Nacieron sin contraseña

El PLC de Andes Agua habla Modbus sobre TCP, en el puerto 502. Modbus es sencillo y robusto, y por eso se usa en todo el mundo, pero no lleva autenticación: cualquier equipo que alcance el puerto 502 del controlador puede pedirle datos y el controlador responde, sin preguntar quién es. Nació así porque la red estaba aislada; la confianza estaba en el cable, no en el protocolo. Cuando esa red deja de estar aislada, esa confianza se queda sin base y cualquiera que llegue al puerto tiene la palabra.

Reconocer que el protocolo no distingue a un cliente legítimo de uno que no lo es cambia por completo dónde pones la defensa: no en pedirle al protocolo que verifique, sino en controlar quién puede alcanzar el puerto.

Modbus no solo sirve para leer valores: también tiene órdenes de escritura. Una petición de escritura a un registro puede cambiar una consigna del proceso —y según cómo esté programado el PLC, eso puede arrancar o detener una bomba, o mover una válvula—. Como no hay autenticación, un equipo cualquiera que alcance el controlador podría enviar esa escritura, y el PLC la ejecutaría como si viniera de la HMI legítima. La lectura no autorizada ya es un problema de información; la escritura no autorizada es un problema físico: mueve la planta.

Distinguir la lectura de la escritura ayuda a priorizar. Que alguien de fuera pueda leer variables es grave; que pueda escribir un registro que acciona un equipo es lo que puede lastimar a una persona o parar la producción.

La reacción intuitiva de quien viene de TI es «entonces pongámosle autenticación al Modbus». No se puede: el protocolo está grabado en equipos que llevan años en producción, muchos no admiten una versión segura, y cambiarlos exige detener la planta y reprogramar. La defensa no pasa por arreglar el protocolo, sino por rodearlo: segmentar para que solo los equipos que deben hablar con el PLC lo alcancen, y vigilar de forma pasiva ese tráfico para ver si aparece una conversación que no debería existir. Se protege el entorno del protocolo, no el protocolo.

Esta es una idea que se repite en toda la ruta: cuando no puedes arreglar la pieza insegura, controlas quién llega a ella y observas lo que pasa. La segmentación y el monitoreo son la respuesta, no una contraseña imposible.

En el tráfico capturado de Andes Agua, casi todas las conversaciones Modbus van de la HMI y del SCADA hacia el PLC, en un patrón regular y conocido. Entre ellas aparece una petición de escritura a un registro del PLC que sale de un equipo de la red de oficina —no de la HMI, no del SCADA—. Ese origen no tiene ninguna razón de negocio para escribir en el controlador. Aunque la orden esté bien formada y el PLC la aceptaría sin rechistar, el hecho de que provenga de donde no debería es la señal: es una escritura que no encaja con el patrón normal de la planta.

Lo que delata el problema no es un error en el paquete, sino un origen que no pertenece a esa conversación. Aprender a ver «quién habla con quién» es lo que permite reconocer una orden peligrosa aunque esté perfectamente formada.

Abre la captura de conversaciones Modbus con el controlador. Casi todo son lecturas; entre ellas hay una sola petición de escritura de registro —la que cambia una consigna del proceso— enviada por la supervisión. Aíslala y lee en su fila el código anotado.