¿Está en peligro la energía? La vulnerabilidad digital de Vaca Muerta

Vaca Muerta es la joya de la corona energética de la Argentina, y también se ha convertido en un nodo estratégico para la geopolítica digital. Mientras los taladros y la infraestructura de extracción avanzan hacia una digitalización acelerada, una amenaza silenciosa acecha desde el otro lado de la pantalla: el ciberataque a la infraestructura crítica.

En un escenario donde los sistemas industriales (OT, sigla en inglés por tecnología operativa) conviven con las redes corporativas y los vectores de ataque se sofistican mediante inteligencia artificial, la ciberseguridad dejó de ser un asunto exclusivo de los departamentos de tecnologías de la información (TI) para convertirse en una cuestión de soberanía y continuidad operativa.

Para profundizar en estos desafíos, iProfesional entrevistó a Flavia Méndez, fundadora y directora general ejecutiva de Cyber Summit. Méndez analiza la situación de las petroleras que operan en los yacimientos neuquinos, y advirtió sobre las vulnerabilidades en la cadena de proveedores, el impacto del espionaje industrial y la urgente necesidad de adaptar las estrategias de defensa a un terreno donde un error digital puede tener consecuencias físicas devastadoras.

-¿Qué tan vulnerables están hoy las operadoras de Vaca Muerta frente a una amenaza de esta escala?

-El sector energético es hoy uno de los blancos más codiciados a nivel global, y la Argentina no es la excepción. Las operadoras de Vaca Muerta manejan infraestructura crítica con altísimo impacto productivo y económico, lo que las convierte en objetivos de alto valor.

El problema es que muchas compañías todavía operan con una mentalidad de seguridad TI trasladada a entornos OT, y eso no funciona. Un entorno industrial tiene características propias: sistemas "legacy" (legados), protocolos propietarios, disponibilidad 24/7 que no admite ventanas de parcheo y consecuencias físicas ante una brecha exitosa. La madurez en ciberseguridad industrial en Argentina está creciendo, pero sigue siendo asimétrica respecto al ritmo de digitalización de los yacimientos.

-¿Están las petroleras que trabajan en Vaca Muerta lidiando con ataques patrocinados por estados-nación o la mayor amenaza sigue siendo el cibercrimen financiero?

-Las dos amenazas conviven, pero con perfiles distintos. Los actores patrocinados por estados priorizan el espionaje y el posicionamiento estratégico a largo plazo: entrar, persistir y observar sin ser detectados. Los grupos de cibercrimen financiero buscan rentabilidad rápida: ransomware, extorsión, venta de accesos en foros clandestinos.

Para una operadora en Vaca Muerta, ambos escenarios son igualmente peligrosos pero requieren estrategias de defensa distintas. El vector más subestimado en la región es el espionaje industrial: robo de datos, contratos y tecnología de perforación. Ese daño no aparece en un titular, pero puede ser devastador a largo plazo.

-En 2026, los atacantes priorizan intrusiones silenciosas y a largo plazo. Además, se observa un giro hacia la "exfiltración pura de datos" por sobre el cifrado de redes. ¿Cómo afecta esta tendencia a la protección de la propiedad intelectual, los datos geológicos y la información estratégica de las compañías locales?

-Esta es una de las tendencias más preocupantes para el sector. Antes, una empresa sabía que fue atacada porque sus sistemas quedaban cifrados. Hoy, el atacante entra, permanece meses en la red, copia datos, planos de infraestructura y acuerdos comerciales sensibles, y se retira sin dejar rastro visible.

El daño no aparece en el balance ni en los sistemas: aparece cuando esa información se usa en su contra. Cuando un competidor llega con datos que no debería tener o cuando una negociación sale mal por razones inexplicables. La pregunta que tienen que hacerse los directivos ya no es "¿nos atacaron?" sino "¿cuánto tiempo llevan adentro?"

-Vaca Muerta avanza con sensores, telemetría y uso intensivo de la nube informática, pero convive con sistemas de control industrial (OT) que evolucionaron de protocolos antiguos. ¿Cómo se protege una infraestructura donde una vulnerabilidad digital puede causar un estrago físico?

-Este es el núcleo del problema en ciberseguridad industrial. La convergencia TI/OT abre superficies de ataque que antes no existían: un sensor conectado a la nube puede ser el vector de entrada a un sistema de control que regula presión, temperatura o flujo. La defensa requiere segmentación de redes, visibilidad total del entorno OT y playbooks de respuesta pensados para entornos donde no se puede simplemente "apagar y reiniciar".

