La electricidad, el agua, los combustibles y la minería de la región corren sobre tecnología operacional (OT) y sistemas de control industrial (ICS) — y cada vez más conectada. América Latina ya figura entre las regiones más expuestas del mundo a ataques industriales, pero con una capa regulatoria todavía joven. Este es el panorama de riesgo OT/ICS en LATAM, con foco en Chile y datos de la región.
Sobre los datos. Buena parte de las cifras provienen de informes de proveedores de seguridad y de prensa especializada; muchas no distinguen entre TI y OT y mezclan periodos. Conviene tomarlas como señal de tendencia, no como verdad absoluta, y verificar contra los informes originales antes de usarlas en un documento formal.
1. El panorama en cifras
- ~20% de los equipos industriales en LATAM tuvieron amenazas detectadas y bloqueadas (Kaspersky ICS CERT, 2025); la región aparece como una de las más expuestas del mundo en sistemas OT.
- 31,3% de las víctimas de ransomware en LATAM (338 de 1.080, ene-2025 a sep-2026) fueron infraestructura crítica, un +28% interanual (reporte Entel Digital vía DF Lab). Transporte y logística (27,8%) y energía/combustibles/agua/saneamiento (22,2%) encabezan.
- +40% de actividad de grupos interesados en comprometer sistemas industriales en 2025 (Dragos, dato global, no solo LATAM).
- US$3,81M de costo promedio de una brecha en la región (IBM, citado en análisis regionales).
2. Por qué LATAM es terreno fértil
- Convergencia IT/OT: plantas antes aisladas hoy conectadas a la red corporativa e internet, sin la segmentación que eso exige.
- Legacy industrial: PLCs y SCADA de décadas, con protocolos sin autenticación (Modbus, DNP3) y sin posibilidad de parchear en caliente.
- Acceso remoto: el vector estrella es el phishing dirigido a personal técnico para robar credenciales de VPN/pasarelas de acceso remoto industrial.
- Gobernanza fragmentada: amenazas transnacionales enfrentadas país por país; varios Estados aún sin un CERT nacional operando de forma continua.
3. Casos que marcaron la región
| Caso | Qué pasó | Alcance |
|---|---|---|
| EPM (Colombia, dic-2022) | Ransomware BlackCat/ALPHV a la mayor empresa de energía, agua y gas de Medellín | Operación interrumpida, ~4.000 empleados a casa, clientes de prepago afectados |
| Air-e (Colombia, sep-2024) | Ransomware a distribuidora eléctrica | Caída de servicios en línea (pago de facturas) |
| Costa Rica (2022) | Conti contra el Estado | Emergencia nacional; servicios públicos paralizados |
| Pemex (México, 2019) | Ransomware a sistemas administrativos/pago | Contenido según la empresa; dudas sobre el alcance |
Matiz clave. En los casos públicos confirmados, el impacto fue sobre TI (facturación, portales, operación comercial), no un compromiso probado del control industrial. Pero el efecto en el servicio fue real: cuando la TI cae, la OT a menudo se detiene por precaución. La frontera IT/OT es justo donde se juega el riesgo.
4. El megacorte de Chile del 25-F (2025): cuando el riesgo no requiere un atacante
El 25 de febrero de 2025, Chile sufrió el peor apagón en décadas: un corte que se extendió desde Arica hasta Los Lagos y dejó sin suministro a cerca de 19 millones de personas, con decreto de estado de excepción y toque de queda, y un restablecimiento total que tomó más de 18 horas. No fue un ciberataque — y precisamente por eso es un caso de estudio obligado para OT.
Según el informe del Coordinador Eléctrico Nacional (CEN), el origen estuvo en una intervención no autorizada: personal de ISA InterChile manipuló el canal de comunicaciones de la función de protección diferencial (87L) de la línea 2×500 kV Nueva Maitencillo – Nueva Pan de Azúcar, sin permiso de trabajo ni aviso al Coordinador. La activación indebida de la protección desconectó ambos circuitos de 500 kV; la carga se transfirió al sistema paralelo de 220 kV, cuyos circuitos también abrieron por protección, y la caída de frecuencia en el sur arrastró al colapso total del sistema.
