utiliza esa información para identificar en qué casos una sola cuenta, conexión o servicio comprometido podría afectar a múltiples áreas operativas.
Aplique el principio del «privilegio mínimo» a empleados, contratistas y proveedores. Proteja el acceso externo con autenticación sólida, elimine permisos innecesarios y revise los accesos cuando cambien las funciones o las relaciones con los proveedores.
La segmentación debe restringir la comunicación entre TI y TO, así como dentro de los entornos operativos. El NCSC identifica la segmentación, la autenticación multifactorial (MFA) resistente al phishing y el principio del privilegio mínimo como protecciones importantes de los límites de la TO.
Las decisiones de contención deben acordarse con los equipos operativos antes de que se produzca un incidente.
El NCSC recomienda establecer un plan de aislamiento. Cuando la arquitectura lo permita, las organizaciones podrán desconectar un servicio afectado o revocar el acceso de un proveedor, manteniendo al mismo tiempo otras conexiones necesarias.
Los ejercicios deben poner a prueba quién autoriza el aislamiento, cómo se comunican los equipos operativos y qué pruebas se requieren antes de la reconexión.
Un ejercicio de recuperación útil debe ir más allá de comprobar si se puede restaurar una copia de seguridad.
¿Podría la organización recuperar los sistemas necesarios para reiniciar un proceso crítico? ¿Están disponibles las configuraciones y son fiables? ¿Qué proveedores o ingenieros serían necesarios? ¿Qué comprobaciones deben realizarse antes de reanudar la producción?
Estas preguntas convierten la preparación frente al ransomware en un ejercicio operativo en el que participan los equipos de seguridad, ingeniería y continuidad del negocio.
Integrity360 ayuda a las organizaciones a evaluar y reforzar la seguridad de la tecnología operativa (OT) mediante servicios de consultoría, auditoría, ingeniería y respuesta a incidentes. Nuestro trabajo incluye el análisis de riesgos, la clasificación de activos, las pruebas de resiliencia frente al ransomware y el apoyo para una infraestructura de OT segura.
La prioridad es comprender sus vulnerabilidades operativas, abordar las debilidades más importantes y preparar a sus equipos para responder cuando se produzca una interrupción.
Consulte con Integrity360 sobre cómo proteger su entorno de TI operativa
¿Por qué los grupos de ransomware atacan los entornos de tecnología operativa (OT)?
Las organizaciones industriales pueden verse sometidas a una presión considerable cuando se interrumpen la producción o los servicios esenciales. Los atacantes tratan de aprovechar esa presión, sobre todo cuando las dependencias operativas, los accesos expuestos o la dificultad de recuperación aumentan el impacto.
¿Puede el ransomware detener la producción sin infectar los controladores industriales?
Sí. La producción puede depender de otros sistemas que dejen de estar disponibles, o los operadores pueden verse obligados a aislar sistemas durante un incidente. El mero hecho de que se detenga la producción no prueba que los controladores industriales se hayan visto comprometidos.
¿Cuál es un ejemplo confirmado de ransomware industrial de 2026?
Fairlife suspendió temporalmente la producción en EE. UU. tras un incidente de ransomware revelado el 16 de julio de 2026. Coca-Cola confirmó que se vieron afectados sistemas relacionados con la producción y anunció posteriormente que se había reanudado la mayor parte de la producción en cuatro instalaciones de EE. UU.
¿Qué deben priorizar las organizaciones para reducir el riesgo de ransomware en la tecnología operativa (OT)?
Entre las prioridades se incluyen la visibilidad de los activos y las dependencias, el acceso remoto controlado, la segmentación, la corrección basada en el riesgo y los procedimientos probados de aislamiento y recuperación. Los equipos de seguridad y operativos deben acordar estas medidas de forma conjunta.