Ciberseguridad en Vaca Muerta: “Los ataques no descansan, están las 24 horas tratando de entrar a una empresa”

La transformación tecnológica que atraviesa la industria energética tiene una contracara que comienza a ocupar un lugar cada vez más importante en las agendas empresariales: la ciberseguridad.

Durante una entrevista en Desafío Energético, el licenciado Luis Muñoz, cofounder de Solution-IT y especialista en seguridad informática, explicó cómo operan los ciberdelincuentes, cuáles son las principales vulnerabilidades de las empresas y por qué el crecimiento acelerado que experimentan muchas compañías vinculadas con Vaca Muerta puede convertirse también en una puerta de entrada para los ataques.

El tema surgió a partir de los episodios que vienen poniendo bajo la lupa la seguridad informática de empresas de infraestructura energética, con Oldelval como disparador de la conversación. Para Muñoz, uno de los principales problemas es que todavía existe una tendencia empresarial a reaccionar después del ataque y no antes.

“Es un tema delicado de las empresas que a veces no le dan mucha bolilla, pero cuando pasan las cosas sí realmente empiezan a reaccionar y ahí empiezan a darle un poco a la inversión y a todos los mecanismos de protocolos de seguridad”, señaló.

Los ataques que nunca llegan a conocerse

El especialista planteó además un punto que dificulta dimensionar verdaderamente el fenómeno: muchos incidentes de seguridad informática nunca se hacen públicos.

Según relató, su empresa intervino en compañías que sufrieron tanto ataques externos como incidentes internos que no trascendieron a los medios.

“Hay un montón de casos también que no están dentro del radar de la comunicación o de los medios”, explicó Muñoz, quien remarcó que un ataque puede comprometer información de la propia empresa, de sus clientes y también de sus trabajadores.

Esto significa que las estadísticas conocidas probablemente representen solamente una parte de un problema mucho mayor.

En el petróleo y el gas esa situación adquiere una relevancia adicional. Ya no se trata únicamente del eventual robo de una base de datos o de la imposibilidad de acceder a una computadora. La digitalización atraviesa prácticamente todos los procesos empresariales y, a medida que aumenta la dependencia tecnológica, también crecen las consecuencias potenciales de una interrupción.

El empleado puede ser la puerta de entrada

Muñoz explicó que muchos ataques comienzan mucho antes de que un delincuente logre ingresar efectivamente al sistema de una empresa.

Primero aparece la denominada ingeniería social: estudiar cómo funciona una organización, quiénes trabajan allí y dónde pueden encontrarse sus puntos débiles.

Y uno de los principales puntos vulnerables sigue siendo el factor humano.

Un correo electrónico aparentemente legítimo, una factura, un documento o el acceso a una página falsa pueden alcanzar para iniciar el ataque.

“Por lo general siempre coinciden que son el personal. Arranca con el personal, le mandan un mail, le mandan un phishing, un mail con un engaño, entran, ven una factura, ven un documento, lo abren”, describió.

A partir de allí puede instalarse una puerta trasera —conocida técnicamente como backdoor— que permite al atacante comenzar a observar el funcionamiento de la computadora y posteriormente avanzar dentro de la red de la organización.

La conclusión de Muñoz es directa: instalar programas de protección no alcanza. La capacitación permanente de quienes trabajan dentro de la compañía forma parte de la primera barrera de defensa.

Inteligencia artificial: una herramienta y un nuevo riesgo

La irrupción de la inteligencia artificial agrega otra dimensión al problema.

Muñoz diferenció claramente entre utilizar una herramienta de inteligencia artificial y estar técnicamente preparado para implementarla dentro de la infraestructura de una empresa.

La facilidad actual para generar aplicaciones, automatizaciones, prototipos o desarrollos mediante IA puede generar una peligrosa sensación de seguridad.

“Casi cualquier persona puede utilizar la inteligencia artificial y preparar una herramienta, una solución, un prototipo, pero no todos saben ponerlo en marcha con los protocolos de seguridad, con la arquitectura que corresponde, con la escalabilidad correcta”, sostuvo.

El problema aparece cuando una herramienta funciona aparentemente bien, pero detrás existen fallas de arquitectura, credenciales expuestas, información sensible o código que nunca fue revisado por especialistas.

Para Muñoz, la democratización de la IA no elimina la necesidad del conocimiento profesional. Por el contrario, puede hacerla todavía más necesaria.

La inteligencia artificial también incrementa la capacidad de quienes buscan atacar sistemas.

