De Stuxnet (2010) a las vulnerabilidades en controladores de refrigeración de 2026 - los ataques que definieron la ciberseguridad industrial y las lecciones que dejaron.
El primer arma cibernética con destrucción física confirmada. Diseñado para destruir centrifugadoras de enriquecimiento de uranio manipulando los variadores de frecuencia mientras fingía lecturas normales al operador.
Wiper masivo que destruyó el 75% de los equipos IT de la mayor petrolera del mundo en horas. La imagen que sobrescribía el MBR era una bandera estadounidense ardiendo. Aramco tuvo que comprar 50.000 discos duros para recuperarse - agotó temporalmente el mercado mundial.
Primer caso documentado públicamente de daño físico a infraestructura industrial OT (sin contar Stuxnet, que fue arma de estado). Los atacantes comprometieron la red IT y saltaron a OT para manipular el control de un alto horno, impidiendo un apagado controlado.
Primer apagón eléctrico de la historia causado por un ciberataque. Sandworm usó BlackEnergy 3 para comprometer subestaciones, luego KillDisk para destruir las HMIs y saturó el centro de atención al cliente con llamadas para retrasar la respuesta.
El único malware ICS diseñado específicamente para atacar infraestructura eléctrica (hasta Industroyer2 en 2022). A diferencia de BlackEnergy, no necesitaba operadores humanos: hablaba directamente los protocolos de subestación IEC 104, IEC 101, IEC 61850 y OPC DA.
Gusano ransomware que usó EternalBlue (exploit NSA filtrado por Shadow Brokers) para autopropagarse masivamente. El NHS canceló 19.000 citas médicas. Algunas plantas industriales pararon por contaminación de redes IT convergentes.
El ciberataque más costoso de la historia. Sandworm lo distribuyó como actualización del software contable ucraniano M.E.Doc. Wiper disfrazado de ransomware - cifraba el MBR sin dejar posibilidad de recuperación. Danfoss tardó 2 semanas en recuperar 1.400 servidores.
El único malware conocido diseñado para atacar Safety Instrumented Systems - los sistemas que evitan explosiones. Objetivo: desactivar la última barrera de seguridad para permitir una catástrofe física. Solo un bug en el propio código lo detuvo.
LockerGoga paralizó el mayor productor de aluminio del mundo. Las líneas de extrusión tuvieron que pasar a control manual - operadores con papel y teléfono. Norsk Hydro decidió no pagar el rescate y publicó transparentemente el coste real del incidente.
Un atacante accedió al SCADA de la planta vía TeamViewer (sin MFA) y subió la dosis de NaOH (sosa cáustica) de 111 a 11.100 ppm - 111 veces el nivel normal. El operador vio el cursor moverse en su pantalla en tiempo real y lo revirtió en segundos. Oldsmar tiene 15.000 habitantes.
DarkSide ransomware comprometió los sistemas IT de la mayor red de oleoductos de EE.UU. Colonial apagó el OT por precaución - no por infección. El resultado: escasez de combustible en 5 estados, colas en gasolineras, declaración de emergencia. $4,4M de rescate pagado.
Versión actualizada de Industroyer (2016), planificada para el 8 de abril de 2022 en plena invasión rusa. Primera vez que un ataque Sandworm contra infraestructura eléctrica fue detectado y neutralizado antes de causar daño, gracias a la coordinación entre CERT-UA, ESET y Microsoft.
El grupo iraní CyberAv3ngers (vinculado al IRGC) escaneó internet buscando PLCs UNITRONICS accesibles con la contraseña por defecto "1111" y los comprometió masivamente. En Aliquippa el mensaje en pantalla fue: "You have been hacked. Down With Israel." No hubo exploit: solo un escáner, un puerto abierto y una contraseña que nadie cambió.
FBI, CISA y NSA confirmaron que el APT chino Volt Typhoon llevaba infiltrado desde 2021 en redes de infraestructuras críticas occidentales. No buscaba datos: se preposicionaba para poder lanzar ataques disruptivos en caso de conflicto armado con Taiwán. Técnica: Living off the Land - sin malware, solo herramientas nativas de Windows.
Claroty Team82 descubre vulnerabilidades críticas en los dos líderes del mercado de supervisión de refrigeración OT. CVE-2025-41450 (Danfoss) y CVE-2026-21718 (Copeland) comparten el mismo antipatrón: contraseñas calculables a partir de datos del sistema, no aleatorias.
En octubre de 2026, en paralelo al ataque OT contra los sistemas de refrigeración Danfoss/Copeland, el actor Neferpitou publicó más de 13 GB de documentación interna de Naval Group como muestra de un volumen total estimado superior a 1 TB. Afecta a proyectos navales militares, contratos gubernamentales y datos de ingeniería de sistemas embarcados.