Por qué las pymes industriales están en el punto de mira
Los grupos de ransomware no atacan al azar. Atacan donde la presión para pagar es mayor y la defensa es más débil. Las pymes industriales cumplen ambas condiciones: una línea de producción parada cuesta miles de euros por hora, y la mayoría no tiene un equipo de seguridad dedicado.
Según el Fortinet Threat Intelligence Report de 2024, el sector industrial fue el tercero más atacado a nivel global, por detrás de telecomunicaciones y finanzas. No por el valor de sus datos, sino por la urgencia que genera una parada de planta. Los atacantes lo saben y ajustan su estrategia.
Lo que vemos habitualmente al auditar empresas de este segmento es que el problema no es la falta de inversión en seguridad — es que la inversión se ha hecho en las capas visibles (antivirus, firewall básico) mientras los vectores reales de entrada han quedado sin atención. Un RDP abierto sin MFA anula cualquier firewall perimetral.
71% de ciberataques
tienen como objetivo empresas de menos de 500 empleados. Las pymes industriales son blanco prioritario por la combinación de datos críticos y defensas limitadas.
3.000–8.000 € por incidente
es el coste medio de una incidencia grave en una pyme industrial, sumando horas de producción perdidas, técnico de emergencia y tiempo de dirección.
Los 10 vectores de ataque más comunes en 2025
01 — Phishing dirigido a empleados
El vector más frecuente en incidentes que atendemos. Un correo que suplanta al proveedor de ERP, al banco o a Correos. El empleado hace clic, introduce credenciales o descarga un adjunto. En entornos industriales, el correo de "actualización urgente del software de planta" tiene una tasa de clic significativamente superior a la media. La defensa pasa por seguridad avanzada en el correo y formación continua — no basta con un módulo anual.
02 — RDP expuesto a internet sin MFA
El puerto 3389 abierto es uno de los indicadores más fiables de que una empresa va a sufrir un incidente. Los bots escanean internet de forma continua buscando RDP accesible. Sin autenticación multifactor, la única barrera es la contraseña — y la mayoría de las contraseñas corporativas no resisten un ataque de fuerza bruta sostenido durante 48 horas. La solución inmediata es cerrar el puerto y canalizar el acceso remoto a través de una VPN con MFA. Un firewall perimetral bien configurado cierra este vector en minutos.
03 — Accesos de proveedores sin supervisión
El técnico de mantenimiento que se conecta cada dos semanas para actualizar el software de la línea. El proveedor del SCADA que tiene acceso permanente "por si acaso". En la mayoría de empresas industriales, estos accesos no se revisan, no tienen ventana horaria y no generan alertas. Un proveedor comprometido es una vía de entrada directa a tu red — sin que tú puedas detectarlo a tiempo. La regla es simple: acceso justificado, con MFA, con registro de sesión y con caducidad automática.
04 — Credenciales reutilizadas o comprometidas
El 64% de las personas usa la misma contraseña en más de un servicio, según el Microsoft Digital Defense Report 2024. Si esa contraseña aparece en una filtración de datos de cualquier servicio externo — y las filtraciones ocurren cada semana — el atacante tiene acceso válido a tu entorno corporativo sin necesitar explotar ninguna vulnerabilidad. La defensa es MFA universal, gestión de contraseñas corporativa y monitorización de credenciales en dark web. No es opcional.
05 — Software OT sin parcheado
Los sistemas de control industrial tienen ciclos de vida de 10-15 años. Un PLC o un HMI con Windows XP embebido no es una rareza — es la norma en muchas plantas. Estos sistemas no reciben actualizaciones de seguridad porque el fabricante ya no las emite, o porque el cliente no quiere arriesgar una parada de producción para aplicar un parche. La estrategia no es parchear lo que no se puede parchear — es aislar esos sistemas mediante segmentación de red y monitorizar su tráfico de forma pasiva.
06 — Ausencia de segmentación IT/OT
Cuando la red de oficinas y la red de planta comparten el mismo segmento, un ransomware que entra por el correo de un administrativo puede llegar en minutos a los sistemas de control de producción. Esta es la diferencia entre un incidente que afecta a unos pocos equipos y uno que para la planta durante días. La segmentación no es compleja técnicamente, pero requiere un diseño deliberado y una política de acceso entre segmentos bien definida.
07 — Endpoints sin EDR
Un antivirus tradicional basado en firmas no detecta lo que no ha visto antes. Una variante nueva de ransomware, un ataque de living-off-the-land que usa herramientas legítimas del sistema operativo, un script de PowerShell malicioso — todos pasan sin ser detectados. En Lípidos Santiga, sustituyendo el antivirus tradicional por SentinelOne EDR, la detección por comportamiento identificó amenazas que el antivirus anterior no habría detectado nunca. La protección de endpoints basada en comportamiento es, hoy, el estándar mínimo exigible.
08 — Backup no verificado o no aislado
Tener backup no es suficiente. Si el backup está conectado a la red de producción, el ransomware lo cifra junto con el resto. Si nadie ha probado la restauración en los últimos 6 meses, el día que lo necesitas puede descubrir que el 30% de los datos críticos no estaban incluidos en el job. El backup como vector de resiliencia requiere tres cosas: copia aislada de la red principal, retención suficiente para retroceder antes del punto de infección, y prueba de restauración documentada con periodicidad definida.
