Dinamarca detectó el ataque a 22 operadoras porque miraba 300 empresas a la vez

El sensor está diseñado contra la objeción, no contra el ataque

La primera pregunta de cualquier responsable de seguridad es quién mira su tráfico. Cada decisión técnica del sensor de SektorCERT responde a esa pregunta antes de que se formule. Es un tap pasivo, o sea que copia el tráfico y no puede afectar la red. Observa solo el borde, es decir el tráfico que la empresa ya envía a la internet abierta. Y los datos vuelven por un enlace 4G separado, fuera de banda, cifrados en tránsito y en reposo, para no usar la línea del miembro.

Sobre esa base se agregan dos cosas que un proveedor comercial no ofrece. La primera es el análisis de protocolos industriales como Modbus y Profinet, que es lo que permite ver tráfico de PLC y de RTU. La segunda es un honeypot opcional en el ambiente de producción: un equipo físico configurado para parecer un PLC, que alarma si alguien intenta entrar.

Compra escala afuera y se guarda el conocimiento del sector

Un CERT sectorial chico no puede tener 450 analistas ni una guardia de respuesta dimensionada para el pico. SektorCERT no lo intenta. Contrata el análisis a Red Canary, usa CrowdStrike como agente de endpoint, y tiene un retainer con mnemonic, la mayor empresa de respuesta a incidentes de los países nórdicos, que cubre a todos los miembros: el contrato es parte de la cuota y las horas las paga quien las usa.

Lo que se guarda es lo que nadie puede comprar: la red de sensores, el foro cerrado donde los miembros discuten entre pares, el conocimiento del sector y la relación con las autoridades. Ese reparto es lo que hace viable el modelo a escala argentina.

Cuotas y nada más, por dos razones que están escritas

El folleto de membresía es explícito: SektorCERT se financia 100% con cuotas y no intervienen fondos públicos. Da dos razones. La primera es poder actuar sin depender de qué agenda está en foco en la política danesa. La segunda es más fina y es la que más pesa acá: al ser una entidad privada, no se le puede solicitar acceso a la información, de modo que un incidente compartido permanece confidencial.

En Argentina ese argumento se traduce sin pérdida. Los sujetos obligados de la Ley 27.275 son organismos públicos y empresas con participación estatal. Un incidente reportado a un organismo del Estado puede ser pedido por un tercero. Reportado a una asociación civil de la industria, no.

La membresía se organiza en cuatro figuras, y una de ellas explica cómo se llega a 300 miembros sin vender de a uno: la cámara firma en nombre de sus socios. Las otras tres son la afiliación de un subconjunto administrada por la cámara con descuento, la individual, y la de proveedor crítico, que exige que dos miembros lo avalen como garantes.

La primera ola explotó una vulnerabilidad en firewalls Zyxel, CVE-2023-28771, publicada con su parche el 25 de abril. Once de las 22 empresas atacadas no habían instalado la actualización, pese al aviso previo del propio SektorCERT, y eso les valió una crítica pública. Un miembro ni siquiera creía tener un equipo Zyxel: se lo había instalado un proveedor al montar cámaras. Otro perdió el firewall que además hacía de router de la red de operación, salió a manejar los sitios remotos a mano y terminó seis días en isla.

La parte que se cita menos: en enero de 2024 Forescout publicó un análisis que sostiene que las dos olas no estaban vinculadas y que la segunda fue explotación masiva y oportunista contra firewalls sin parchear en todo el mundo. La atribución al grupo Sandworm, que el reporte danés dejó abierta, no se sostiene para esa segunda ola.

Conviene decirlo, y conviene decirlo primero, porque no debilita el argumento: lo refuerza. Si la infraestructura crítica de un país entero fue comprometida por un actor sin recursos de Estado aprovechando equipos sin parchear, entonces el problema está al alcance del atacante común. Y lo que no está en discusión es la detección. La red de sensores vio el patrón porque miraba a través de las empresas, no dentro de una.

De ahí salen las dos conclusiones que el propio SektorCERT escribió, y que son el argumento entero en dos líneas. La primera: una vulnerabilidad sistémica es la misma falla presente en muchas empresas, y ninguna de ellas la ve como problema propio. La segunda: mirar los datos de cientos de empresas permite detectar lo que es invisible cuando cada una se monitorea sola.

CAMMESA es una sociedad anónima donde el 80% se reparte en partes iguales entre las cuatro asociaciones del sector eléctrico: AGEERA de generadores, ATEERA de transportistas, ADEERA de distribuidores y AGUEERA de grandes usuarios. El 20% restante es del Estado, que ejerce la presidencia (Decreto 1192/92). Las empresas que habría que convocar para un CERT sectorial ya son socias entre sí en la administración del despacho eléctrico.

