Durante años hemos hablado de ciberataques a empresas, a instituciones públicas, incluso a particulares con cierta relevancia. Pero hay un tipo de objetivo que, aunque no siempre ocupa titulares, es clave para la estabilidad de cualquier sociedad: las infraestructuras críticas.
Y el escenario actual no es precisamente halagüeño. La inteligencia artificial generativa ha entrado de lleno también aquí, y no precisamente como aliada.
Como consultor en reputación digital, me he cruzado con numerosos casos donde una mala gestión de riesgos digitales ha acabado teniendo consecuencias muy reales. En este artículo quiero explicarte qué está en juego, cuáles son los principales riesgos para infraestructuras críticas hoy y por qué la IA generativa está acelerando la amenaza.
Y aprovechando que Antonio Villarreal, periodista periodista especializado en ciencia y tecnología para Agencia SINC, me contactó hace unas semanas con el fin de preparar un reportaje sobre ciberseguridad de infraestructuras críticas (ES/de todo tipo, desde energía hasta comunicaciones), entender en qué momento de amenaza estamos y si la inteligencia artificial generativa está incrementando el riesgo de ataques de este tipo, dejo por aquí esta investigación que he hecho para documentarme.
Imagínate recibir de manera totalmente gratuita este tipo de historias directamente en tu correo.
Te envío cada lunes a las 7am un email con toda la actualidad sobre tecnología, seguridad y negocios digitales.¿Qué consideramos infraestructura crítica y por qué deberíamos preocuparnos?
Cuando hablamos de «infraestructura crítica», nos referimos a todo aquello que es esencial para el funcionamiento de un país o una región:
- Centrales eléctricas
- Redes de telecomunicaciones
- Sistemas de agua potable
- Transporte ferroviario o aéreo
- Infraestructura sanitaria y hospitalaria
- Centros de datos gubernamentales
En otras palabras: todo lo que, si se cae, puede generar un caos social, económico y reputacional.
Durante mucho tiempo, estas infraestructuras se mantuvieron aisladas digitalmente. Un entorno industrial (OT) no necesitaba conectividad con Internet, y eso les daba una capa extra de seguridad.
Pero hoy todo está conectado. Se buscan eficiencias, control remoto, automatización… y esa conexión, si no se hace bien, abre una puerta que no siempre se sabe cerrar.
Los riesgos actuales: un cóctel de vectores que no para de crecer
No estamos hablando de simples virus o ataques masivos sin dirección. Aquí el riesgo principal viene de actores con motivaciones claras, recursos y tiempo.
1. Ataques patrocinados por Estados (APT)
Muchos países han entendido que es más barato y eficaz debilitar a un enemigo digitalmente que lanzar misiles.
Las APT (Advanced Persistent Threats) operan con discreción, se infiltran en redes durante meses y atacan cuando menos se espera.
2. Ransomware industrial
No hablamos solo de cifrar ordenadores, sino de paralizar cadenas de producción enteras, sistemas de energía o transporte.
Lo hemos visto con Colonial Pipeline (EE.UU., 2021), y no será el último caso.
3. Accesos comprometidos en venta en la dark web
Hay una economía subterránea donde se venden accesos a redes de empresas, incluidos entornos críticos.
Un atacante no necesita entrar desde cero: puede comprar la llave.
Por mucho firewall que tengas, si un operario abre un adjunto falso o cae en una llamada bien diseñada, se acabó.
Y aquí es donde la IA generativa lo está cambiando todo.
¿Estamos realmente preparados para defendernos?
La respuesta rápida: tenemos la tecnología, pero fallamos en estrategia, inversión y concienciación.
He trabajado con organizaciones grandes que no sabían ni qué activos estaban conectados a Internet.
Con empresas del sector público que tenían contraseñas tipo admin123.
Y con equipos IT que, por falta de personal o recursos, no podían parchear sistemas críticos durante meses.
Esto no es una excepción. Es la norma.
¿Qué deberíamos tener?
- Segmentación de redes OT y IT
- Herramientas de detección proactiva de anomalías
- Planes de respuesta ante incidentes reales, testados y documentados
- Auditorías constantes de seguridad, internas y externas
- Formación continua a todo el personal (no solo técnicos)
Pero sobre todo: una cultura de ciberseguridad transversal. No basta con que el CISO sepa lo que hay que hacer.
