Las consecuencias físicas del hacktivismo: dentro de la expansión OT de NoName057(16)

Hace tiempo que el hacktivismo dejó de ser sinónimo de defacement de sitios web y ataques distribuidos de denegación de servicio. El robo de información, las intrusiones, la exposición de credenciales, la disrupción similar al ransomware y la cooperación con actores técnicamente especializados ampliaron progresivamente un campo que antes estaba dominado por efectos muy visibles, pero mayormente digitales.

La tecnología operacional modifica nuevamente esa ecuación. Cuando un atacante alcanza el sistema que controla una bomba de agua, una turbina hidroeléctrica, una caldera, un proceso de dosificación química, una red de riego o un horno industrial, el objetivo ya no es simplemente la información o la disponibilidad. El sistema digital es la interfaz de un proceso físico.

Esa diferencia aparece con creciente claridad en la actividad de grupos como NoName057(16).

Como parte de su monitoreo continuo de fuentes controladas por actores y ecosistemas de amenaza, iQBlack registró 53 accesos OT/ICS autoadjudicados por NoName057(16) entre el 19 de diciembre de 2025 y el 13 de agosto de 2026, distribuidos en 16 países. El material corresponde a actividad declarada por el propio actor y permite observar longitudinalmente una dirección operacional que excede ampliamente a DDoSia y al modelo tradicional de disrupción hacktivista.

 

El objetivo ya no es el sitio web

NoName057(16) continúa fuertemente asociado con operaciones DDoS, pero la propia descripción del grupo sobre su evolución ya sugería que esa caracterización comenzaba a resultar insuficiente.

Durante una entrevista realizada por iQBlack en julio de 2026, NoName057(16) sostuvo que después de Operation Eastwood habían aumentado tanto la cantidad como el rango de sus ataques y afirmó explícitamente que el grupo había comenzado a apuntar a sistemas industriales. También describió al DDoS como una herramienta dentro de un conjunto de capacidades más amplio.

Los 53 casos OT/ICS observados por iQBlack aportan una dimensión cuantificable a esa afirmación. No representan una concentración puntual producida alrededor de un único acontecimiento geopolítico. La actividad se distribuye a lo largo de casi ocho meses: seis casos fueron registrados en diciembre, ocho en enero, siete en febrero, seis en marzo, cinco en abril, seis en mayo, cinco en junio, siete en julio y tres durante la primera mitad de agosto.

La persistencia resulta más relevante que cualquier incidente aislado. Indica que OT/ICS se ha convertido en un componente recurrente dentro de la actividad operacional pública del actor, y no en un experimento ocasional.

 

Cincuenta y tres casos, un patrón emergente

Los sistemas involucrados son heterogéneos, pero sus funciones permiten identificar un patrón más claro.

A efectos analíticos, iQBlack agrupó los 53 casos en seis grandes categorías operacionales. Los sistemas relacionados con agua, aguas residuales, bombeo y control de inundaciones representan 16 casos. Los entornos industriales de manufactura y control de procesos suman 13. Agricultura, producción alimentaria y cadena de frío representan 10. Los sistemas de calefacción y procesos térmicos concentran siete casos, energía otros seis, y se registra además un entorno de automatización edilicia.

Esa distribución resulta importante porque desplaza la discusión más allá de una definición estricta de infraestructura crítica. Algunos de los sistemas involucrados están claramente asociados con servicios esenciales: agua municipal, tratamiento de aguas residuales, generación hidroeléctrica, calefacción distrital, control de inundaciones e infraestructura de bombeo. Otros pertenecen a agricultura, producción industrial, refrigeración, control ambiental o manufactura, cuya criticidad depende fuertemente del contexto.

Pero casi todos comparten una característica: las instrucciones ejecutadas desde el software terminan influyendo sobre un proceso físico.

La cronología incluye sistemas de tratamiento y abastecimiento de agua en Francia, Polonia, Italia, España, Canadá y Ucrania; instalaciones hidroeléctricas en Alemania y República Checa; sistemas de biogás y cogeneración; calderas industriales e infraestructura térmica; plataformas de irrigación y fertirrigación; refrigeración agrícola; automatización de invernaderos; sistemas de bombeo; hornos; equipamiento CNC y otros entornos de control industrial.

Georgetown Water System, en Canadá, que recibió mayor atención después de la actividad de julio vinculada con NoName057(16) y Z-Pentest, representa por lo tanto un elemento visible dentro de un patrón considerablemente más amplio y no su punto de inicio.

 

El agua es solo una parte del problema

El agua ofrece un ejemplo particularmente claro porque la conexión entre un control digital y una población civil resulta inmediata. Presión, bombeo, filtrado, almacenamiento y dosificación química son variables operacionales cuya manipulación puede trasladar las consecuencias de un incidente más allá de la organización que opera el sistema. Pero el mismo principio aplica a otros sectores.