Hay un segundo antecedente, y es del lado del gas. El Decreto 180/2004 creó el Mercado Electrónico de Gas y definió su función, pero no lo operó: la Bolsa de Comercio de Buenos Aires constituyó MEGSA en octubre de ese año y el ENARGAS aprobó después su reglamento operativo por Resolución 939/2005. Dos veces, con doce años de diferencia, Argentina ejecutó el mismo patrón: el Estado convoca por decreto y el privado constituye y opera.

El contraste está dentro del propio país. Los bancos argentinos comparten infraestructura crítica desde 1980 y el Banco Central les exige avisar un ciberincidente dentro de la primera hora, por Comunicación A 8280. En energía no hay norma de reporte, ni canal, ni registro: catorce incidentes en seis años, y siete de ellos se conocen solo porque el atacante los publicó.

El Estado danés puso el mandato y la estrategia, y se abstuvo de operar la detección. Ese reparto fue una decisión, no un descuido, y es la parte del diseño que más conviene copiar.

La medida argentina del hueco está en un documento del propio Estado. El programa que financia el Banco Interamericano de Desarrollo para infraestructuras críticas de información arranca de una línea de base del 9%, medida en 2021. Ese es el porcentaje de sectores con infraestructura crítica identificada, y la meta declarada es llegar al 50% en 2028.

Chile armó las tres piezas en dos años, y con otro diseño

El contraargumento de que esto lleva décadas se cae cruzando la cordillera. La Ley 21.663 creó en 2024 la Agencia Nacional de Ciberseguridad, y el 24 de julio de 2026 la agencia cerró la primera nómina de Operadores de Importancia Vital, con energía eléctrica incluida. El perímetro regulado chileno ya tiene nombre y apellido.

La tercera pieza va por un camino distinto del danés, y es el que Argentina copiaría por inercia si el sector no se organiza antes. El CSIRT del sector eléctrico chileno lo va a operar el Coordinador Eléctrico Nacional, que es el equivalente de CAMMESA. Su costo de implementación y de operación se va a pedir dentro del presupuesto regulado del organismo, una vez publicada la norma técnica de ciberseguridad. Lo que aceleró todo fue el apagón nacional del 25 de febrero de 2025.

Ese diseño es más rápido y no le cuesta nada al que lo propone, pero tiene un precio que conviene mirar de frente. Alojar el intercambio dentro de una entidad con participación estatal reabre las dos cosas que SektorCERT resolvió siendo privada: la exposición al régimen de acceso a la información pública, y la dependencia de que el Estado siga interesado el año que viene.

Un ISAC de petróleo y gas arrancó con USD 150,000 y sin empleados

La segunda referencia es más útil porque cubre el arranque, que es la parte que decide si algo existe. ONE-ISAC, el centro de intercambio del sector de petróleo y gas de Estados Unidos, presenta cada año su declaración al fisco y son públicas. Fundado en 2014 sobre una cámara sectorial, sin ninguna ley que obligara a nadie a afiliarse.

Tres cosas se leen ahí. La primera es que el año uno costó USD 149,881 en el país más caro del mundo para contratar seguridad. La segunda es que en 2014 recaudaron y no gastaron: el arranque se financió con la caja del año anterior a operar, que es exactamente lo que hicieron los tres fundadores de KraftCERT al garantizar el fondeo. La tercera está en lo que no aparece: en las diez declaraciones, el renglón de contribuciones y subsidios es cero. Diez años sin un peso de plata pública.

Y hay un dato que cambia el diseño, no solo el presupuesto: ONE-ISAC declara cero sueldos en los diez ejercicios, mientras gasta hasta USD 1,352,446 por año. No tiene empleados. La operación la presta un tercero bajo contrato. La dotación propia no es un requisito del modelo sino una decisión, y es la más cara de revertir.

El escenario completo queda en el mismo orden de magnitud que KraftCERT, con más gente y más sensores, que es lo que corresponde al cambiar de país de costos. El escenario mínimo es el que importa, porque es el que decide si esto arranca. Contra el precedente de ONE-ISAC, esos USD 270,000 dejan de ser una apuesta: quedan por encima del arranque estadounidense, en un país donde una persona senior de seguridad cuesta un tercio. Y si la operación se compra en vez de construirse, el piso baja hacia el rango de 150,000 a 200,000.

Cuatro anclas aportan USD 320,000 contra un costo de 270,000. Con eso el primer año está pago, y ese es el número que hay que llevar a la primera reunión. Cuarenta miembros repartidos en los cinco tramos rinden USD 710,000, que cubre casi todo el escenario medio. Para dimensionar la comparación: SektorCERT tiene más de 300 miembros.