El marco de referencia es la norma IEC 62443, que define niveles de seguridad para sistemas de control industrial y que todavía tiene baja adopción en la región. La buena noticia es que cada vez más operadoras están incorporando este estándar como requisito mínimo para sus proveedores y contratistas.

Centro de operaciones de YPF en Vaca Muerta

-Los cibercriminales ya operan con agentes autónomos de inteligencia artificial (IA), "deepfakes" para ingeniería social e inyección de "prompts". ¿Los centros de operaciones de seguridad (CSIRT) de las empresas energéticas usan herramientas a la misma altura para defenderse?

-La asimetría es real y preocupante. Los atacantes usan IA para automatizar el reconocimiento, personalizar el phishing y acelerar la explotación de vulnerabilidades. Los "deepfakes" para ingeniería social (como audios o videos falsos de directivos que autorizan transferencias o cambios de configuración) ya no son ciencia ficción: son una realidad operativa. El problema es que los CSIRT de muchas empresas energéticas latinoamericanas siguen operando con herramientas reactivas y equipos pequeños.

La brecha no es solo tecnológica, es de velocidad de respuesta. Cuando el atacante tiene IA y el defensor trabaja con procesos manuales, la asimetría es estructural. El desafío es incorporar capacidades de detección impulsadas por IA sin perder el criterio humano que sigue siendo indispensable para tomar decisiones en entornos críticos.

-Casi un tercio de las brechas de datos se originan en terceros. Si se considera el enorme ecosistema de pymes y contratistas que giran en torno a Añelo, ¿la cadena de proveedores es el eslabón más débil para ingresar a los sistemas de las operadoras principales?

-Sin duda es uno de los vectores más críticos y menos atendidos. Una operadora grande puede tener niveles de madurez razonables en ciberseguridad, pero sus contratistas, ya sean empresas de logística, mantenimiento o servicios de campo, muchas veces no tienen ni una política básica de contraseñas. Y todas esas pymes se conectan, en algún punto, a los sistemas de la operadora principal.

El atacante no necesita romper el muro más fuerte: necesita encontrar la puerta lateral más débil. El ecosistema de Añelo es un ejemplo perfecto de esta superficie de ataque expandida. La solución no pasa por exigirle a una pyme que tenga el mismo nivel de madurez que una multinacional, sino por establecer requisitos mínimos claros, segmentar los accesos y monitorear los puntos de conexión.

Flavia Méndez

-América latina sufre una escasez crítica de profesionales especializados en ciberseguridad. ¿Cómo hacen las empresas del sector para formar y retener talento capaz de defender estas infraestructuras críticas frente a la competencia internacional?

-Globalmente, el déficit de profesionales en ciberseguridad supera los 4 millones de personas según ISC2. En América latina, la brecha se profundiza porque hay una especialización adicional requerida: el conocimiento OT/ industrial, que combina ingeniería de sistemas con seguridad informática. Es un perfil escaso a nivel mundial. Las empresas de la región compiten por ese talento contra ofertas de Europa y Estados Unidos que multiplican los salarios locales.

La respuesta no puede ser solo contratar: tiene que ser formar. Y eso requiere que las organizaciones inviertan en programas de capacitación interna, que las universidades incorporen estas carreras en su oferta, y que existan espacios de comunidad donde ese conocimiento circule. Esa es precisamente la razón de ser de Cyber Summit: construir comunidad, elevar capacidades y hacer que más profesionales de la región elijan esta especialidad.

-Para un CEO o directorio de una petrolera, ¿dónde debería estar el foco real de la inversión hoy en cuanto a seguridad digital?

-En tres prioridades concretas. Primero, visibilidad: no podés defender lo que no ves, y muchos entornos OT son cajas negras incluso para sus propios operadores. Antes de comprar tecnología de defensa, hay que saber qué hay en la red.

Segundo, respuesta ante incidentes: tener "playbooks" específicos para entornos industriales, no adaptaciones de manuales TI. La diferencia entre contener un incidente en dos horas o en dos semanas puede medirse en millones de dólares de producción perdida.

Y tercero, cultura organizacional: el factor humano sigue siendo el vector de entrada más explotado, y ninguna inversión tecnológica lo reemplaza. Un directorio que solo ve la ciberseguridad como un costo de TI está mal parado. Es una conversación de continuidad operacional, reputación y responsabilidad regulatoria.