El sector energético afronta en 2026 una combinación especialmente peligrosa de ransomware, inteligencia artificial, sistemas industriales obsoletos, presión regulatoria y ataques a la cadena de suministro. El informe 2026 Energy Cybersecurity Outlook, elaborado por Fortinet, advierte de que la digitalización está mejorando la eficiencia de las compañías, pero también está abriendo nuevas puertas a los atacantes.
La creciente conexión entre los sistemas informáticos y la tecnología operativa, conocida como OT, ha ampliado la superficie de ataque de centrales, redes eléctricas, instalaciones renovables, estaciones de recarga y otros activos esenciales.
1. El ransomware apunta a sistemas críticos
Los ataques de ransomware son cada vez más selectivos. Los ciberdelincuentes ya no buscan únicamente cifrar ordenadores, sino alcanzar sistemas esenciales para aumentar la presión sobre las víctimas y exigir rescates más elevados.
Estas campañas pueden comenzar con correos de phishing, vulnerabilidades sin corregir o credenciales robadas. Según el informe, el coste medio de recuperación después de una brecha alcanza ya los 5,08 millones de dólares.
2. La inteligencia artificial también beneficia a los atacantes
La inteligencia artificial ayuda a las empresas a detectar amenazas, analizar anomalías y responder más rápido. Sin embargo, los atacantes también la utilizan para crear mensajes de phishing más convincentes, automatizar operaciones y desarrollar malware capaz de adaptarse para evitar controles de seguridad.
Fortinet considera que las compañías energéticas deben utilizar herramientas avanzadas de detección, pero mantener siempre supervisión humana, especialmente cuando están en juego sistemas industriales.
3. Los sistemas OT siguen por detrás
Uno de los principales problemas del sector es la convivencia entre tecnología moderna y equipos industriales antiguos. Muchos sistemas fueron diseñados para funcionar aislados y no para conectarse a Internet o intercambiar información con la nube.
El 57 % de las organizaciones reconoce que sus defensas OT están por detrás de sus sistemas de seguridad informática. Además, el 47 % de las empresas de fabricación y energía encuentra dificultades de ciberseguridad durante la modernización de sus infraestructuras.
El informe recomienda mantener separadas las redes corporativas y operativas, controlar estrictamente las comunicaciones y aislar por defecto las instalaciones de mayor criticidad.
4. La cadena de suministro se convierte en una vía de entrada
El riesgo no se limita a los sistemas propios. Proveedores, software, dispositivos importados y componentes de hardware pueden introducir vulnerabilidades o elementos no autorizados dentro de las infraestructuras energéticas.
Para reducir este peligro, las empresas deberían mantener inventarios detallados de los componentes de software y hardware utilizados. Estos registros, conocidos como SBOM y HBOM, permiten identificar rápidamente qué productos pueden estar afectados por una vulnerabilidad.
5. Las normas son cada vez más exigentes
Las compañías energéticas también deben adaptarse a regulaciones más estrictas. En Europa, la directiva NIS2 considera a estas organizaciones entidades esenciales y les exige reforzar la gestión de riesgos y la notificación de incidentes.
Las sanciones por incumplimiento pueden alcanzar los diez millones de euros o el 2 % de la facturación anual global. El problema es que la aplicación de la norma avanza de forma desigual entre países, lo que complica el cumplimiento para empresas con operaciones internacionales.
Inventario, segmentación y vigilancia continua
El informe resume la respuesta necesaria en tres grandes principios: conocer todos los activos, separar correctamente las redes y vigilar los sistemas industriales en tiempo real.
También recomienda reforzar la formación del personal, preparar planes de respuesta y avanzar hacia la criptografía poscuántica, ante la posibilidad de que los futuros ordenadores cuánticos debiliten los sistemas de cifrado actuales.
La conclusión es clara: la ciberseguridad ya no puede considerarse un elemento añadido dentro del sector energético. Debe formar parte de todo el ciclo de vida de las infraestructuras, desde su diseño hasta su retirada.