Dónde falla el financiamiento por cuotas

El modelo tiene un punto de quiebre documentado y conviene ponerlo sobre la mesa antes que un escéptico. MS-ISAC, el centro de intercambio de los gobiernos estaduales y locales de Estados Unidos, tenía 18,574 miembros el 30 de septiembre de 2025, el día que perdió los USD 27,000,000 anuales que le aportaba el gobierno federal. Al pasar a cuotas escalonadas, desde USD 1,495 al año para las jurisdicciones chicas, perdió alrededor del 70% de su membresía.

La lectura fácil es que las cuotas no alcanzan. La lectura correcta es otra: nacer cobrando no es lo mismo que empezar a cobrar. ONE-ISAC y WaterISAC cobran desde el primer día y llevan diez y veinticuatro años creciendo. A los miembros de MS-ISAC les pidieron que pagaran por algo que ya venían recibiendo gratis, y el 70% lo leyó como lo que era para ellos: un recorte.

De ahí sale una condición de diseño concreta. El valor de un centro sectorial crece con la cantidad de empresas que reportan, así que el escalón de entrada tiene que ser lo bastante bajo como para no dejar afuera a la cola larga. Los USD 3,000 de la cooperativa eléctrica están en el orden correcto, y el piso estadounidense sugiere que conviene bajarlo todavía más: una distribuidora chica que reporta un incidente vale más de lo que paga.

El informe de monitoreo del período enero a diciembre de 2025, validado en mayo de 2026, registra USD 2,500,000 desembolsados sobre 30 millones. Contra productos concretos, la matriz de resultados computa USD 713,215 ejecutados en tres años: el 2.4%.

Eso no significa que el programa esté quieto. El plan de adquisiciones vigente, de julio de 2026, tiene 42 procesos por USD 24,385,949, con contratos firmados y licitaciones abiertas. Significa otra cosa, y se ve buscando palabras en ese plan: "privado", "intercambio", "sectorial" y "energía" no aparecen ni una vez. El instrumento entero apunta al Estado.

La plataforma que se está comprando escanea todo el país

La licitación más avanzada del programa, abierta en mayo de 2026 por USD 1,200,000, compra una plataforma de observación del ciberespacio para el Centro Nacional de Ciberseguridad. Según su pliego, escanea de forma activa la totalidad de las direcciones IP asignadas a la Argentina y el dominio .ar, con cadencia no mayor a 12 horas. El universo declarado supera los 20 millones de nodos, y las vulnerabilidades se verifican sin explotarlas.

Buena parte de lo que ese escaneo va a encontrar pertenece a operadores privados de infraestructura crítica: transportistas y distribuidoras de gas y de electricidad, productores, refinadores, generadores. Empresas fuera del sector público, sobre las que no rige ninguna obligación de ciberseguridad sectorial y con las que no existe ningún canal establecido.

El canal está previsto en el propio programa. En el primer componente hay un producto llamado "plataformas para el análisis de amenazas e intercambio de información con el sector privado implementado", con meta de una plataforma a 2028 y presupuesto ajustado de USD 2,600,000. El informe de monitoreo confirma que los objetivos de la operación no se reformularon, o sea que el compromiso sigue vigente. Su avance físico y financiero al cierre de 2025 es cero, y programó USD 650,000 para ese año que no llegó a usar.

De ahí sale el punto entero de este memo. Dentro de unos meses el Estado argentino va a tener el detalle de lo que está expuesto en la infraestructura energética privada del país. Le van a faltar cuatro cosas: una entidad sectorial con la que coordinar, un protocolo de manejo de esa información, un acuerdo de confidencialidad y la garantía de que un hallazgo compartido no derive en una sanción o en una revisión tarifaria. Avisar caso por caso en esas condiciones es peor que no avisar, porque consolida la desconfianza que después impide cualquier intercambio.

La pregunta que queda no es de dónde sale la plata. Es quién firma del otro lado.

Antes del orden hay una decisión de forma, y las dos referencias de este memo apuntan en direcciones distintas. SektorCERT llegó a los sensores después de tener mandato legal y trescientos miembros reclutados por cámaras. ONE-ISAC nunca puso un sensor y lleva doce años funcionando. Poner sensores en el primer año obliga a abrir la conversación por la objeción más difícil, que es quién mira el tráfico, y a hacerlo antes de haber construido la confianza que la vuelve respondible.

De ahí la forma que se propone acá: SektorCERT como destino a cinco años y ONE-ISAC como forma de arranque. Intercambio, alertas y coordinación primero, alojados en una cámara que ya tiene el padrón; cuotas escalonadas desde el primer día; y la capacidad operativa contratada en vez de construida. Los sensores llegan cuando el intercambio ya funciona y alguien los pide.

Proyecto de resolución de la Secretaría de Energía

Crea la Mesa de Ciberseguridad del Sector Energético como espacio de participación voluntaria, sin facultades de dirección ni de fiscalización sobre sus integrantes. La integran la Secretaría, que coordina, el ente regulador, el Centro Nacional de Ciberseguridad como invitado permanente, CAMMESA, las cuatro asociaciones eléctricas, el IAPG, MEGSA y los operadores que adhieran.