Necesitamos que el CEO lo entienda, que el operario lo aplique y que el proveedor externo lo respete.
La irrupción de la IA generativa: cuando el enemigo aprende a tu ritmo
Hasta hace poco, la mayoría de los ciberataques masivos se basaban en patrones repetitivos: un correo sospechoso, un archivo infectado… cosas que un buen filtro podía bloquear.
La llegada de la IA generativa lo cambia todo. ¿Por qué?
1. Phishing hiperrealista
Antes los correos de suplantación eran fáciles de detectar por errores gramaticales o un lenguaje extraño. Hoy, un atacante puede usar un LLM para escribir un mensaje perfecto en tu idioma, con tono corporativo, y personalizado con tus datos reales.
Tengo preparado, por cierto, un episodio próximo del podcast con una campaña hiper efectiva de este tipo.
Prepárate que vienen curvas…
2. Deepfakes de voz y vídeo
Hemos tenido ya casos de empleados que transfieren dinero o abren accesos porque reciben una llamada de su “jefe” que en realidad es una imitación generada por IA.
El problema no es técnico.
Es humano.
¿Tú dudarías de una videollamada de tu superior si parece real y está bien hecha?
3. Automatización de scripts maliciosos
Cualquier grupo de ciberdelincuentes puede pedirle a un modelo generativo que le escriba código que explote vulnerabilidades conocidas, o incluso diseñar malware evasivo.
Lo hace en segundos.
Y puede repetirlo miles de veces hasta que algo cuela.
4. Documentación técnica falsa
Se están usando IAs para crear manuales de mantenimiento falsos, informes de seguridad manipulados, o hasta mensajes firmados digitalmente que parecen auténticos. Imagina el daño que eso puede causar si se usa dentro de una central nuclear o una red de distribución eléctrica.
El gran peligro: el efecto combinado
Por separado, estas amenazas ya son graves. Pero cuando las combinas —un phishing convincente, una IA generando acceso, un fallo humano, una red mal segmentada— el resultado es devastador.
Y las infraestructuras críticas no tienen margen para el error.
- Si cae una red de hospitales, hay vidas en juego.
- Si se para una planta de energía, hablamos de millones de euros por hora.
- Si el sistema de comunicaciones es vulnerable a actores maliciosos externos, ESTAMOS VENDIDOS.
Y eso, sin contar con el daño reputacional, que en muchos casos es incluso más difícil de reparar que el técnico.
¿Qué pueden hacer los responsables de estas infraestructuras?
Voy a ser claro: ninguna infraestructura crítica puede permitirse ignorar la ciberseguridad en 2025.
Y menos aún su conexión con la IA.
Estas son mis recomendaciones principales desde la experiencia trabajando con empresas e instituciones que gestionan entornos sensibles:
- Mapea todos los activos conectados: si no sabes qué tienes expuesto, no puedes protegerlo.
- Haz simulacros reales de ciberataques: no vale con tener un documento en una carpeta. Ensaya.
- Invierte en talento y forma continuamente a tu equipo: la tecnología sin personas no sirve.
- Asegúrate de que el plan de continuidad de negocio contemple ataques dirigidos: muchos aún no lo hacen.
- Asóciate con expertos externos que te ayuden a ver lo que tú no ves desde dentro.
Y sobre todo: revisa tu estrategia de presencia digital, porque si tú no estás controlando qué se dice sobre ti y qué puertas digitales tienes abiertas, lo está haciendo otro.
Conclusión: la tormenta perfecta ya está aquí
No es ciencia ficción. No es alarmismo. Es la realidad que estamos viendo cada semana desde la trinchera.
La IA generativa ha multiplicado las capacidades de los atacantes, y las infraestructuras críticas están entre los objetivos más valiosos. Si no lo estás tomando en serio, lo harás cuando ya sea tarde.
¿Te parece exagerado? Díselo a los operadores de Colonial Pipeline. O a las compañías eléctricas que han tenido que pagar millones por no haber segmentado su red. O a los hospitales que han tenido que cerrar durante días tras un ransomware.
En ciberseguridad, no se trata de si te van a atacar. Es de cuándo.
Y en el caso de infraestructuras críticas, el coste del fallo es simplemente inasumible.