09 — Puertos de gestión expuestos a internet
Interfaces de administración de switches, routers o NAS accesibles directamente desde internet. Panels de gestión de firewalls con credenciales por defecto. Estos elementos aparecen en los escáneres de Shodan en cuestión de días desde su configuración. Un atacante no necesita nada más que las credenciales por defecto — que en muchos casos nadie ha cambiado. La regla es que ninguna interfaz de administración debe ser accesible desde internet sin VPN y sin MFA, sin excepciones.
10 — Ausencia de visibilidad y detección
Sin logs centralizados, sin alertas en tiempo real y sin alguien que los revise, los ataques progresan durante días o semanas sin ser detectados. El tiempo medio de permanencia de un atacante en una red antes de activar el ransomware supera los 21 días según el INCIBE. Durante ese tiempo está moviendo lateralmente, escalando privilegios y preparando el ataque final. Sin visibilidad, no hay posibilidad de cortar el incidente antes de que el daño sea irreversible.
¿Cuántos de estos vectores tiene tu empresa sin cubrir?
Hacemos una revisión de superficie de ataque sin coste para empresas industriales de 50–300 empleados. Sin compromiso.
Solicitar revisión gratuitaCómo priorizar: no todo se puede atacar a la vez
Con recursos limitados, la priorización es la mitad del trabajo. No tiene sentido implementar un SOC antes de cerrar el RDP abierto. Pero tampoco tiene sentido cerrar el RDP y dejar los endpoints sin EDR.
La forma de priorizar que aplicamos en nuestras auditorías sigue este orden: primero, eliminar exposición directa a internet (vectores 2 y 9); segundo, controlar accesos remotos y de proveedores (vectores 3 y 4); tercero, proteger los endpoints con detección por comportamiento (vector 7); cuarto, segmentar la red (vector 6); quinto, verificar el backup (vector 8); y finalmente, añadir visibilidad y monitorización continua (vector 10).
El phishing (vector 1) y el software OT sin parcheado (vector 5) son paralelos — no tienen una solución técnica única y requieren una combinación de formación, procesos y medidas compensatorias permanentes.
Lo que distingue una empresa resiliente de una que paga el rescate
No existe la empresa invulnerable. Pero sí existe una diferencia significativa entre las que sufren un incidente y lo contienen en horas, y las que lo sufren y no pueden reanudar operaciones en días.
Esa diferencia no viene del presupuesto de seguridad — viene de haber cerrado los vectores básicos antes de que llegue el incidente. Un RDP sin MFA no cuesta dinero cerrarlo. Un backup aislado y verificado no requiere hardware caro. Una política de acceso de proveedores es un documento y un proceso, no una inversión tecnológica.
Lo que requiere inversión es la monitorización continua y la respuesta activa. Pero esa inversión tiene mucho más valor cuando los vectores básicos están cerrados — porque entonces el sistema de detección no se ahoga en ruido y puede enfocarse en las amenazas reales.
Empresa sin preparación
RDP abierto, sin MFA, antivirus básico, backup en la misma red. Cuando llega el ransomware, cifra todo — incluido el backup. Tiempo de recuperación: 2-3 semanas. Coste: rescate + paralización + reconstrucción.
Empresa con postura básica
VPN con MFA, EDR activo, backup aislado verificado mensualmente, segmentación IT/OT. El ransomware entra pero es contenido en el segmento IT. Producción continúa. Recuperación: 6-24 horas.
La ciberseguridad gestionada como respuesta a la limitación de recursos
El IT Manager de una empresa industrial de 80 empleados no puede monitorizar logs, gestionar alertas, actualizar firewalls, revisar accesos de proveedores y responder a incidentes — además de mantener la infraestructura funcionando. No es un problema de capacidad individual: es un problema de dimensionamiento.
Por eso el modelo de servicios gestionados de seguridad tiene sentido para este segmento. No como sustituto del IT Manager, sino como extensión de su capacidad: la monitorización continua, la gestión de alertas y la respuesta a incidentes quedan cubiertos sin necesidad de contratar un equipo de seguridad propio.
La clave es que el proveedor de seguridad conozca el entorno industrial — los sistemas OT, las restricciones de disponibilidad, los ciclos de producción. Un proveedor genérico que aplica las mismas políticas que en una empresa de servicios no entiende que en una planta no puedes reiniciar el servidor de producción a las 3 de la tarde para aplicar un parche. Conocer el entorno y las herramientas específicas del sector marca la diferencia entre una gestión de seguridad que funciona y una que genera más problemas de los que resuelve.
Los vectores básicos siguen siendo la puerta de entrada. Cerrarlos primero.
El 80% de los incidentes de ransomware en pymes industriales que hemos atendido en los últimos dos años entraron por uno de los primeros cuatro vectores de esta lista. RDP sin MFA, phishing, credenciales comprometidas, proveedor sin control. No entraron por vulnerabilidades de día cero ni por técnicas sofisticadas.
Eso significa que la mayor parte del riesgo es abordable sin grandes presupuestos — con prioridad, con proceso y con la voluntad de cerrar lo que está abierto antes de añadir más capas encima.
Si quieres saber qué vectores tiene abiertos tu empresa, empezamos con una revisión de superficie de ataque sin coste. Sin compromiso y sin informe de 80 páginas que nadie lee.
Solicitar revisión de superficie de ataque