México, en riesgo por software SCADA

CIUDAD DE MÉXICO, 23 de septiembre.- En junio de 2010, Irán sufrió un severo ataque a parte de infraestructura crítica, principalmente a sus reactores nucleares, a través de un virus denominado Stuxnet, que contaminó el software denominado SCADA  (Supervisores de Control y de Adquisición de Datos) utilizada por aquel país, vía un USB que fue introducido a las computadoras por uno de los trabajadores.

Luego de diversas acusaciones por parte del gobierno iraní contra Siemens, creadora de este software, por ayudar a Israel y Estados Unidos de apoyarlos en el desarrollo de programas malignos para afectar a SCADA, el tema se quedó en dimes y diretes.

Lo cierto es que esto demostró que esta plataforma puede ser vulnerada por hackers y destruir sistemas de las naciones, y lo más grave es que la mayor parte de la infraestructura crítica en México, es decir la que utiliza Petróleos Mexicanos, la Comisión Federal  de Electricidad, Comisión Nacional del Agua, entre otras dependencias, utiliza este software de la firma alemana.

Personal de Siemens dijo a Excélsior que ha proveído 500 redes SCADA a diferentes industrias en el país, conectados a redes inalámbricas locales, cuando la estación o planta está a menos de 100 metros de distancia del mando de control, o conectados a GPRS, el mismo mecanismo usado para enviar SMS que usan nuestros celulares, cuando la distancia es mayor.

“Precisamente este tipo de conexiones son las vulnerables”, dijo Alejandro Loza, experto en seguridad y gerente global de Soluciones de Prevención de Pérdida de Datos de Symantec.

Infraestructura crítica, en riesgo

Los sistemas Supervisores de Control y de Adquisición de Datos (SCADA, por sus siglas en inglés), que permiten tener acceso de manera remota a infraestructura crítica como petróleo, gas, agua y electricidad en México y la mayor parte del mundo, son susceptibles de ser intervenidos con propósitos malignos, ya que algunas de sus funciones están conectadas a internet común y a sistemas similares a los usados para intercambiar mensajes de texto vía celular, afirmaron especialistas.

“SCADA se usa en todos aquellos sistemas industriales donde diezmar la confidencialidad y seguridad ponga en juego los intereses del Estado y están constituidos por controladores, instrumentos como sensores, terminales remotas, interfaces humanas-máquinas y transporte como el protocolo de internet”, explicó a
Excélsior Alejandro Loza, Experto en Seguridad y Gerente Global de Soluciones de Prevención de Pérdida de Datos de la empresa especializada en seguridad informática empresarial y personal Symantec.

En junio de 2010 al menos 14 sitios industriales de Irán fueron destruidos por el virus Stuxnet, que contaminó la plataforma de SCADA utilizada por aquel país, provocando incluso afectaciones en su programa nuclear, por medio del barrido del software de Siemens Step 7 y de Windows. Se presume que la entrada de Stuxnet fue por medio de una memoria USB, pero Irán no se pronunció.

Hay 500 redes en México

Siemens, firma que ha proveído 500 redes SCADA en diferentes industrias en el país, entre ellas Pemex, Conagua y CFE, reveló a Excélsior que los sistemas funcionan en infraestructura crítica conectados a redes inalámbricas locales cuando la estación o planta está a menos de 100 metros de distancia del mando de control, o conectados a GPRS, que es el mismo mecanismo usado para enviar mensajes de texto que usan nuestros celulares, cuando la distancia es mayor.

Precisamente este tipo de conexiones son las que provocan que SCADA sea vulnerable a decir de Loza, y “se podría tener acceso no deseado si no se protegen”, dijo Alejandro Preinfalk, vicepresidente ejecutivo del Sector Industria de Siemens.

De acuerdo con la firma Red Tiger Security, las redes locales de las empresas son las segundas más atacadas y por su parte la firma Security Research Labs logró vulnerar una red GPRS al no estar cifrada.

Petróleo y gas en juego

En México hay por lo menos un dispositivo SCADA conectado a internet, reportó Trend Micro en un análisis que hizo de la seguridad crítica de los países de la Organización de Estados Americanos (OEA).

Además de que hay otros sistemas enlazados, como teléfonos de Petróleos Mexicanos, encontró en una búsqueda realizada para
Excélsior John Matherly, creador de Shodan, plataforma para detectar dispositivos conectados a la red.

Desde el año 2000 Pemex utiliza SCADA en 18 mil puntos de medición de tres sistemas, Pemex exploración y producción, Pemex gas y petroquímica básica y Pemex refinación; que actualmente se encuentran en un proceso de integración, el cual, sumado a la primera etapa del sistema generará un gasto de alrededor de 345 millones de dólares, explicó a Excélsior Víctor Domínguez Cuéllar, subdirector de Ductos de Pemex Gas y Petroquímica.

Desde el Centro de Control  en el Distrito Federal en las oficinas de la paraestatal se pueden monitorear y manejar remotamente las refinerías, como la de Tuxpan, Veracruz, que surte de hidrocarburos a la capital del país.

Debido a que SCADA proporciona datos en tiempo real, los lapsos de respuesta ante algún evento son más cortos; también es esta característica la que podría hacer catastrófica una equivocación o un ataque, pues el efecto es también  inmediato al estar comunicados los equipos, dijo Loza.

De acuerdo a Domínguez y a su equipo de Tecnologías de la Información, los datos están protegidos y es en la última etapa donde SCADA sí está conectado al protocolo de internet para compartir información ya procesada. En ese nivel es donde “no hay duda que hay ataques, pero los hackers no pueden enviar señales para controlar SCADA desde ahí, pues en las capas anteriores todo está protegido por una VPN (red privada virtual)”, dijo.

Por su parte, Siemens al ser proveedor no está responsabilizado por la seguridad de los sistemas SCADA, aseguró Preinfalk.

Agua y energía eléctrica

Sin embargo, el que no se hayan dado a conocer ataques fuera de la última capa a los sistemas SCADA de Pemex en los trece años que lleva operando, no significa que no  hayan sucedido. De acuerdo a Red Tiger Security, las empresas tardan hasta tres años en encontrar que han sido atacadas en sus vulnerabilidades.

Otros dos sectores de infraestructura crítica para los que Siemens ha proveído soluciones SCADA son la Comisión Nacional del Agua (Conagua) y la Comisión Federal de Electricidad (CFE) –instituciones que rechazaron las solicitudes de entrevista– que, por ejemplo, utiliza SCADA en la Subestación eléctrica de San Luis.

SCADA permite operar de manera remota al Sistema Cutzamala, que proporciona agua a Michoacán, el Estado de México y el Distrito Federal; a una planta de aguas residuales de Atotonilco, donde se invertirán 32 millones 901 mil 345 pesos para  terminar de instalar los sistemas en octubre de este año y en Acapulco está instalado para el “control de arranque y paro de equipo de bombeo para eliminación de fugas”, con una inversión de un millón 500 mil pesos, de acuerdo a documentos publicados por la Conagua en su sitio web. En ninguno se menciona la seguridad de las conexiones.