Dinamarca detectó el ataque a 22 operadoras porque miraba 300 empresas a la vez

El sensor está diseñado contra la objeción, no contra el ataque

La primera pregunta de cualquier responsable de seguridad es quién mira su tráfico. Cada decisión técnica del sensor de SektorCERT responde a esa pregunta antes de que se formule. Es un tap pasivo, o sea que copia el tráfico y no puede afectar la red. Observa solo el borde, es decir el tráfico que la empresa ya envía a la internet abierta. Y los datos vuelven por un enlace 4G separado, fuera de banda, cifrados en tránsito y en reposo, para no usar la línea del miembro.

Sobre esa base se agregan dos cosas que un proveedor comercial no ofrece. La primera es el análisis de protocolos industriales como Modbus y Profinet, que es lo que permite ver tráfico de PLC y de RTU. La segunda es un honeypot opcional en el ambiente de producción: un equipo físico configurado para parecer un PLC, que alarma si alguien intenta entrar.

Compra escala afuera y se guarda el conocimiento del sector

Un CERT sectorial chico no puede tener 450 analistas ni una guardia de respuesta dimensionada para el pico. SektorCERT no lo intenta. Contrata el análisis a Red Canary, usa CrowdStrike como agente de endpoint, y tiene un retainer con mnemonic, la mayor empresa de respuesta a incidentes de los países nórdicos, que cubre a todos los miembros: el contrato es parte de la cuota y las horas las paga quien las usa.

Lo que se guarda es lo que nadie puede comprar: la red de sensores, el foro cerrado donde los miembros discuten entre pares, el conocimiento del sector y la relación con las autoridades. Ese reparto es lo que hace viable el modelo a escala argentina.

Cuotas y nada más, por dos razones que están escritas

El folleto de membresía es explícito: SektorCERT se financia 100% con cuotas y no intervienen fondos públicos. Da dos razones. La primera es poder actuar sin depender de qué agenda está en foco en la política danesa. La segunda es más fina y es la que más pesa acá: al ser una entidad privada, no se le puede solicitar acceso a la información, de modo que un incidente compartido permanece confidencial.

En Argentina ese argumento se traduce sin pérdida. Los sujetos obligados de la Ley 27.275 son organismos públicos y empresas con participación estatal. Un incidente reportado a un organismo del Estado puede ser pedido por un tercero. Reportado a una asociación civil de la industria, no.

La membresía se organiza en cuatro figuras, y una de ellas explica cómo se llega a 300 miembros sin vender de a uno: la cámara firma en nombre de sus socios. Las otras tres son la afiliación de un subconjunto administrada por la cámara con descuento, la individual, y la de proveedor crítico, que exige que dos miembros lo avalen como garantes.

La primera ola explotó una vulnerabilidad en firewalls Zyxel, CVE-2023-28771, publicada con su parche el 25 de abril. Once de las 22 empresas atacadas no habían instalado la actualización, pese al aviso previo del propio SektorCERT, y eso les valió una crítica pública. Un miembro ni siquiera creía tener un equipo Zyxel: se lo había instalado un proveedor al montar cámaras. Otro perdió el firewall que además hacía de router de la red de operación, salió a manejar los sitios remotos a mano y terminó seis días en isla.

La parte que se cita menos: en enero de 2024 Forescout publicó un análisis que sostiene que las dos olas no estaban vinculadas y que la segunda fue explotación masiva y oportunista contra firewalls sin parchear en todo el mundo. La atribución al grupo Sandworm, que el reporte danés dejó abierta, no se sostiene para esa segunda ola.

Conviene decirlo, y conviene decirlo primero, porque no debilita el argumento: lo refuerza. Si la infraestructura crítica de un país entero fue comprometida por un actor sin recursos de Estado aprovechando equipos sin parchear, entonces el problema está al alcance del atacante común. Y lo que no está en discusión es la detección. La red de sensores vio el patrón porque miraba a través de las empresas, no dentro de una.

