Seguridad del IoT industrial: protección de los dispositivos conectados y de los correos electrónicos que envían

Las fábricas conectadas dependen de dispositivos que notifican cualquier cambio importante, desde el calor y las vibraciones hasta las averías y las paradas de producción. Un mensaje puede originarse en un sensor, pasar por una pasarela y terminar como un correo electrónico en la bandeja de entrada de un ingeniero. Esto ahorra tiempo, pero también ofrece a los atacantes más puntos de acceso para robar credenciales, alterar datos o suplantar a un remitente de confianza.

Para los fabricantes que están modernizando sus operaciones conectadas, una sólida plan de seguridad del IoT industrial puede abarcar la identidad de los dispositivos, el acceso a la red, los permisos en la nube, las API, el cifrado y la supervisión. Las organizaciones también deben tener en cuenta los sistemas posteriores que convierten los eventos del IIoT en alertas operativas, incluida la infraestructura de correo electrónico utilizada para enviarlas. 

Esta visión más amplia se ajusta a las directrices actuales de OT. El borrador público inicial de septiembre de 2026 de NIST SP 800-82, Revisión 4, de septiembre de 2026 añade el Internet de las cosas industrial y la convergencia en la nube a su ámbito de aplicación. También hace hincapié en la gestión de activos, la supervisión de redes y el diseño de seguridad de «confianza cero». La lección para la industria es clara: los dispositivos conectados deben gestionarse como partes de un mismo sistema.

Por qué la seguridad del IIoT debe abarcar más que el propio dispositivo

Cada conexión da lugar a una decisión basada en la confianza

Un dispositivo del IIoT rara vez funciona de forma aislada. Puede recopilar una lectura, enviarla a una pasarela, conectarse a un intermediario y transmitir los datos a la nube. A continuación, puede activar una regla y generar una alerta por correo electrónico. En cada paso, el siguiente sistema debe saber quién está comunicándose, si esa fuente está autorizada y si los datos son fiables.

Por eso, la visibilidad de los activos es un control básico. Los equipos deben saber qué dispositivos se están utilizando, a qué se conectan y quiénes son sus propietarios. Ese mismo registro debería abarcar las pasarelas, las aplicaciones en la nube, las cuentas de servicio, las API y los remitentes de correo electrónico.

Una referencia útil debería incluir:

• identidades únicas de dispositivo y credenciales, en lugar de valores predeterminados compartidos;
• una configuración segura, además de un método controlado para rotar o revocar claves;
• segmentos de red entre los servicios de telecomunicaciones (OT), de tecnologías de la información (IT), en la nube y externos;
• tráfico cifrado, siempre que el dispositivo y el protocolo lo admitan;
• actualizaciones firmadas y comprobadas con planes de reversión;
• registros que relacionan los eventos de los dispositivos con la actividad de la pasarela, la aplicación y el correo electrónico.

Estos controles limitan el alcance de una brecha de seguridad y ayudan a los equipos a rastrear mensajes sospechosos.

Las alertas por correo electrónico suponen una superficie de ataque adicional

El correo electrónico suele situarse al final de un flujo de trabajo del IIoT. Es posible que un sensor de presión no envíe por sí mismo un correo SMTP. En su lugar, una pasarela o una plataforma de monitorización lee el evento y utiliza un servicio de correo para alertar al personal. El remitente es otra identidad de máquina, por lo que también debe conocerse y controlarse.

Si un atacante consigue falsificar el dominio del remitente de la alerta, una falsa advertencia de mantenimiento puede parecer real incluso cuando el equipo funciona correctamente. Un remitente válido con un sistema de autenticación deficiente puede provocar otro problema: las alertas urgentes pueden acabar en la carpeta de correo no deseado. El objetivo es conseguir que el correo operativo sea a la vez fiable y de confianza.

En el caso de decisiones de gran repercusión, el correo electrónico debe servir como canal de aviso, no como única prueba de que un cambio es legítimo.

Cómo proteger los dispositivos conectados y su tráfico de correo electrónico

Identificar y controlar el acceso a lo largo de todo el proceso

Empieza por trazar el recorrido desde el equipo hasta el buzón de correo. Anota qué componente inicia el evento, qué servicio crea el correo electrónico y qué dominio aparece en el campo «De». Esto puede poner de manifiesto lagunas que se pasarían por alto en una revisión centrada únicamente en los dispositivos.

