Los sistemas OT y BMS son los que controlan el mundo físico de una organización: refrigeración, climatización, energía, accesos, procesos industriales...
Están conectados a la red, a menudo son accesibles desde el exterior y, a diferencia de un servidor o un portátil, rara vez aparecen en el inventario del departamento de IT. Un atacante que los manipula no roba datos: estropea producto, detiene una fábrica o compromete la seguridad de las personas.
En las últimas semanas hemos visto esto ocurrir en serie.
- La madrugada del 2 de noviembre de 2026, una oleada coordinada manipuló de forma remota los sistemas de control de temperatura de supermercados en al menos cinco países europeos.
- En Suecia, la cadena ICA reconoció ataques en varias tiendas, con equipos que llegaron a marcar 50 grados. En Irlanda, Musgrave, propietaria de SuperValu, lo circunscribió a un modelo concreto de equipo de refrigeración instalado en trece supermercados.
- En Bélgica, Delhaize detectó subidas de temperatura en sus sistemas de frío. Un almacén de congelados pasó de los veinte grados bajo cero habituales a diez bajo cero.
No era la primera vez.
En la noche del 11 al 12 de octubre ya habían sido atacados los sistemas de refrigeración de cientos de supermercados franceses de cadenas como Intermarché, Carrefour, Leclerc, Coopérative U y Monoprix.
¿Por qué el caso del banco de sangre francés es el más revelador?
El mismo 2 de noviembre, el Établissement Français du Sang, el organismo que gestiona la sangre en toda Francia, detectó que los umbrales de temperatura y descongelación de tres de sus centros de almacenamiento de plasma habían sido elevados a niveles extremadamente altos. Sus alarmas saltaron, los técnicos de guardia intervinieron y no se perdió ningún producto sanguíneo. La agencia nacional de ciberseguridad francesa y el Ministerio de Sanidad investigan el incidente.
Pero lo importante no es eso. El ataque no entró por el banco de sangre: entró por Coolworld, la empresa que le suministra y mantiene los equipos de refrigeración.
Dicho de otra forma: una organización con un nivel de protección razonable, con alarmas que funcionaron y con personal de guardia que reaccionó a tiempo, se vio comprometida a través de un sistema que ella no había instalado, que no gestionaba y que es probable que no figurase en el inventario de infraestructura que gestiona IT.
Ese es el patrón que llevamos años advirtiendo a nuestros clientes y trasladando en distintos foros: asociar la ciberseguridad exclusivamente al entorno IT es un error.
¿Qué son los sistemas OT y BMS, y por qué nadie los vigila?
OT, operational technology, es la tecnología que controla procesos físicos. BMS, building management system, es el sistema que gestiona un edificio: climatización, refrigeración, iluminación, energía, control de accesos.
El problema no es que sean inseguros por naturaleza. El problema es de propiedad.
Estas instalaciones las realizan ingenierías, fabricantes o proveedores externos, y quedan fuera del inventario y del control habitual del equipo tecnológico de la organización. En muchos casos ni siquiera se sabe que existen, a pesar de que pueden estar conectados y ser accesibles desde internet. Y, aunque se sepa que existen, no es nada extraño que estén instalados con las credenciales por defecto, un usuario y contraseña que cualquiera puede encontrar en el manual o en internet.
Nadie los parchea, porque nadie se siente dueño. Nadie revisa quién accede a ellos, porque el acceso lo tiene el instalador. Y nadie los monitoriza, porque no están en el SIEM.
¿Esto tiene que ver con NIS2?
Directamente.
NIS2 incluye entre sus medidas obligatorias la seguridad de la cadena de suministro y las relaciones con proveedores y prestadores de servicios. El caso del EFS es exactamente el escenario que esa medida persigue: una entidad comprometida a través de un tercero con acceso a sus instalaciones.
Y conviene subrayar algo para las empresas que creen que NIS2 no va con ellas por tamaño o por sector: si eres el proveedor que instala y mantiene los equipos de frío de una cadena de supermercados o de un hospital, vas a recibir requisitos de ciberseguridad de tus clientes, estés o no dentro del ámbito de la Directiva.
¿Qué puede comprobar una empresa esta semana?
Cinco preguntas que no requieren ningún proyecto para empezar a responderlas:
- ¿Qué instalaciones conectadas tenemos que no gestiona IT? Refrigeración, climatización, control de accesos, videovigilancia, fotovoltaica, básculas, líneas de producción. El inventario es el punto de partida de todo lo demás.
- ¿Quién accede a ellas y desde dónde? Normalmente el fabricante o la ingeniería, por acceso remoto, con credenciales compartidas y sin segundo factor. Saber cuántos accesos de ese tipo existen suele ser revelador.
- ¿Están aisladas de la red corporativa? Y la pregunta inversa, que es la que casi nadie se hace: ¿están accesibles desde internet?
- ¿Las alarmas avisan a alguien que pueda actuar? En el caso del EFS esto marcó la diferencia entre un susto y una pérdida. Una alarma que suena en una pantalla que nadie mira a las tres de la madrugada no es una alarma.
- ¿Qué dice el contrato con el instalador sobre ciberseguridad? Mantenimiento de versiones, gestión de credenciales, notificación de incidentes. En la mayoría de contratos de instalación no dice nada.
¿Y la inteligencia artificial?
Es un factor nuevo que hay que considerar en las dos direcciones. Puede facilitar enormemente el trabajo del atacante, acelerando el análisis de aplicaciones, sistemas y protocolos industriales hasta encontrar la vulnerabilidad. Pero también tiene que convertirse en aliada para identificar riesgos, anticiparse y desarrollar protecciones más eficaces.
En GrayHats no queremos limitarnos a advertir del problema.
Estamos movilizando recursos y trabajando con actores relevantes del sector para encontrar soluciones capaces de detectar y, cuando sea posible, detener ataques contra instalaciones BMS, con independencia del tipo de edificio.
La ciberseguridad ya no consiste únicamente en proteger los datos y los sistemas informáticos.
Consiste también en proteger aquello que hace funcionar el mundo físico. Y después de estas semanas, la pregunta ya no es si puede pasar: es si sabemos qué tenemos conectado....
Antonio Moreno.
COO en GrayHats.
© Grayhats | Blog
¿Sabes qué instalaciones conectadas tienes fuera del control de IT?
Localizamos contigo los sistemas OT y BMS de tu organización, quién accede a ellos y qué está expuesto hacia el exterior, empezando por lo que no figura en ningún inventario.