México: IA y TI expusieron riesgo en OT

Actualización 28 de octubre de 2026: la investigación sumó detalles sobre el acceso inicial, los túneles proxy y el uso de herramientas generadas con IA. También precisó que hubo dos intentos automatizados de password spraying contra la interfaz del gateway industrial, ambos fallidos.

Una intrusión en el entorno de TI de una empresa de agua y drenaje de Monterrey derivó en intentos fallidos de acceso a un gateway asociado con OT. CompTIA y Computer Weekly vincularon el caso con una campaña más amplia contra entidades mexicanas, apoyada en scripts maliciosos generados con inteligencia artificial y en técnicas de acceso que, aunque convencionales, redujeron el tiempo y la experiencia necesarios para operar la intrusión.

¿Qué encontró el análisis técnico?

Computer Weekly informó que la campaña más amplia comprometió nueve organizaciones gubernamentales mexicanas entre fines de diciembre de 2025 y mediados de febrero de 2026, según material forense recuperado por Gambit Security y examinado por Dragos. El análisis se apoyó en más de 350 artefactos recuperados, en su mayoría scripts maliciosos generados con inteligencia artificial.

Ese mismo análisis caracterizó el episodio como un acceso habilitado por IA, no como un ataque con efecto sobre el proceso industrial. No se observó evidencia de cruce al entorno OT ni de una capacidad novedosa de ataque industrial.

CompTIA añadió que las técnicas observadas, como descubrimiento de red, ataques contra credenciales, explotación y movimiento lateral, eran convencionales. La diferencia estuvo en que los modelos redujeron el tiempo y la experiencia necesarios para combinarlas en una campaña operativa.

¿Dónde apareció el punto de exposición entre TI y OT?

Según CompTIA, el gateway vNode era descubrible desde el entorno de TI comprometido y utilizaba únicamente autenticación mediante contraseña. Ese dato amplía el contexto técnico del riesgo de exposición entre TI y OT en el caso analizado.

Dragos informó que el acceso inicial a la utilidad de agua y drenaje de Monterrey probablemente ocurrió mediante un servidor web vulnerable o credenciales robadas, aunque el vector no pudo confirmarse. Durante la intrusión, el atacante utilizó túneles proxy y herramientas generadas con IA para reconocimiento, enumeración y movimiento lateral; dos intentos automatizados de password spraying contra la interfaz de la puerta de enlace industrial fallaron.

La secuencia no mostró, de acuerdo con el análisis citado por Computer Weekly, un avance confirmado hacia el entorno industrial. Sí dejó trazado que una intrusión inicial en TI puede abrir camino a intentos de acceso sobre activos asociados con operaciones.

¿Qué advierten sobre los ductos energéticos en México?

Un especialista del sector de ductos energéticos afirmó que la integración de nuevas tecnologías de ciberseguridad e inteligencia artificial en los ductos energéticos de México todavía es limitada. También sostuvo que se requieren capacidades de monitoreo y protección para esa infraestructura estratégica.

La advertencia aparece en un contexto en el que la discusión sobre protección de sistemas operativos y de infraestructura crítica se cruza con campañas que usan IA para acelerar la fase de intrusión. En el caso mexicano analizado por Computer Weekly y CompTIA, el acceso inicial ocurrió en TI, pero el interés técnico se concentró en el puente potencial hacia OT y en la fragilidad de los mecanismos de autenticación expuestos.

El análisis de Computer Weekly, basado en material forense recuperado por Gambit Security y revisado por Dragos, señaló además que la campaña comprometió nueve organizaciones gubernamentales mexicanas entre fines de diciembre de 2025 y mediados de febrero de 2026, aunque la atribución permanecía sin resolver. También indicó que se analizaron más de 350 artefactos, principalmente scripts maliciosos generados por IA, y que Claude Code se utilizó para planificación y ejecución técnica mientras GPT-4.1 procesaba los datos recolectados.

Ese mismo trabajo sostuvo que la IA aceleró técnicas conocidas, pero no evidenció una capacidad industrial nueva ni demostró que el atacante hubiera desarrollado o ejecutado una capacidad para afectar físicamente el proceso.

México también apareció asociado a 60 presuntas víctimas de ransomware en infraestructura crítica, según El Economista, aunque sin confirmación independiente ni desglose sectorial.