A medida que las flotas crecen y los proveedores cambian, la seguridad debe acompañar todo el ciclo de vida del sistema; por eso, el control de acceso, el cifrado, los registros de auditoría y las actualizaciones seguras deben considerarse aspectos del diseño, en lugar de soluciones de última hora. Tras el lanzamiento, este trabajo continúa mediante la aplicación de parches, la rotación de claves, la supervisión y las revisiones periódicas.

Un orden práctico es:

1. Realizar un inventario de dispositivos, pasarelas, aplicaciones, cuentas de servicio y dominios de envío.
2. Otorga a cada componente únicamente el acceso necesario para el desempeño de su función.
3. Mantén el tráfico de la red OT separado de las redes generales de la oficina y de las que dan a Internet.
4. No incluyas secretos ni claves en el código fuente ni en los archivos compartidos.
5. Prueba los pasos de actualización y recuperación antes de que se produzca un incidente.
6. Revisa cada nueva integración para evaluar los riesgos tanto relacionados con los dispositivos como con el correo electrónico.

De este modo, los equipos de OT e IT asumen claramente la responsabilidad de cada control.

Verifica la dirección de correo electrónico con el mismo cuidado que el dispositivo

Una vez que se conocen los remitentes autorizados, la autenticación del correo electrónico puede proteger el dominio que utilizan. El SPF especifica qué servidores de correo pueden enviar mensajes en nombre de un dominio. El DKIM añade una firma criptográfica, de modo que los sistemas receptores pueden verificar el dominio firmante y detectar cambios en el contenido firmado. El DMARC comprueba si el dominio visible en el campo «De» coincide con una identidad autenticada mediante SPF o DKIM. A continuación, puede indicar a los destinatarios qué hacer con los mensajes que no superen la verificación.

En el caso de las alertas de IIoT, una herramienta de monitorización en la nube, un sistema de gestión de incidencias o un relé pueden enviarlas en nombre de la empresa. Ese remitente debe figurar en el inventario antes de que se aplique de forma estricta la política DMARC. De lo contrario, el cambio a una política de rechazo podría bloquear alertas reales generadas por máquinas.

Las empresas deben confirmar que SPF y DKIM estén correctamente configurados, revisar los informes de DMARC y eliminar las fuentes desconocidas antes de aplicar medidas más estrictas. La creación de subdominios independientes puede aclarar la titularidad en todas las plantas y aplicaciones.

Estad atentos a los cambios en OT y en el correo electrónico

Los sistemas industriales no permanecen inmutables. Una nueva pasarela, una actualización de firmware, un cambio a la nube o un cambio de proveedor de mantenimiento pueden alterar tanto el tráfico de red como el comportamiento del correo electrónico. Es posible que los controles que funcionaban hace meses ya no se ajusten al sistema real.

La supervisión debe combinar los eventos de OT con datos sobre identidades, redes, aplicaciones y correo electrónico. Una dirección IP de origen desconocida, fallos repetidos en la autenticación o un dispositivo que utilice una nueva ruta pueden deberse a un error de configuración o ser un primer indicio de que el sistema ha sido comprometido.

La seguridad del IoT industrial es máxima cuando los dispositivos conectados y los mensajes que estos generan se tratan como una única cadena de confianza. Hay que proteger el dispositivo, limitar la ruta que puede utilizar, autenticar los sistemas que actúan en su nombre y supervisar todo el flujo para detectar cualquier cambio. Así es como las operaciones conectadas siguen siendo útiles y fiables.

Reflexiones finales

La seguridad del IoT industrial no puede limitarse a proteger los dispositivos de la planta de producción. Cada pasarela, aplicación en la nube, API y canal de comunicación que intervenga en un flujo de trabajo operativo puede suponer un riesgo para la seguridad. El correo electrónico merece una atención especial, ya que las alertas comprometidas o no autenticadas pueden socavar la confianza en la información operativa crítica. Al combinar las medidas de seguridad a nivel de dispositivo con la supervisión de la red, los controles de acceso y los protocolos de autenticación de correo electrónico como SPF, DKIM y DMARC, los fabricantes pueden crear un marco de seguridad más fiable. El objetivo es proteger no solo los dispositivos conectados, sino toda la cadena de comunicación que mantiene en funcionamiento las operaciones industriales.