Titanium Industrial Security Blog

  Hace unos días, HackerCar publicaba un artículo analizando la viabilidad de manipular sistemas de cronometraje de alta competición. El texto repasa varios incidentes reales en pista. Sin embargo, lo verdaderamente interesante desde la perspectiva de la seguridad es el análisis técnico que aporta David Marugán , especialista en radiofrecuencia, radiocomunicaciones y ciberseguridad. Este articulo toca de lleno tres problemas troncales que afectan a cualquier infraestructura crítica, la dependencia peligrosa del GPS, la diferencia entre tirar una señal y manipularla sin que se note, y por que añadir tecnología nueva a veces no siempre significa estar mas seguro 1.La redundancia es la protección más sólida del sistema En la información pública del sistema, lo que más destaca no es una medida de seguridad concreta, sino un principio de diseño: que nada dependa de un solo componente. Dos transponedores por monoplaza. No es una recomendación: el Reglamento Técnico de 2026 establece que...

  Cada semana ocurre más o menos lo mismo. Siemens publica un advisory, Schneider otro, Fortinet tres, Rockwell actualiza uno de la semana pasada y Microsoft publica sus parches. Y algún fabricante que nadie recordaba que estaba instalado en planta anuncia una vulnerabilidad crítica en un producto que lleva funcionando perfectamente desde 2014. Entonces empieza la fiesta: ¿Tenemos ese modelo? ¿Qué versión? ¿En qué planta? ¿Ese firmware está afectado? ¿Existe parche? ¿Podemos instalarlo? ¿Obliga a reiniciar? Y así, CVE tras CVE. En IT ya es complicado, incluso con entornos relativamente homogéneos. Sin embargo, en OT, donde conviven equipos de múltiples fabricantes, versiones antiguas, ciclos de vida de quince o veinte años y ventanas de mantenimiento bastante limitadas, una operativa manual y selectiva dificulta su sostenibilidad a lo largo del tiempo, pudiendo derivar en un aumento del riesgo operativo. Aquí es donde entra el Common Security Advisory Framework, o CSAF. Y la...

  Los días 23 y 24 de septiembre se celebra en Sevilla la 27ª edición de CCIcon, el Congreso Internacional de Ciberseguridad Industrial que organiza el Centro de Ciberseguridad Industrial (CCI). El 24 a las 13:20,  Daniel Herreras  y  Borja Lanseros presentan: Del inventario estático al gemelo de red: topología OT continua para operar y cumplir Cómo asistir El congreso se puede seguir de forma presencial / online. Toda la información de inscripción está en la web del CCI. Fecha: 24 de septiembre de 2026, 13:20 Lugar: Sevilla y online Agenda   Registro online La ciberseguridad industrial tiene algo particular, gran parte de lo que se aprende no está en los documentos, sino en la experiencia de quien opera una planta, de quien la integra y de quien la protege.  Encuentros como CCIcon son de los pocos sitios donde todos esos perfiles coinciden y comparten lo que funciona y lo que no. Gracias por mantener ese espacio edición tras edición, y por ...

Ocho medidas para reducir la exposición de tu OT El NCSC publicó a finales de agosto un aviso sobre el aumento de ataques contra sistemas OT. Tres párrafos de contexto y ocho recomendaciones concretas, todas aplicables sin parar la producción. Qué han visto El NCSC dice haber detectado un aumento de ataques contra sistemas OT en varios sectores y varios países, con algunas interrupciones reales de operación. No da nombres ni sectores, y el tono del documento es bastante contenido. A quién va dirigido: a cualquier organización que use, instale o mantenga sistemas OT. Y en medio del texto hay una línea que resume por dónde empezar: Las org anizaciones no deberían asumir que su OT es inaccesible desde internet sin verificarlo, ya que la exposición no intencionada puede surgir de configuraciones erróneas, conexiones heredadas o activos no gestionados. Configuraciones erróneas, conexiones heredadas y activos no gestionados. Tres formas de acabar expuesto sin que nadie lo decidiera. Qué re...

La exfiltración más cómoda de tu planta cabe en un portapapeles Hay una conversación sobre IA que se repite en las empresas: qué modelo utilizar, qué procesos automatizar, cuánto tiempo se ahorra con Copilot, ChatGPT, Gemini o Claude. Perfecto. Pero hay otra bastante menos atractiva que convendría tener antes: qué información de planta estamos copiando dentro de esas herramientas. La fuga de información industrial asociada a IA generativa no necesita ransomware, ni una CVE crítica, ni que un atacante atraviese cuatro firewalls. A veces necesita un ingeniero copiando veinte líneas de código de un PLC y preguntando por qué no funciona. Y ya está. No es un escenario teórico. En 2023 Samsung acabó restringiendo internamente el uso de IA generativa después de que varios empleados pegaran código fuente y notas de reuniones en ChatGPT. Ninguno actuaba de mala fe: estaban trabajando. El problema no es la IA, es el dato que le damos Pensemos en usos perfectamente razonables. Un técnico peg...

Nueve avisos de sistemas de control en la primera semana de mes Los he leído seguidos y hay algo que se repite, casi ninguno afecta al autómata. Afectan al ordenador desde el que se programa. "Everyone" ControlFLASH es la herramienta con la que se actualiza el firmware de los autómatas de Rockwell. Su instalador da permisos de escritura al grupo Todos sobre un directorio de la instalación. Cualquiera con acceso a esa máquina puede dejar ahí un fichero y ejecutar código con los permisos del que abra la herramienta después. Dentro del mismo fabricante, la utilidad de configuración de módulos de redundancia busca una DLL en directorios del path del sistema. Alguno de esos directorios es escribible por usuarios normales, por permisos por defecto mal puestos. Dejas ahí una DLL, esperas a que un administrador abra la herramienta, y tu código se ejecuta como SYSTEM. Y FactoryTalk Activation Manager abre durante su instalación ventanas de consola con privilegios de sistema que se pue...

  El 11 de septiembre no hay que presentar nada. Y precisamente por eso va a pillar a mucha gente Dentro de unos días entra en juego la primera obligación real del Reglamento de Ciberresiliencia (CRA). No hay formulario que rellenar, ni registro, ni declaración. Simplemente, a partir del 11 de septiembre de 2026, si un fabricante detecta que una vulnerabilidad de su producto está siendo explotada activamente, o sufre un incidente grave que afecta a la seguridad del producto, tiene 24 horas para dar el aviso temprano, 72 para la notificación completa y 14 días para el informe final. Los incidentes graves, un mes. Ese es el problema. Los plazos con fecha se preparan. Los plazos que se activan con un evento hay que tenerlos montados antes, porque el día que suena el teléfono ya no da tiempo a montar nada. Y hay un detalle que se pasa por alto con demasiada frecuencia: esa obligación no aplica solo a los productos nuevos. Aplica a todo lo que...