Cómo los fabricantes pueden evitar que un incumplimiento detenga la planta

En julio, un ataque de ransomware obligó al negocio lácteo Fairlife de Coca-Cola a detener la producción en EE. UU. Coca-Cola afirmó que la seguridad y calidad del producto no se vieron afectadas. La producción se detuvo de todos modos.

El grupo de ransomware Anubis se atribuyó posteriormente la responsabilidad. Afirmó que robó 1 terabyte de datos y amenazó con publicarlos a menos que se pagara un rescate. Once días después de que Coca-Cola revelara el ataque, Fairlife reanudó la mayor parte de la producción en sus cuatro plantas estadounidenses.

Ataques como este están aumentando en toda la industria. Black Kite rastreó 1.183 incidentes de ransomware de fabricación revelados en todo el mundo desde el 1 de enero hasta julio de 29de 2026. Eso supone casi un 40% más que en el mismo periodo de 2025 y más que en todo 2024.

Los fabricantes son objetivo porque el tiempo de inactividad es una palanca. Cada hora que una línea permanece inactiva pone en riesgo pedidos, ingresos y compromisos de clientes.

"Parar las operaciones ejerce presión sobre una compañía cuyos ingresos dependen de fabricar y entregar productos", dijo Trevor Dearing, director de soluciones de infraestructuras críticas en Illumio.

Los fabricantes pueden reducir esa presión planeando un incumplimiento antes de que ocurra. El objetivo es evitar que un sistema comprometido se convierta en un cierre de toda la planta.

A medida que avanza la producción, la seguridad queda rezagada

El tiempo muerto es una fuente de apalancamiento. Los datos robados son otro. Los diseños, fórmulas y conocimientos de producción son objetivos valiosos.

"Robar propiedad intelectual crea otra oportunidad para la extorsión o el robo", dijo Dearing.

Al mismo tiempo, los fabricantes están conectando más de sus operaciones. El mantenimiento remoto y el intercambio de datos mejoran la eficiencia. También abren nuevos caminos hacia la planta.

"La manufactura se está transformando más rápido que su seguridad", dijo.

La diferencia también es entre equipos. Los equipos de seguridad informática comprenden las amenazas cibernéticas, pero pueden carecer de conocimientos detallados sobre producción. Los equipos de planta conocen el equipo, pero pueden estar menos familiarizados con los riesgos que conllevan las nuevas conexiones.

"Ninguno de los dos equipos puede resolver esto solo", dijo. "Juntos, deben entender de qué sistemas depende la producción y cómo podría propagar un incumplimiento entre ellos."

Un puesto de trabajo, riesgo a nivel de planta

Las estaciones de trabajo de ingeniería muestran cómo. El personal los emplea para configurar y mantener el equipo. Esas mismas conexiones pueden dar a los atacantes una ruta hacia el resto de la planta.

"Alguien podría estar sentado en una estación de trabajo de ingeniería abriendo su correo personal", dijo Dearing. "Un ataque de phishing podría introducir ransomware en esa estación de trabajo."

Desde ahí, los atacantes podrían desplazar lateralmente a sistemas conectados o desactivar los servicios que la planta necesita. Proteger el equipo por sí solo deja un hueco. Los fabricantes también deben entender y proteger las conexiones y servicios que hay detrás de ella.

Empieza con un mapa de cómo se desarrolla la producción

Dearing recomienda primero averiguar cómo funciona la producción y luego mapear los sistemas y conexiones que la soportan. Una lista de dispositivos indica a los equipos lo que tienen. Un mapa muestra qué depende de qué.

El siguiente paso es una auditoría de protocolos, una revisión de cómo se comunican los sistemas. Debería señalar:

• Acceso remoto al escritorio donde no debería estar
• Protocolos inseguros
• Acceso más allá de lo que un sistema necesita para hacer su trabajo

"Necesitas una visión de cómo está conectado todo", dijo. "Entonces tienes que entender qué es vulnerable, a qué puede llegar y dónde está el riesgo."

Los equipos de TI y planta deben revisar esos hallazgos juntos. Los operadores saben qué conexiones requiere la producción. Los equipos de seguridad pueden ver dónde ese acceso genera riesgos.

Las directrices conjuntas del gobierno estadounidense sobre la adaptación de la confianza cero a la tecnología operativa (OT) lo respaldan. Requiere visibilidad, acceso controlado y segmentación que tengan en cuenta la seguridad y la fiabilidad.

Dale un propósito a cada conexión

Una vez que los equipos entienden cuáles son las necesidades de producción, pueden limitar el acceso a la pareja. La fabricación tiene un beneficio aquí. Muchos sistemas realizan una tarea específica y emplean un pequeño conjunto de protocolos, lo que facilita la escritura de reglas de acceso precisas.

"Dale a la estación de trabajo las conexiones que necesita para hacer su trabajo", dijo Dearing. "Cada conexión debe tener un propósito claro."

Recomienda segmentación entre TI y OT, y dentro de la propia planta. Esos límites cortan los caminos que un atacante puede usar para expandir.

El mismo principio se aplica a los proveedores. Un proveedor que da servicio a un equipo no debería tener acceso a sistemas no relacionados. Su conexión remota debe pasar por controles de identidad que posee el fabricante.

Para equipos que no se puedan parchear fácilmente, limita lo que puede llegar. El fallo permanece, pero menos sistemas pueden abordarlo.

Todo esto depende primero de entender el proceso. Antes de hacer cumplir nuevas normas, los equipos deben confirmar que no bloquearán las necesidades de producción de tráfico.

Construye el gran botón rojo antes de necesitarlo

Las normas de acceso limitan hasta dónde puede extender un incumplimiento. Dearing también recomienda un plan para aislar la producción cuando se acerque. Lo llama un "gran botón rojo": una forma preparada de cortar la producción ante un incumplimiento en el negocio en general. El plan debe especificar qué desconectar, quién lo autoriza y qué servicios deben mantener activos.

"El objetivo es aislar la producción para que pueda continuar, incluso si otros sistemas caen", dijo. "Tienes que construir ese plan antes de que algo salga mal."

Un plan que nadie ejecutó es solo una suposición.

"Tienes que probarlo", dijo. "Tienes que saber que el plan funciona."

Algunos procesos dependen de servicios compartidos de inicio de sesión, soporte remoto o datos externos. El aislamiento podría cortar esas consecuencias, por lo que los equipos deben entender las consecuencias antes de un ataque. Una prueba debería confirmar qué procesos pueden continuar, cuáles deben detener de forma segura y qué restaurar primero.

La alerta de agosto del Centro Nacional de Ciberseguridad del Reino Unido señala lo mismo. Insta a los operadores a planear un aislamiento rápido y practicar la restauración de sistemas a partir de copias de seguridad confiables.

El consejo de Dearing se reduce a tres cosas: saber qué necesita la producción, controlar el acceso a ella y demostrar que la contención funciona. Fairlife necesitó 11 días para recuperar la mayor parte de su producción. El momento para aprender qué mantiene una planta en funcionamiento es antes de que se detenga.

Detener el ransomware para que detenga la producción

No esperes a que un ciberataque detenga las operaciones. Illumio ayuda a los fabricantes a identificar conexiones críticas de TI y OT, a contener ransomware y a prevenir que las amenazas se propaguen por entornos de producción.

Protege tus operaciones con la contención del incumplimiento de Illumio

Explore la Segmentación de Illumio