Puede empezar como una alerta de sistemas, pero terminar como un problema de planta. A primera hora, la línea debería estar produciendo. Los operarios están listos, los pedidos ya fueron comprometidos y el depósito espera liberar los primeros despachos. Sin embargo, algo no responde. El sistema de gestión de producción no carga, las órdenes no aparecen, el inventario no se actualiza y el área de logística no puede confirmar qué sale y qué queda retenido.
En una empresa industrial, esa escena ya no pertenece al terreno de la ciencia ficción. Tampoco implica necesariamente que un atacante haya manipulado directamente un robot, un PLC o un sistema SCADA.
En la Industria 4.0, un incidente informático puede transformarse rápidamente en una interrupción operativa. La pregunta, entonces, cambia. El ransomware ya no debería medirse solo por la cantidad de archivos cifrados, el monto del rescate o la eventual filtración de información. Para una fábrica, la pregunta más urgente es otra: cuántas horas estuvo detenida la operación y cuánto costó volver a producir.
Índice de temas
El error de mirar el ransomware como un problema de IT
Datos recientes muestran por qué el tema se volvió crítico. Dragos, una compañía estadounidense especializada en ciberseguridad para entornos industriales y tecnología operativa, identificó 742 incidentes de ransomware que afectaron a entidades industriales en todo el mundo durante el tercer trimestre de 2025, es decir, entre julio y septiembre de ese año.
Dentro de ese universo global, manufactura fue el sector más golpeado y concentró el 72% de los incidentes registrados, con 532 casos. La compañía también señaló que Norteamérica fue la región más atacada en ese trimestre, seguida por Europa y Asia, según su análisis.
Por qué la Industria 4.0 amplifica el impacto
La amenaza para el sector crece porque la industria no puede permitirse parar. Honeywell, grupo industrial estadounidense con negocios en automatización industrial, informó que los ataques de ransomware contra operadores industriales aumentaron globalmente un 46% entre el cuarto trimestre de 2024 y el primer trimestre de 2025.
El dato surge del Honeywell 2025 Cybersecurity Threat Report, elaborado a partir del análisis de más de 250.000 millones de logs, 79 millones de archivos y 4.600 eventos de incidentes bloqueados.
El mismo reporte también registró un salto del 3.000% en el uso de un troyano diseñado para robar credenciales de operadores industriales. Paul Smith, director de OT Cybersecurity Engineering de Honeywell y autor del informe, lo resumió con una frase que explica por qué estos sectores son blancos atractivos: las operaciones industriales “must avoid unplanned downtime”, es decir, deben evitar las paradas no planificadas tanto como sea posible.
No hace falta hackear una máquina para frenar una fábrica
El ransomware monetiza la urgencia. Una compañía que tiene entregas comprometidas, turnos de producción, acuerdos de nivel de servicio, contratos con clientes industriales o cadenas logísticas ajustadas tiene menos margen para esperar.
El ransomware industrial puede detener una fábrica sin “hackear” ninguna máquina. Dragos cita el caso de Asahi Group Holdings, un grupo japonés de bebidas y alimentos, que reportó demoras en la producción y la logística tras una intrusión atribuida al grupo de ciberdelincuencia Qilin. La lectura de Dragos es que el ransomware en entornos IT empresariales puede escalar hacia disrupciones manufactureras aun sin acceso directo confirmado a redes ICS.
El mismo patrón aparece en otros escenarios. Si se bloquea el Active Directory, los usuarios no acceden a aplicaciones críticas. Si se compromete un servidor de ingeniería, puede quedar en duda la integridad de las configuraciones. Si cae el ERP, producción no recibe órdenes. órdenes.
En todos los casos, la operación se ve afectada. El atacante no necesita mover un robot si puede bloquear el sistema que le indica qué producir, cuándo hacerlo y adónde enviar el resultado.
Dale Peterson, referente en ciberseguridad ICS/OT, sostiene que “la mayoría de los ciberataques que causan interrupciones en las operaciones nunca llegan a la red o los sistemas OT”, y agrega que “el informe de amenazas de 2024 de ICS STRIVE/Waterfall Security Solutions indicó que solo el 24 % de los ciberataques con impacto físico en las operaciones, reportados públicamente, fueron ataques que comprometieron los sistemas o dispositivos OT”.
Por su parte, Allan Liska, analista de threat intelligence en Recorded Future y especialista en ransomware,
La zona gris: cuando IT cae y OT decide parar por precaución
Muchas veces la operación no se detiene porque el atacante haya tomado control directo de una máquina. Se detiene porque la empresa no sabe con certeza hasta dónde llegó el incidente. En entornos donde IT y OT están conectados, esa incertidumbre puede ser suficiente para activar una decisión preventiva como aislar redes, suspender accesos remotos, frenar despachos o detener temporalmente una línea.
Esa es una zona gris cada vez más relevante. Si la organización no tiene visibilidad clara sobre sus activos, sus dependencias y sus conexiones entre sistemas corporativos y sistemas industriales, el margen de decisión se achica. La incertidumbre también detiene operaciones.
El problema se agrava cuando los sistemas tercerizados forman parte del flujo operativo. Un proveedor externo puede administrar una plataforma, asistir remotamente una celda, mantener un software industrial o intervenir sobre equipos críticos. Si no hay trazabilidad y segmentación, una crisis que empieza fuera de la planta puede terminar afectando la producción.
Qué deberían revisar las empresas de automatización y sus clientes
BASE4 Security, compañía argentina especializada en ciberseguridad ofensiva, investigación y protección de entornos digitales, sostiene en una nota técnica sobre ransomware que esta amenaza “paraliza las operaciones” de empresas, gobiernos e instituciones.
Entre las prácticas que enumera BASE4 aparecen backups, pruebas periódicas de recuperación, capacitación, autenticación multifactor, segmentación de redes y herramientas de detección y respuesta. La compañía explica que la segmentación de redes limita la propagación del ransomware y recomienda separar sistemas críticos, usuarios finales y dispositivos IoT, controlar el tráfico interno y aplicar principios de acceso mínimo.
BASE4 también recomienda realizar copias de seguridad periódicas y probar escenarios de recuperación para verificar que los respaldos funcionen y estén actualizados.
Esa lógica, trasladada a Industria 4.0, apunta a contener el incidente antes de que un problema corporativo se convierta en una parada industrial.
Las empresas deberían hacerse preguntas muy concretas:
- Qué sistemas digitales son indispensables para producir.
- Cuánto cuesta una hora de línea parada.
- Qué proveedores tienen acceso remoto a entornos críticos.
- Qué procesos pueden seguir funcionando en modo degradado.
- Qué backups industriales existen y cuándo fueron probados.
- Quién decide si una línea se detiene por precaución.
- Qué información se comunica a clientes si una entrega se demora.
BASE4 también destaca el rol de un Centro de Operaciones de Seguridad, o SOC, como equipo especializado en monitorear, detectar y responder a amenazas