Su mandato tiene dos mitades. La primera es de diseño: proponer el vehículo jurídico y el financiamiento de un mecanismo permanente de intercambio, operado por los propios operadores. La segunda es de reglas: el protocolo de manejo de la información, los criterios de identificación de infraestructura crítica del sector, un esquema de notificación voluntaria y las modificaciones normativas necesarias. Crea además un registro voluntario y gratuito de puntos de contacto de ciberseguridad, con acceso restringido a sus inscriptos.

Tres cláusulas hacen el trabajo pesado. La información compartida en la Mesa no se usa como base de procedimientos sancionatorios, de fiscalización ni de revisión tarifaria. La Mesa tiene 180 días para elevar su propuesta con presupuesto. Y su funcionamiento no irroga erogación presupuestaria: la secretaría técnica la ejerce sin cargo una entidad sectorial sin fines de lucro. Un artículo final invita a la Jefatura de Gabinete a evaluar la asignación del producto de intercambio con el sector privado del préstamo BID a lo que la Mesa proponga.

Ese diseño es deliberado. No cuesta nada, no crea obligaciones para privados, no crea estructura ni cargos, y le da agenda al firmante en una materia donde Argentina está detrás de Chile y de Brasil. El precedente es el regulador noruego, que en 2014 exhortó a la industria a armar su propio equipo de seguridad y así nació KraftCERT.

Lo que solo puede hacer una ley

Una resolución compromete la conducta del organismo que la dicta. No puede crear una excepción al régimen de acceso a la información pública ni eximir de responsabilidad frente a terceros. Esas protecciones son la razón de ser del segundo borrador, y son cinco.

Alrededor de esas cinco protecciones va el resto: obligaciones graduadas por nivel, notificación escalonada a las 3 horas, 72 horas y 15 días como en la ley chilena vigente desde 2025, y la figura del centro sectorial reconocido, con una cláusula que cambia el incentivo entero: notificar a través del centro tiene por cumplido el deber de notificar ante la autoridad.

Las referencias del articulado son la Ley 21.663 de Chile, la Cybersecurity Information Sharing Act de 2015 y los proyectos 4878-D-2021 y 0146-D-2023, que propusieron un plan nacional de infraestructuras críticas de la energía y no tuvieron tratamiento.

No se puede afirmar que un consorcio hubiera evitado ninguno de los catorce incidentes del registro argentino, ni que vaya a evitar el próximo. SektorCERT tampoco previno el de 2023: once de las 22 empresas atacadas no habían parcheado pese al aviso. Un centro sectorial hace que el ataque se vea y se corte antes, y no arregla la higiene de sus miembros.

Los tres escenarios de costo son estimaciones propias y no un presupuesto validado. El supuesto de USD 60,000 anuales por persona no sale de una encuesta salarial: sale de acotar entre lo que paga el trabajo remoto dolarizado y el costo noruego verificado. Cambiar ese supuesto mueve todo lo demás. Las cifras de ONE-ISAC sí son declaraciones fiscales, pero describen otro país y otro mercado de proveedores: sirven como orden de magnitud, no como presupuesto trasladable.

Del préstamo BID se puede afirmar lo que dicen sus documentos públicos: que el producto de intercambio con el sector privado sigue vigente y sin ejecutar, y que el plan de adquisiciones no registra procesos dirigidos al sector privado. No se puede afirmar que esos fondos estén disponibles, ni que una entidad privada pueda recibirlos, porque el prestatario es el Estado y ninguna otra parte tiene derecho a esos fondos. Tampoco que un programa con 2.4% de ejecución en tres años vaya a acelerar porque aparezca una contraparte.

Que la plataforma de observación del ciberespacio vaya a encontrar vulnerabilidades en operadoras energéticas privadas es una inferencia razonable a partir de su alcance declarado, no un hecho verificado. Tampoco está verificado que no exista ya algún mecanismo previsto de devolución de hallazgos a esos operadores: lo verificado es que no aparece en los documentos públicos del programa.

Tampoco se puede afirmar que no existan hoy canales informales entre responsables de seguridad de las energéticas argentinas. Lo verificado es que no hay rastro público ni institucional de ninguno, y la ausencia de rastro no es prueba de ausencia.

Matías Podeley. Ingeniero del ITBA, dieciocho años en energía: cuatro de operación en Neuquén, simulación de yacimientos gigantes como Camisea y respaldo técnico a compras de activos por más de US$ 300 millones. Buenos Aires.

El trabajo empírico que está debajo de este memo: el registro de ciberincidentes en energía e infraestructura crítica argentina, con la fuente de cada fila.

matias@podeley.ar · Buenos Aires