De ahí salen las dos conclusiones que el propio SektorCERT escribió, y que son el argumento entero en dos líneas. La primera: una vulnerabilidad sistémica es la misma falla presente en muchas empresas, y ninguna de ellas la ve como problema propio. La segunda: mirar los datos de cientos de empresas permite detectar lo que es invisible cuando cada una se monitorea sola.

CAMMESA es una sociedad anónima donde el 80% se reparte en partes iguales entre las cuatro asociaciones del sector eléctrico: AGEERA de generadores, ATEERA de transportistas, ADEERA de distribuidores y AGUEERA de grandes usuarios. El 20% restante es del Estado, que ejerce la presidencia (Decreto 1192/92). Las empresas que habría que convocar para un CERT sectorial ya son socias entre sí en la administración del despacho eléctrico.

Hay un segundo antecedente, y es del lado del gas. El Decreto 180/2004 creó el Mercado Electrónico de Gas y definió su función, pero no lo operó: la Bolsa de Comercio de Buenos Aires constituyó MEGSA en octubre de ese año y el ENARGAS aprobó después su reglamento operativo por Resolución 939/2005. Dos veces, con doce años de diferencia, Argentina ejecutó el mismo patrón: el Estado convoca por decreto y el privado constituye y opera.

El contraste está dentro del propio país. Los bancos argentinos comparten infraestructura crítica desde 1980 y el Banco Central les exige avisar un ciberincidente dentro de la primera hora, por Comunicación A 8280. En energía no hay norma de reporte, ni canal, ni registro: catorce incidentes en seis años, y siete de ellos se conocen solo porque el atacante los publicó.

El Estado danés puso el mandato y la estrategia, y se abstuvo de operar la detección. Ese reparto fue una decisión, no un descuido, y es la parte del diseño que más conviene copiar.

La medida argentina del hueco está en un documento del propio Estado. El programa que financia el Banco Interamericano de Desarrollo para infraestructuras críticas de información arranca de una línea de base del 9%, medida en 2021. Ese es el porcentaje de sectores con infraestructura crítica identificada, y la meta declarada es llegar al 50% en 2028.

El escenario completo queda en el mismo orden de magnitud que KraftCERT, con más gente y más sensores, que es lo que corresponde al cambiar de país de costos. El escenario mínimo es el que importa, porque es el que decide si esto arranca.

Cuatro anclas aportan USD 320,000 contra un costo de 270,000. Con eso el primer año está pago, y ese es el número que hay que llevar a la primera reunión. Cuarenta miembros repartidos en los cinco tramos rinden USD 710,000, que cubre casi todo el escenario medio. Para dimensionar la comparación: SektorCERT tiene más de 300 miembros.

El informe de monitoreo público del período enero a diciembre de 2025, validado en mayo de 2026, registra USD 2,500,000 desembolsados. Es el 8.33% en tres años.

Dentro de la matriz de resultados, en el primer componente, hay un producto con este nombre: "plataformas para el análisis de amenazas e intercambio de información con el sector privado implementado". Meta, una plataforma a 2028. Presupuesto, entre USD 950,000 y 2,600,000 según la versión programada o la ajustada. Avance físico y financiero al cierre de 2025, cero.

El resto del componente ayuda a entender por qué. Los productos que sí tienen presupuesto grande son el centro de operaciones de seguridad del gobierno, con SIEM y sensores para monitorear ministerios, y las capacidades operativas del CERT nacional. Es la arquitectura de SektorCERT apuntada al Estado. El sector privado aparece en un solo renglón de menos de un millón de dólares, y es el que no se movió.

La pregunta que queda no es de dónde sale la plata. Es quién firma del otro lado.

Proyecto de resolución de la Secretaría de Energía

Crea la Mesa de Ciberseguridad del Sector Energético como espacio de participación voluntaria, sin facultades de dirección ni de fiscalización sobre sus integrantes. La integran la Secretaría, que coordina, el ente regulador, el Centro Nacional de Ciberseguridad como invitado permanente, CAMMESA, las cuatro asociaciones eléctricas, el IAPG, MEGSA y los operadores que adhieran.