En octubre de 2025, meses antes de varios de los casos registrados dentro de este conjunto, el Canadian Centre for Cyber Security informó múltiples incidentes relacionados con sistemas de control industrial accesibles desde Internet. Uno de ellos involucró la manipulación de presión de agua, degradando el servicio prestado a una comunidad. Otro afectó un medidor automatizado de tanques perteneciente a una compañía de petróleo y gas y generó falsas alarmas. Un tercero involucró la manipulación de temperatura y humedad en un silo de secado de granos, creando condiciones potencialmente inseguras si la actividad no hubiera sido detectada.

Estos ejemplos ayudan a entender por qué la seguridad OT no puede evaluarse bajo el mismo modelo de consecuencias utilizado para el compromiso convencional de un sitio web. El punto de entrada puede ser una computadora. Pero la consecuencia no necesariamente termina allí.

 

Cuando una orden digital modifica un proceso físico

La idea no es nueva. Stuxnet continúa siendo el antecedente histórico de referencia porque demostró con una claridad excepcional que códigos maliciosos pueden manipular deliberadamente un proceso industrial para generar consecuencias físicas sobre equipamiento.

La comparación no debe extenderse más de lo necesario. Stuxnet fue una operación altamente sofisticada, con características sustancialmente diferentes de las campañas hacktivistas contemporáneas. Pero su enseñanza más duradera es más acotada y, precisamente por eso, más útil: la separación entre consecuencia cibernética y consecuencia física desaparece cuando el software controla maquinaria.

Ese principio sigue siendo válido independientemente de que el proceso afectado sean centrifugadoras, presión de agua, una turbina, calefacción, dosificación química o refrigeración industrial. El nivel de sofisticación técnica, la intención y la magnitud potencial pueden variar enormemente; mientras que la relación “ciberfísica” permanece.

Es allí donde la evolución del hacktivismo adquiere mayor relevancia. Un actor no necesita disponer de capacidades equivalentes a Stuxnet para generar riesgo dentro de un entorno donde interfaces expuestas, autenticación deficiente, segmentación insuficiente o componentes vulnerables ya proporcionan acceso a controles de procesos.

 

La seguridad debía formar parte del sistema

Quizás el aspecto menos novedoso del problema sea también uno de los más difíciles de explicar.

La comunidad de seguridad lleva años documentando cómo deben protegerse los entornos OT. Sin embargo, los advisories oficiales continúan describiendo sistemas de control expuestos, autenticación débil, segmentación insuficiente y servicios de acceso remoto publicados directamente hacia Internet.

Un advisory conjunto de diciembre de 2025, respaldado por el FBI y varios organismos internacionales, advirtió específicamente que grupos hacktivistas prorrusos estaban apuntando a conexiones VNC mínimamente protegidas y expuestas a Internet para alcanzar HMI y otros dispositivos de control OT. Las medidas recomendadas —reducir exposición a Internet, segmentar IT y OT, mantener inventarios precisos de activos, reforzar autenticación y monitorear redes de control— no constituyen conceptos defensivos novedosos.

El problema visible en el material publicado por NoName057(16) refleja la misma brecha incómoda. En uno de los accesos declarados contra un sistema de agua en Francia, el actor atribuyó explícitamente el ingreso a una debilidad en el mecanismo de autenticación. En otro caso asociado con una instalación hidroeléctrica alemana, el material publicado describía el HMI comprometido como un sistema basado en Windows CE.

Esto no permite establecer una única técnica de explotación para los 53 casos. Pero sí expone un problema de gobernanza más amplio: la seguridad OT no puede continuar siendo un accesorio agregado al servicio después de su despliegue. La seguridad debe formar parte de la materia prima con la que ese servicio es diseñado, adquirido, mantenido y operado.

Los propietarios de los activos son importantes, pero también lo son los integradores, los fabricantes de equipamiento, los proveedores de servicios gestionados y cada tercero cuya capa de software o acceso remoto termina formando parte de la cadena operacional.

La aplicación SCADA puede ser la interfaz visible, mientras que la debilidad real puede encontrarse en el sistema operativo que la soporta, un servicio de administración remota expuesto, una capa de autenticación, un gateway, un appliance VPN u otro componente necesario para mantener operativo el entorno.

Esta distinción será cada vez más importante a medida que los atacantes aprendan a focalizar no solamente en la aplicación industrial, sino también en la tecnología que inevitablemente permite que esa aplicación exista y funcione.

