Cuando el silencio es el ataque: repensando la atribución en incidentes críticos, en infraestructuras estatales.

Una lectura y un repaso de los incidentes relacionados con infraestructuras críticas, SCADA/ICS , BlackEnergy 1,2 y3, Industroyer y Stuxnet. 

Introducción

Cuando ocurre un apagón eléctrico masivo, las preguntas se repiten: ¿fue un fallo técnico? ¿un error humano? ¿un ciberataque?
Y aún más importante: ¿realmente importa saber cómo ocurrió si ya ocurrió?

En un entorno digitalizado, interconectado y cada vez más expuesto, seguir enfocando los esfuerzos forenses en descubrir “el cómo” —cuando los atacantes ya operan sin dejar rastros evidentes— es una estrategia que puede dejar a sistemas críticos crónicamente vulnerables.

La ilusión del "cómo"

Tradicionalmente, el análisis forense busca trazar el vector de ataque: desde el acceso inicial hasta la ejecución de la carga útil. Pero esta línea de investigación asume que hay algo que rastrear, lo cual no siempre es cierto.

Hoy en día, muchos actores avanzados (APT) emplean:

• Malware en memoria (fileless) que desaparece al reiniciar el sistema.

• Comandos legítimos del entorno SCADA, sin binarios maliciosos.

• Secuencias automatizadas que simulan errores operativos.

• Triggers internos que permiten lanzar ataques en cascada sin interacción humana.

El resultado: la evidencia se borra sola, y el atacante nunca parece haber estado ahí.

El “qué” como nueva línea forense

En estos escenarios, insistir en encontrar la bala es menos útil que reconocer el agujero en la pared.
Debemos priorizar el análisis de consecuencias y patrones de comportamiento, no solo el rastro técnico.

En lugar de preguntarnos:

• ¿Cómo entró el atacante?
  Debemos empezar por:

• ¿Qué comportamiento del sistema fue anómalo?

• ¿Qué proceso no debería haberse activado?

• ¿Qué decisiones se tomaron por el sistema sin causa justificable?

• ¿Qué serie de eventos generó un efecto con lógica, pero sin causa visible?

Porque cuando el atacante ya opera desde dentro, usando tus propias herramientas, el “cómo” es indistinguible del “proceso normal”.

Coordinación sin agente activo: ataques automatizados

Uno de los errores conceptuales más comunes al analizar ciberataques complejos es suponer que requieren coordinación humana en tiempo real. En realidad:

• Un solo evento (por ejemplo, caída de tensión en una subestación) puede disparar scripts automatizados distribuidos en sistemas previamente comprometidos.

• El ataque puede esperar días, semanas o meses, hasta que una condición específica lo active.

• No hace falta “estar ahí”, solo haber estado antes y dejar instrucciones automáticas.

La atribución imposible, sin huella, sin rastro. 

Este tipo de ataque, cuidadosamente diseñado, produce un efecto devastador sin dejar pruebas forenses viables:

• No hay malware persistente.

• No hay logs alterados porque los logs no captan anomalías.

• No hay “firma digital” del atacante.

• Y, lo más perverso: el sistema, al recuperarse, borra automáticamente el ataque, porque fue ejecutado en RAM o aprovechando procesos internos.

Si quieren pruebas, no las tendrán.
Solo tendrán los efectos. Y eso debe bastar para actuar.

Conclusión: una visión más realista

Es hora de que las infraestructuras críticas dejen de esperar pruebas claras para asumir una agresión. No siempre habrá una “arma del crimen”.
En su lugar, hay que construir estrategias de defensa y respuesta basadas en:

• Análisis profundo de comportamiento.

• Reconocimiento de patrones de fallo no accidentales.

• Telemetría de procesos industriales.

• Cultura de seguridad basada en la anticipación, no en la autopsia.

Porque si el atacante opera en silencio, sin dejar huella, el verdadero error sería no reconocer que fue atacado.