Por qué un fallo "no-cyber" importa a la ciberseguridad OT. El 25-F no tuvo atacante, pero expone las tres grietas que un atacante sí explotaría: (1) un cambio sin control sobre un sistema de protección se propaga en segundos a todo el SEN; (2) la falta de coordinación y notificación con el operador del sistema (el CEN) es, a la vez, un problema operativo y de gobernanza de ciberseguridad; y (3) ese mismo canal de comunicaciones de la 87L que se manipuló por error es una superficie de ataque: una manipulación maliciosa produciría un efecto igual o peor. La lección es directa: el control de cambios, la segmentación y el estándar de ciberseguridad del sector no son burocracia, son lo que evita el próximo colapso.
5. Chile: el marco regulatorio (Ley 21.663, la ANCI y el estándar del CEN)
Chile dio un salto con la Ley 21.663, Ley Marco de Ciberseguridad, que crea la ANCI (Agencia Nacional de Ciberseguridad) y el CSIRT Nacional. Define dos categorías de obligados:
- OIV — Operadores de Importancia Vital: entidades cuya interrupción afectaría gravemente la seguridad o continuidad del país.
- OSE — Servicios Esenciales (energía, agua, telecom, salud, banca, transporte…), con obligaciones de segundo nivel.
Los obligados deben implementar medidas técnicas y organizativas, mantener un plan de respuesta y reportar incidentes significativos a la ANCI en plazos acotados (algunas fuentes citan hasta 3 horas para el reporte inicial). En energía, la matriz supervisora es especialmente compleja: coexisten SEC, CNE y el Coordinador Eléctrico Nacional con la nueva ANCI — algo que todo programa OT en Chile debe considerar.
El estándar del CEN para el sector eléctrico (NERC-CIP SEN). Además de la Ley 21.663, el sector eléctrico chileno cuenta con un marco propio: el Estándar de Ciberseguridad para el Sector Eléctrico Nacional que publicó el Coordinador Eléctrico Nacional, construido sobre NERC CIP (adaptado localmente como NERC-CIP SEN) por instrucción de la SEC. Aplica tanto al propio Coordinador como a las empresas coordinadas —las “Entidades Responsables”— con exigencias graduadas según la categoría de impacto de cada activo (alto / medio / bajo).
| Obligación del coordinado | En qué consiste |
|---|---|
| Autoevaluación | Evaluar sus propias medidas de ciberseguridad contra el estándar |
| Informe anual de cumplimiento | Reportarlo al CEN, que puede notificar incumplimientos a la SEC |
| Reporte de incidentes | Notificar incidentes y amenazas de ciberseguridad al CEN, que los escala a la SEC y demás autoridades |
| Categorización de activos | Clasificar instalaciones por impacto para definir los controles aplicables |
Para supervisar su implementación, el Coordinador creó una Unidad de Ciberseguridad e Infraestructura Crítica, cuyo responsable actúa como CIP Officer y vigila el cumplimiento propio y el de los coordinados (las fuentes citan entre 370 y más de 500 entidades sujetas; cifra a verificar). Para una empresa eléctrica esto implica convivir con dos capas: el estándar sectorial del CEN (supervisado por SEC/CEN) y la capa de la Ley 21.663/ANCI.
Verificar fechas y obligaciones. Las fuentes difieren sobre la entrada en vigor de la Ley 21.663 (1-ene-2025, 1-mar-2025) y el inicio de operaciones de la ANCI (2-ene-2025). Del mismo modo, el texto del estándar del CEN y el número de entidades sujetas se actualizan. Contrastar siempre contra el Diario Oficial, el sitio de la ANCI y las publicaciones del Coordinador Eléctrico Nacional / SEC antes de citar una fecha u obligación.