 

La selección del objetivo no parece un ejercicio aleatorio

En su entrevista con iQBlack, el grupo afirmó dedicar una cantidad considerable de tiempo a tareas de inteligencia y análisis. Según el actor, la selección de países está condicionada por acontecimientos geopolíticos y decisiones de sus gobiernos, mientras que los objetivos específicos son elegidos de acuerdo con una estrategia general de ataque y con el impacto económico, reputacional y social esperado.

Un análisis previo de iQBlack identificó una división funcional coherente con esa descripción: recolección y análisis de inteligencia, ejecución técnica y actividad informativa. La selección del objetivo no aparecía descrita simplemente como la búsqueda de algo vulnerable, sino como la identificación de aquellos lugares donde una acción técnica podía producir un efecto político o público más amplio.

La secuencia OT observada resulta consistente con ese modelo. La recurrencia de accesos en múltiples países, tecnologías industriales y sectores operacionales resulta difícil de explicar únicamente como una sucesión de hallazgos fortuitos. El patrón es más consistente con un flujo de trabajo que incluye identificación de superficies expuestas, evaluación técnica, selección de objetivos, acceso y posterior publicación.

Es también en esa fase previa donde las alianzas con equipos especializados en OSINT e inteligencia privada adquieren valor operacional. iQBlack tiene documentada, por ejemplo, la relación entre NoName057(16) y Meta Yadro Legion —inicialmente conocido como AlfaNet—, una asociación que ilustra cómo capacidades diferentes pueden coexistir dentro de un mismo ecosistema: investigación y contextualización del objetivo por un lado; capacidad técnica de intervención por el otro.

No es necesario que todas esas capacidades residan dentro de una misma organización. La evolución del hacktivismo también está ocurriendo a través de la especialización y la cooperación entre actores.

Esto no significa que todas las operaciones requieran el mismo nivel de sofisticación ni que cada una reproduzca una cadena operacional idéntica. Sí implica que pasar de descubrir una interfaz vulnerable a comprender qué controla, qué variable modifica y qué consecuencia podría generar requiere conocimiento especializado. Ese conocimiento puede pertenecer al actor que ejecuta el acceso o formar parte de una capacidad distribuida entre aliados, investigadores, equipos OSINT y otros componentes del ecosistema

 

Lo que ocurre después del acceso también importa

Para NoName057(16), el acceso técnico constituye solo una capa de la operación. El grupo ha descrito reiteradamente el éxito en términos que incluyen impacto económico, costo reputacional, reacción institucional, cobertura mediática y efectos políticos de más largo plazo. iQBlack evaluó previamente este modelo como una economía de reacción: el acontecimiento cibernético inicial genera una respuesta, y esa respuesta se convierte a su vez en material para producir nueva presión.

OT resulta particularmente útil dentro de esa estrategia porque sus posibles consecuencias son comprensibles incluso fuera de la comunidad de ciberseguridad. Un sitio web temporalmente inaccesible necesita explicación. Un sistema de agua potable, no. Tampoco una instalación de generación eléctrica, un sistema de calefacción o una infraestructura que controle químicos, bombas o procesos de producción alimentaria.

La posibilidad de consecuencias físicas introduce una capa adicional de presión psicológica y política incluso cuando el impacto técnico real sea limitado.

 

El próximo objetivo no tiene por qué ser el agua

NoName057(16) no opera de forma aislada. Forma parte de un ecosistema prorruso más amplio donde actores como Z-Pentest, PalachPro, Beregini, Morningstar y otros han expandido progresivamente los límites tradicionalmente asociados con la actividad hacktivista.

Las autoridades estadounidenses también han desplazado su evaluación en esa dirección. Un advisory conjunto emitido por el FBI, CISA, NSA y otros organismos advirtió sobre grupos hacktivistas prorrusos que intentaban acceder a dispositivos de control OT pertenecientes a infraestructura crítica y señaló que entre las posibles consecuencias podía existir daño físico.

Los 53 casos monitoreados por iQBlack no deberían interpretarse como un catálogo de intrusiones espectaculares. Su relevancia se encuentra en lo que la secuencia indica sobre la dirección de la amenaza.

La transición desde DDoS hacia OT no exige abandonar el DDoS. Ambas capacidades pueden coexistir. Y de hecho lo hacen. Pero una genera disrupción escalable y visibilidad; la otra introduce la posibilidad de influir sobre el proceso físico que sostiene al servicio.

Para los profesionales de seguridad, operadores y gobiernos, esto cambia aquello que debe protegerse y la forma en que deben comprenderse las consecuencias. Para los actores, cambia lo que un ataque puede significar.

El próximo sistema no tiene por qué controlar agua potable. Y la próxima consecuencia no tiene por qué permanecer dentro del mundo digital.