“Esto no descansa. Están 24 horas tratando de entrar a una empresa en cualquier momento con cualquier tipo de tecnología y hoy más potencia con la inteligencia artificial”, advirtió.

Las pymes de Vaca Muerta frente a un riesgo particular

Uno de los puntos centrales de la entrevista estuvo dirigido a las pequeñas y medianas empresas.

Vaca Muerta produjo durante los últimos años procesos de crecimiento muy acelerados. Una pequeña compañía puede conseguir un contrato con una operadora y necesitar incorporar decenas de trabajadores, computadoras, servidores y nuevos sistemas prácticamente de un día para otro.

Muñoz explicó que allí puede aparecer una vulnerabilidad importante. Una empresa puede invertir para ampliar su estructura productiva pero relegar la inversión destinada a proteger esa misma estructura.

“Las pymes tienen un proceso muy exponencial de crecimiento. Son pequeños y de repente agarran un contrato grande con YPF o con una operadora y tienen que contratar, no sé, 40 personas, 40 computadoras nuevas, una infraestructura nueva donde tienen que invertir en servidores”, explicó.

El problema, sostuvo, es que esa expansión no siempre contempla desde el comienzo la posibilidad de sufrir un ataque.

“La inversión en realidad tiene que ser antes”, remarcó.

La comparación que utilizó es sencilla: ocurre algo similar a contratar un seguro después de haber sufrido un robo.

Saber de computadoras no significa saber de ciberseguridad

Otro concepto que apareció durante la conversación fue la necesidad de profesionalizar la seguridad informática.

Tener dentro de una empresa a una persona que maneje computadoras, sistemas o programas no implica necesariamente contar con alguien especializado en prevenir o responder ante ataques.

Muñoz explicó que la ciberseguridad constituye una especialización específica dentro del universo informático, del mismo modo que existen profesionales dedicados al desarrollo de software, la infraestructura o la integración tecnológica.

Por eso recomendó que la seguridad acompañe cada etapa del crecimiento de una empresa y forme parte de su matriz de riesgos.

También planteó la necesidad de incorporar capacitaciones periódicas para los trabajadores destinadas específicamente al manejo de información sensible, las modalidades de engaño y las nuevas formas de ataque.

Ransomware: cuando la empresa pierde el control de su propia información

Uno de los ataques más conocidos es el ransomware.

El mecanismo consiste básicamente en ingresar al sistema, cifrar los archivos y quitarle a la empresa la posibilidad de acceder a su propia información.

Luego aparece el pedido de rescate. “Te encriptan la información y vos tenés la documentación pero como con un candadito. Te la secuestran y te dicen: yo te voy a dar la llave si vos me pagás en bitcoin”, explicó Muñoz.

Pero incluso pagar no ofrece ninguna garantía. Una vez transferido el dinero, nada obliga al atacante a entregar efectivamente las claves necesarias para recuperar la información.

Muñoz contó incluso haber intervenido en compañías que llegaron a situaciones extremas como consecuencia de un ataque.

Según relató, uno de sus clientes quedó en una condición tan crítica que no podía siquiera liquidar los salarios de sus trabajadores y sus propietarios llegaron a considerar el pago del rescate como prácticamente la única salida posible.

Finalmente lograron revertir la situación sin llegar a ese punto.

En Vaca Muerta, la ciberseguridad también es infraestructura

La entrevista deja una advertencia particularmente importante para una región en la que empresas grandes, medianas y pequeñas atraviesan procesos acelerados de digitalización.

En Vaca Muerta se habla habitualmente de infraestructura pensando en rutas, ductos, plantas, líneas eléctricas, equipos de perforación o capacidad de transporte.

Pero existe otra infraestructura, menos visible, sobre la cual funcionan cada vez más procesos de las compañías: servidores, redes, software, bases de datos, comunicaciones y sistemas de gestión.

Proteger esa infraestructura ya no puede considerarse un gasto accesorio.

Un ataque puede paralizar una empresa, impedir una facturación, bloquear documentación, comprometer información de clientes o trabajadores e incluso afectar la continuidad de sus operaciones.

Por eso, el principal mensaje que dejó Muñoz durante su paso por Desafío Energético es que la seguridad debe construirse antes del problema y no después.

Porque mientras una empresa puede decidir postergar una inversión, del otro lado ocurre exactamente lo contrario: quienes buscan una vulnerabilidad continúan trabajando las 24 horas.

La entrevista completa con el licenciado Luis Muñoz puede verse en el canal de YouTube de Desafío Energético.