Las fábricas están generando nuevos puntos de entrada que pueden ser aprovechados por los ciberdelincuentes. En consecuencia, aunque el volumen total de ciberataques contra el sector manufacturero ha disminuido, los atacantes están ejecutando acciones mucho más precisas y dirigidas a estas brechas de seguridad, así lo reveló el informe Manufacturing Protect Brief 2026 de SonicWall.

Durante el primer semestre de 2026, el sector manufacturero registró una disminución interanual del 56.2% en el volumen de eventos detectados por los sistemas de prevención de intrusiones (IPS), la caída más pronunciada entre todos los sectores analizados. Sin embargo, esta reducción no significa que el riesgo haya disminuido. El volumen absoluto sigue siendo considerable, con 474 millones de eventos detectados. Además, a medida que más sistemas de tecnología operativa (OT) se conectan con la infraestructura de tecnologías de la información (TI), la superficie de ataque continúa expandiéndose, mientras los ciberdelincuentes se vuelven más selectivos al elegir sus objetivos.

“La superficie de ataque del sector manufacturero es completamente distinta a la de hace apenas cinco años, pero los modelos de seguridad no han evolucionado al mismo ritmo”, afirmó Michael Crean, vicepresidente sénior de Servicios Administrados de SonicWall. “Cada conexión que se incorpora para facilitar las operaciones, ya sea para monitoreo remoto, mantenimiento predictivo o acceso de proveedores a los sistemas de producción, también representa una posible puerta de entrada para un atacante. Una credencial robada no debería permitir el acceso a los sistemas de producción, pero hoy, en la mayoría de los entornos manufactureros, sí lo permite”.

El Manufacturing Protect Brief de SonicWall se basa en información recopilada por la red global de más de un millón de sensores de seguridad de la compañía. El informe documenta los patrones de ataque, las vulnerabilidades de sistemas heredados y las campañas de ransomware que caracterizaron el panorama de amenazas del sector manufacturero durante el primer semestre de 2026.

Principales hallazgos

– La vulnerabilidad de inyección de comandos en cámaras IP de Hikvision (CVE-2021-36260), divulgada en 2021, continuó generando actividad durante el primer semestre de 2026, con 43 millones de detecciones. Se trata de la firma de ataque contra dispositivos IoT con mayor volumen de registros entre todos los sectores monitoreados por SonicWall.

– Los ataques contra dispositivos IoT constituyeron la segunda categoría de amenazas con mayor volumen en el sector manufacturero, con 46.2 millones de detecciones. Más de la mitad de las redes manufactureras registraron intentos de explotación.

– El sector manufacturero presentó la mayor tasa de detección de ataques contra sistemas SCADA entre todos los sectores analizados.

– Durante el primer semestre de 2026 se identificó actividad de diez familias de ransomware contra redes manufactureras. Tan solo la familia Zhen generó 22.2 millones de detecciones concentradas en dos dispositivos, un patrón consistente con un incidente activo y persistente, más que con una campaña de ataques generalizada.

– Apache Log4j2 generó 13.8 millones de eventos de detección en redes manufactureras, más de cuatro años después de que se divulgara por primera vez la vulnerabilidad.

Puertas de entrada sin protección

Entre cámaras de seguridad conectadas a la red, sensores industriales y sistemas inteligentes de control de edificios, las fábricas actuales cuentan con numerosos dispositivos conectados que no fueron diseñados considerando los requisitos modernos de ciberseguridad. Muchos utilizan software antiguo, rara vez reciben parches de seguridad y operan en las mismas redes que las líneas de producción críticas. Esto significa que las vulnerabilidades conocidas pueden permanecer activas durante años. Por ejemplo, una falla de seguridad identificada hace cinco años en cámaras Hikvision continúa siendo una de las amenazas más detectadas en las redes manufactureras.

El riesgo se ha incrementado conforme las empresas conectan sus redes corporativas con los sistemas de producción para habilitar el monitoreo remoto y el mantenimiento automatizado. Debido a esta interconexión, una sola contraseña de empleado robada mediante un correo de phishing puede ser suficiente para que un atacante se desplace desde la red administrativa hasta los sistemas que controlan la maquinaria industrial.

“El problema del sector manufacturero no es la falta de sofisticación tecnológica, sino la arquitectura de sus redes”, agregó Crean. “Los sistemas de producción ahora forman parte de la red corporativa. Mientras no comencemos a verificar continuamente la identidad de cada usuario y a restringir su acceso únicamente a las aplicaciones que necesita, una sola contraseña robada seguirá siendo suficiente para detener las operaciones de una planta”.