Cinco agencias federales confirmaron una campaña activa contra controladores industriales de todas las generaciones S7, con scripts generados por IA que se disfrazan de herramientas de monitoreo legítimas.
NSA, CISA, FBI, DOE y EPA emitieron esta semana el aviso conjunto CISA AA26-231A sobre ataques en curso contra controladores lógicos programables Siemens S7 desplegados en sectores críticos de Estados Unidos. El documento cubre todas las generaciones del hardware, desde los S7-200 hasta los controladores de seguridad S7-1500 F-series, y aclara desde el primer párrafo que no se trata de un riesgo teórico sino de una amenaza activa. Los atacantes están ejecutando reconocimiento y desarrollo de capacidades contra instalaciones estadounidenses que operan estos dispositivos, utilizando scripts de explotación generados por inteligencia artificial que se presentan como software de monitoreo industrial legítimo.
Cómo los atacantes localizan y mapean los objetivos antes de atacar
La actividad observada se divide en dos fases diferenciadas. Los actores de amenaza primero utilizan servicios de escaneo de Internet como Censys y ZoomEye para localizar PLCs Siemens expuestos directamente a la red pública, priorizando aquellos que ejecutan software desactualizado o carecen de protecciones básicas. Una vez identificados los objetivos, ejecutan operaciones de lectura sobre el protocolo S7comm en el puerto TCP 102 para mapear el entorno: extraen datos de memoria del PLC, configuraciones y programas de lógica ladder sin modificar nada todavía.
Las agencias evalúan esta secuencia como pre-posicionamiento deliberado. Los atacantes están construyendo un mapa detallado de cada instalación objetivo y refinando sus técnicas contra modelos específicos de CPU antes de intentar cualquier operación de escritura que pueda causar disrupción física. El uso de librerías de código abierto como snap7.dll y python-snap7 — herramientas legítimas de automatización industrial — les permite comunicarse directamente con los controladores sin necesidad de desarrollar malware personalizado, lo que dificulta la detección por parte de equipos de seguridad que esperan ver firmas de amenazas conocidas.
Por qué la IA cambia el perfil de riesgo en sistemas de control industrial
El aviso destaca que el uso de inteligencia artificial para generar scripts de explotación representa una evolución en las capacidades de los actores de amenaza, reduciendo drásticamente tanto la experiencia técnica requerida como el tiempo necesario para desarrollar herramientas funcionales contra sistemas ICS. Los atacantes pueden recopilar información pública sobre vulnerabilidades y debilidades, localizar PLCs expuestos y explotables, y usar scripts generados por IA para actuar sobre esa información en ciclos mucho más cortos que antes.
Las agencias advierten que un defensor que parchea una vulnerabilidad puede encontrar que las herramientas del atacante ya se adaptaron antes de que cierre la ventana de cambio. La IA permite a los adversarios pivotar rápidamente hacia vectores de ataque adicionales y ajustarse a medidas defensivas en tiempo casi real, alterando el equilibrio tradicional entre atacante y defensor en entornos OT donde los ciclos de actualización son lentos y las ventanas de mantenimiento escasas.
Qué sectores están bajo ataque y qué puede pasar si los actores pasan de lectura a escritura
Los sectores críticos de infraestructura estadounidense más atacados incluyen manufactura crítica, energía, agua y aguas residuales, químico, alimentos y agricultura, y facilidades comerciales. La Base Industrial de Defensa también aparece identificada como objetivo debido a su uso de hardware S7-series en procesos de fabricación sensibles. Si los atacantes avanzan de operaciones de lectura a operaciones de escritura sobre los PLCs comprometidos, los impactos potenciales incluyen disrupción de procesos industriales, daño físico a equipos, incidentes de seguridad mediante manipulación de interlocks o sistemas de apagado de emergencia, y efectos en cascada a través de cadenas de suministro interconectadas.
El aviso señala la exposición de terceros como un problema específico. Propietarios de activos que dependen de integradores de sistemas o proveedores de servicios gestionados para acceso remoto a PLCs pueden no saber que sus controladores son alcanzables desde Internet. Si un socio de soporte externo mantiene credenciales para dispositivos S7 y no se ha verificado recientemente que esas conexiones estén segmentadas y monitoreadas, este aviso funciona como un disparador para revisar esa arquitectura.
Exposición estructural en América Latina por dependencia del mismo hardware industrial
Aunque el aviso conjunto se enfoca en instalaciones estadounidenses, la dependencia de controladores Siemens S7 en infraestructura crítica latinoamericana es comparable. Argentina, Brasil, México, Chile y Colombia operan PLCs de la misma familia en sectores de energía, agua, manufactura automotriz y petroquímica, frecuentemente con configuraciones de acceso remoto similares a las que están siendo explotadas en Estados Unidos. La práctica de permitir acceso directo desde Internet a controladores industriales para soporte de integradores externos es común en la región, y la capacidad de monitoreo de tráfico S7comm en redes OT es limitada en la mayoría de las instalaciones.
Si los actores de amenaza que están mapeando objetivos estadounidenses deciden expandir su reconocimiento a la región — utilizando los mismos servicios de escaneo y las mismas librerías de código abierto — encontrarían un panorama de exposición estructuralmente similar, con la diferencia de que los equipos de respuesta en América Latina tienen menos acceso a inteligencia de amenazas específica sobre campañas activas contra este tipo de hardware. La ausencia de avisos conjuntos equivalentes emitidos por agencias regionales deja a los operadores locales sin la señal temprana que sus contrapartes estadounidenses recibieron esta semana.
Nuestro análisis
Este aviso confirma un patrón que ya se observaba en ataques previos contra infraestructura industrial: los actores de amenaza están profesionalizando sus operaciones contra sistemas OT utilizando herramientas legítimas de automatización en lugar de malware personalizado, lo que reduce su huella detectable. La novedad aquí es la velocidad de adaptación que introduce la IA generativa. Históricamente, desarrollar un exploit funcional contra un PLC específico requería conocimiento profundo del protocolo S7comm y del modelo de CPU objetivo — una barrera que limitaba este tipo de ataques a actores con recursos significativos. Ahora, esa barrera se está erosionando.
Lo que todavía no sabemos es si los actores detrás de esta campaña tienen intención de ejecutar operaciones de escritura destructivas o si el reconocimiento actual es preparación para un escenario de contingencia que puede no activarse nunca. La fase de lectura puede extenderse meses antes de cualquier acción cinética, o puede ser simplemente mapeo de capacidades sin plan de ejecución inmediato. Pero la pregunta que queda abierta es: si estos actores ya mapearon tu infraestructura y refinaron sus scripts contra tus modelos específicos de PLC, ¿cuánto tiempo te tomaría detectar el momento en que decidan pasar de leer a escribir?