Dragos contabilizó 1.140 incidentes de ransomware que afectaron a organizaciones industriales en el segundo trimestre de 2026, un aumento del 12% respecto al primer trimestre. El hallazgo apunta a un cambio que merece la pena entender: el ransomware dirigido a sistemas OT industriales comienza cada vez más en los sistemas informáticos empresariales que dan soporte a la tecnología operativa, en lugar de en la planta de producción o en la propia sala de control.

El artículo original es breve, y esta publicación se ciñe a lo que indica: la cifra de 1.140, el aumento del 12% trimestral y la observación de que los atacantes abusan cada vez más de los sistemas empresariales que sustentan la OT. Cuando vamos más allá, describimos prácticas generales de seguridad y no nuevos hallazgos.

Qué encontró Dragos en el segundo trimestre de 2026

Según Dragos, 1.140 incidentes de ransomware afectaron a organizaciones industriales en el segundo trimestre de 2026. Eso es un 12% más que en el primer trimestre. La cifra principal importa, pero el detalle más útil es la dirección del esfuerzo de los atacantes: los sistemas empresariales que dan soporte a la OT son cada vez más el punto de entrada.

Para más detalle sobre las cifras subyacentes, consulte nuestro informe complementario, El ransomware del segundo trimestre de 2026 alcanzó a 1.140 empresas industriales a través de TI.

Cómo pasa el ransomware de la TI de oficina a la OT

La tecnología operativa es el hardware y el software que ejecutan procesos físicos, como líneas de producción, distribución eléctrica y tratamiento de agua. La TI es el mundo familiar del correo electrónico, los servidores de archivos, las aplicaciones empresariales y los servicios en la nube. En la mayoría de las organizaciones industriales ambos están conectados, porque los directivos necesitan datos de producción, los ingenieros necesitan archivos de diseño y los proveedores necesitan acceso.

Esas conexiones son las que utilizan los atacantes. En lugar de atacar directamente los controladores industriales, un grupo de ransomware puede entrar en un sistema empresarial, robar datos o cifrar servidores, y crear suficiente interrupción como para que las operaciones se ralenticen o se detengan. Incluso cuando los sistemas de control nunca se tocan, una empresa puede cerrar partes de su producción como precaución o porque ya no puede programar, enviar o facturar.

Por eso la división entre TI y OT puede resultar engañosa. Una planta puede tener controladores bien protegidos y aun así quedar fuera de línea por el compromiso de los sistemas que los rodean.

Por qué el software empresarial y los sistemas expuestos son el eslabón débil

El hallazgo de Dragos destaca que los atacantes abusan de los sistemas empresariales que sustentan la OT. Estos suelen ser grandes aplicaciones de negocio que contienen datos valiosos y a menudo son accesibles desde internet para que socios y personal remoto puedan utilizarlas.

Un ejemplo concreto es la campaña de Clop contra software empresarial de gestión del ciclo de vida del producto. Nuestra cobertura sobre el ransomware Clop atacando sistemas PTC Windchill y FlexPLM describe una campaña de extorsión mediante robo de datos dirigida a instancias de esas plataformas expuestas a internet. Estos sistemas almacenan diseños de productos e información de fabricación, lo que los hace atractivos para los grupos de extorsión incluso cuando no se cifra ningún sistema de producción.

La exposición también es una cuestión de fallos conocidos que quedan sin parchear. Nuestro informe sobre CISA añadiendo cuatro fallos a su catálogo de vulnerabilidades explotadas conocidas muestra con qué rapidez las vulnerabilidades en productos empresariales e industriales ampliamente utilizados pueden pasar de la divulgación al ataque activo.

Qué significa esto para usted

La mayoría de los lectores no dirigen una fábrica ni una empresa de servicios públicos, pero muchos dependen de una. Cuando una organización industrial es atacada, los efectos pueden manifestarse como entregas retrasadas, escasez de suministro, interrupciones del servicio o exposición de datos personales. La información de clientes y empleados almacenada en sistemas empresariales también puede ser robada durante estos incidentes.

No puede arreglar la red de un operador, pero puede reducir su propia exposición como cliente, empleado o proveedor:

  • Si recibe una notificación de brecha de un fabricante o proveedor de servicios, tómela en serio y siga sus indicaciones.
  • Utilice contraseñas únicas y autenticación multifactor en las cuentas vinculadas a cualquier proveedor industrial o de servicios públicos.
  • Esté atento al phishing que haga referencia a un incidente reciente, ya que los datos robados a menudo se reutilizan en estafas posteriores.

Qué pueden hacer las organizaciones: segmentación, copias de seguridad, MFA

Para quienes son responsables de entornos industriales, la tendencia aboga por reforzar los puntos de conexión entre TI y OT. Estas son medidas defensivas estándar, no nuevos hallazgos del informe de Dragos:

  • Segmentación: Separe las redes empresariales de las redes de control y limite lo que puede cruzar entre ellas. Si la TI se ve comprometida, la segmentación ayuda a mantener el incidente lejos de las operaciones.
  • Copias de seguridad: Mantenga copias de seguridad sin conexión o aisladas de otro modo de los sistemas críticos, y pruebe su restauración. Las copias de seguridad solo ayudan si funcionan bajo presión.
  • Autenticación multifactor: Exíjala para el acceso remoto y para las cuentas administrativas, particularmente en aplicaciones empresariales expuestas a internet.
  • Parcheo y revisión de exposición: Identifique qué sistemas empresariales son accesibles desde internet y priorice las correcciones de fallos que se sabe que se explotan.
  • Planificación de incidentes: Decida de antemano cómo aislar los sistemas afectados y mantener en funcionamiento las operaciones esenciales.

Conclusiones clave

El recuento de Dragos de 1.140 incidentes en el segundo trimestre de 2026 muestra que el ransomware dirigido a sistemas OT industriales está creciendo, y que la vía de entrada a menudo pasa por el software empresarial que los rodea. Dedique unos minutos a revisar su propia exposición: active la MFA, compruebe que sus copias de seguridad estén actualizadas y sean recuperables, e instale las actualizaciones pendientes. Para ejemplos concretos de cómo las debilidades de TI se convierten en riesgo industrial, lea nuestra cobertura sobre los datos de ransomware industrial del segundo trimestre de 2026 y la campaña de Clop contra software PLM empresarial.