Su mandato tiene dos mitades. La primera es de diseño: proponer el vehículo jurídico y el financiamiento de un mecanismo permanente de intercambio, operado por los propios operadores. La segunda es de reglas: el protocolo de manejo de la información, los criterios de identificación de infraestructura crítica del sector, un esquema de notificación voluntaria y las modificaciones normativas necesarias. Crea además un registro voluntario y gratuito de puntos de contacto de ciberseguridad, con acceso restringido a sus inscriptos.

Tres cláusulas hacen el trabajo pesado. La información compartida en la Mesa no se usa como base de procedimientos sancionatorios, de fiscalización ni de revisión tarifaria. La Mesa tiene 180 días para elevar su propuesta con presupuesto. Y su funcionamiento no irroga erogación presupuestaria: la secretaría técnica la ejerce sin cargo una entidad sectorial sin fines de lucro. Un artículo final invita a la Jefatura de Gabinete a evaluar la asignación del producto de intercambio con el sector privado del préstamo BID a lo que la Mesa proponga.

Ese diseño es deliberado. No cuesta nada, no crea obligaciones para privados, no crea estructura ni cargos, y le da agenda al firmante en una materia donde Argentina está detrás de Chile y de Brasil. El precedente es el regulador noruego, que en 2014 exhortó a la industria a armar su propio equipo de seguridad y así nació KraftCERT.

Lo que solo puede hacer una ley

Una resolución compromete la conducta del organismo que la dicta. No puede crear una excepción al régimen de acceso a la información pública ni eximir de responsabilidad frente a terceros. Esas protecciones son la razón de ser del segundo borrador, y son cinco.

Alrededor de esas cinco protecciones va el resto: obligaciones graduadas por nivel, notificación escalonada a las 3 horas, 72 horas y 15 días como en la ley chilena vigente desde 2025, y la figura del centro sectorial reconocido, con una cláusula que cambia el incentivo entero: notificar a través del centro tiene por cumplido el deber de notificar ante la autoridad.

Las referencias del articulado son la Ley 21.663 de Chile, la Cybersecurity Information Sharing Act de 2015 y los proyectos 4878-D-2021 y 0146-D-2023, que propusieron un plan nacional de infraestructuras críticas de la energía y no tuvieron tratamiento.

No se puede afirmar que un consorcio hubiera evitado ninguno de los catorce incidentes del registro argentino, ni que vaya a evitar el próximo. SektorCERT tampoco previno el de 2023: once de las 22 empresas atacadas no habían parcheado pese al aviso. Un centro sectorial hace que el ataque se vea y se corte antes, y no arregla la higiene de sus miembros.

Los tres escenarios de costo son estimaciones propias y no un presupuesto validado. El supuesto de USD 60,000 anuales por persona no sale de una encuesta salarial: sale de acotar entre lo que paga el trabajo remoto dolarizado y el costo noruego verificado. Cambiar ese supuesto mueve todo lo demás.

Del préstamo BID solo se puede afirmar lo que dice su informe de monitoreo: que el producto de intercambio con el sector privado está presupuestado y sin ejecutar al cierre de 2025. No que esos fondos estén disponibles, ni que una entidad privada pueda recibirlos, ni que un programa con 8.33% de ejecución en tres años vaya a acelerar porque aparezca una contraparte.

Tampoco se puede afirmar que no existan hoy canales informales entre responsables de seguridad de las energéticas argentinas. Lo verificado es que no hay rastro público ni institucional de ninguno, y la ausencia de rastro no es prueba de ausencia.

Matías Podeley. Ingeniero del ITBA, dieciocho años en energía: cuatro de operación en Neuquén, simulación de yacimientos gigantes como Camisea y respaldo técnico a compras de activos por más de US$ 300 millones. Buenos Aires.

El trabajo empírico que está debajo de este memo: el registro de ciberincidentes en energía e infraestructura crítica argentina, con la fuente de cada fila.

matias@podeley.ar · Buenos Aires