Ransomware industrial en España: el estado real
Índice.
En septiembre de 2025, Jaguar Land Rover paró sus líneas de montaje durante cinco semanas. Las pérdidas directas fueron de 250 millones de dólares.
Pero lo interesante no es la cifra. Es cómo entraron.
Los atacantes no tocaron una sola máquina de la planta. No pasaron por la red de control, ni por un PLC, ni por nada que suene a "industrial". Entraron por el ERP, a través de una cadena de vulnerabilidades en SAP NetWeaver.
Si tu fábrica tiene una VPN, un ERP conectado a internet o un proveedor con acceso remoto, este caso no es una noticia lejana sobre una marca británica. Porque resume hacia dónde se ha movido el ransomware industrial: ya no vive en la red de control, vive en el perímetro de IT. En las credenciales mal gestionadas, en ese acceso remoto que alguien configuró hace meses y nadie ha vuelto a mirar.
Y España, aunque no suele salir en los titulares junto a Reino Unido o Alemania, lleva ya un año entero dentro de este mapa.
¿Por qué la fabricación es el objetivo favorito?
Para responder a esta pregunta, ponte por un momento en el lado del atacante.
Una fábrica no puede permitirse parar. Cada hora de línea detenida cuesta dinero real, y eso convierte a cualquier fabricante en un pagador probable.
Además, añade sistemas heredados que nadie ha parcheado en años, o una cadena de proveedores que amplía la superficie de exposición sin que nadie la controle del todo. Y tienes el objetivo perfecto.
En 2025, más de veinte fabricantes españoles confirmaron incidentes de ransomware:
- Akira golpeó a AGME, Ste Group, Arcusin y Ondunova.
- Qilin fue a por José Combalía, Gaviota y Atarfil Geomembranas.
¿Empresas pequeñas o mal gestionadas? No especialmente. Organizaciones con la misma exposición que tiene, ahora mismo, cualquier fabricante mediano español leyendo esto.
Cómo operan Qilin y Akira, los dos grupos más activos
No todos los grupos de ransomware trabajan igual. Y entender cómo se mueven los dos más activos contra la industria europea te da pistas muy concretas sobre dónde poner el foco.
- Qilin trabaja con una sistematicidad que impresiona. Sus afiliados exfiltran los datos antes de cifrar nada. Solo después negocian: primero amenazan con publicar, si no hay acuerdo, publican. Cuando llega el rescate, es específico. Diseños en SolidWorks, datos de empleados, credenciales de red, registros financieros. Saben exactamente qué se han llevado y cuánto vale.
- Akira juega otra partida, más dirigida. Se ha especializado en fabricantes medianos con infraestructura industrial valiosa pero equipos de seguridad pequeños. ¿Te suena el perfil? Es el de buena parte del tejido industrial español.
Y aquí va un dato que conviene no pasar por alto: Akira calibra el rescate según la cobertura del seguro de ciberriesgo de la víctima. Piénsalo un momento. La póliza que contrataste para dormir más tranquilo se convierte en información que el atacante también puede llegar a conocer.
El problema que casi nadie menciona: los brokers de acceso inicial
Antes de que aparezca el ransomware, suele pasar otra cosa. Y es la pieza de este ecosistema que casi nunca se menciona fuera de círculos muy técnicos.
Los brokers de acceso inicial no despliegan ransomware. Se dedican a comprometer redes y, una vez dentro, venden ese acceso ya conseguido a quien pague más.
Credenciales válidas. RDP expuesto. VPN comprometida. Es, literalmente, un mercado.
¿Qué implica esto para tu empresa? Que para cuando el ransomware aparece, la intrusión original puede llevar semanas abierta.
Nadie lo sabe hasta que alguien despliega el cifrado o empieza a filtrar datos. Y en ese momento, la ventana para reaccionar ya se cerró.
La seguridad OT ha mejorado. El problema es que ya no basta
Durante la última década, buena parte del presupuesto de seguridad industrial se ha ido a segmentar redes OT, inventariar activos y detectar anomalías en planta.
Y no ha sido dinero mal gastado. Al contrario: muchas fábricas están hoy mejor preparadas internamente de lo que estaban hace diez años.
El problema es que, mientras eso pasaba, el punto de entrada se movió a otro sitio.
La convergencia entre redes de producción, sistemas corporativos de IT y accesos de proveedores externos ha abierto una superficie de exposición que queda fuera del perímetro tradicional de la planta.
Y es justo ahí, fuera de ese perímetro, donde aparecen hoy los primeros indicios de compromiso: sistemas expuestos a internet, credenciales filtradas, accesos remotos mal configurados.
La normativa ya apunta en esa dirección, al menos sobre el papel. NIS2 obliga a evaluar el riesgo de la cadena de suministro. Pero, seamos honestos, son pocas las organizaciones que han traducido esa obligación en controles concretos sobre quién tiene acceso remoto a sus sistemas y durante cuánto tiempo.
¿Qué hacer ya, hoy mismo?
Si tuvieras que empezar por algo, sería esto:
- Auditar qué sistemas dan la cara a internet. VPN, firewalls, accesos de proveedores. Ahí empieza la mayoría de estos ataques, no en la red de control industrial, por mucho que sea ahí donde se ha concentrado la inversión hasta ahora.
- Segmentación real entre IT y OT. No la que está en un documento, sino la que impide de verdad que un correo comprometido termine convirtiéndose en una puerta hacia un PLC.
- Revisar qué accesos remotos de terceros siguen activos. Casi siempre son la vía que ya nadie recuerda que existe.
- Saber si la red ya está comprometida, no solo si está bien defendida. Son preguntas distintas. Y la segunda solo se responde con monitorización activa y análisis de amenazas. Un firewall bien configurado no te la contesta.
Un riesgo que ya no se puede tratar como ajeno
El caso de Jaguar Land Rover marcó un antes y un después en cómo se entiende el ransomware industrial en Europa.
Pero lo que se repite en España, con Akira y Qilin como protagonistas más visibles, deja algo claro: esto no es un problema de fabricantes británicos o alemanes.
Es un riesgo que ya forma parte del día a día de la industria española. Y sigue creciendo mientras la inversión en seguridad se concentra donde ya se invertía hace diez años.
¿Sabes en qué punto exacto está expuesta tu organización? Si la respuesta no es un "sí" rotundo, conviene averiguarlo antes de que lo decida un atacante por ti.
En ANCO llevamos más de 45 años ayudando a empresas a tomar decisiones tecnológicas con criterio, y la ciberseguridad del sector industrial es uno de los terrenos donde ese acompañamiento marca más diferencia.
Si tu organización quiere entender en qué punto está expuesta antes de que lo decida un atacante, hablemos.