6. El vector real (no el de película)
El ataque OT rara vez empieza en el PLC. El camino típico es IT → OT:
phishing a un ingeniero → credenciales de VPN/acceso remoto
→ pivote desde la red corporativa (IT)
→ salto a la red industrial mal segmentada (OT)
→ ransomware/parada de producción (o, en el peor caso, manipulación de proceso)Por eso la defensa OT no es “comprar un firewall industrial”, sino cerrar la frontera IT/OT y vigilar el acceso remoto.
7. Cómo defender OT/ICS
- Segmentación zonas y conductos (IEC 62443) sobre el modelo Purdue: separar IT de OT con cortafuegos y DMZ industrial; definir niveles de seguridad objetivo/alcanzado (SL-T/SL-A) por zona.
- Controlar el acceso remoto: MFA obligatorio, jump hosts, y cero credenciales de VPN reutilizadas desde TI.
- Monitoreo pasivo OT: visibilidad de activos y tráfico industrial sin interferir el proceso; mapear técnicas con MITRE ATT&CK for ICS.
- Respuesta conjunta IT + OT: planes y ejercicios donde ingeniería de planta y SOC se sienten juntos (sus prioridades —disponibilidad vs confidencialidad— difieren).
- Marco de referencia: NIST SP 800-82 e IEC 62443 (2-1 programa, 3-2 evaluación de riesgo, 3-3 requisitos del sistema, 4-x ciclo de vida/componentes).
8. Recomendaciones para equipos en LATAM
- Inventariar el OT: no es posible proteger lo que no se sabe que está conectado.
- Asumir la frontera IT/OT como el frente principal: priorizar la segmentación y el control del acceso remoto por sobre el “hardening” del PLC.
- Determinar la posición regulatoria: para una organización que opera en Chile, definir su condición frente a la Ley 21.663 (OIV u OSE) y preparar el reporte a la ANCI antes del incidente; si opera en el sector eléctrico, verificar además su calidad de Entidad Responsable ante el estándar del CEN.
- Entrenar al personal técnico frente al phishing: es el eslabón más explotado de la región.
- Gobernar los cambios: todo trabajo sobre sistemas de protección y control debe contar con permiso, notificación al coordinador del sistema y registro — la lección directa del 25-F.
9. Conclusión
LATAM combina infraestructura crítica cada vez más conectada, parque industrial heredado y una gobernanza en construcción: el resultado es una de las regiones más expuestas del mundo en OT. La buena noticia es que el riesgo dominante no es exótico —es la frontera IT/OT y el acceso remoto— y se defiende con fundamentos conocidos: segmentación, control de acceso y visibilidad. Chile, con la Ley 21.663 y la ANCI, marca el camino regulatorio; el reto ahora es llevarlo a la planta.
Fuentes
- Kaspersky — América Latina enfrenta una ola de ciberataques industriales (20%)
- DF Lab / Entel Digital — Casi un tercio de las víctimas de ransomware en LATAM son infraestructura crítica
- Industrial Cyber — Latin America sees sharp rise in ransomware/hacktivist attacks (2025)
- EPM (Colombia) — BlackCat Ransomware Targets Colombian Energy Supplier EPM · Costa Rica 2022 — Wikipedia
- Ley 21.663 / ANCI — guía Ley Marco de Ciberseguridad · ANCI (sitio oficial)
- Megacorte 25-F (2025) — Apagón de Chile de 2025 (Wikipedia) · informe del Coordinador sobre la intervención no autorizada de ISA InterChile en la protección 87L (Ex-Ante)
- Estándar del CEN / NERC-CIP SEN — Carey (resumen del estándar) · Coordinador Eléctrico Nacional · SEC
- Defensa OT — MITRE ATT&CK for ICS · NIST SP 800-82 Rev.3 · IEC 62443 (zonas y conductos, modelo Purdue)
- Análisis regional — DigiAmericas — Seguridad de la infraestructura crítica en América Latina