El Black Hat Europe 2025 ha dejado una advertencia contundente para la industria de la construcción y la ciberseguridad: miles de edificios inteligentes en todo el mundo operan con sistemas de gestión que arrastran vulnerabilidades de seguridad que, en algunos casos, tienen hasta 18 años de antigüedad. La presentación, titulada “Project Brainfog: Hacking Smart Cities One Building at a Time – A City of a Thousand Zero Days”, expuso cómo un proveedor de sistemas de gestión de edificios (BMS) se ha convertido en un vector de riesgo crítico, al mantener software obsoleto y expuesto directamente en internet. El hallazgo no solo revela una fragilidad técnica, sino un fallo sistémico en los procesos de fusiones y adquisiciones, donde la seguridad del legado de código queda relegada, y en la práctica de aplicar parches superficiales sin erradicar las causas raíz.
18 años de deuda técnica: el caso de un sistema BMS expuesto en Black Hat
La investigación, presentada por Gjoko Krstic de Zero Science Lab, se centró en un único proveedor de sistemas de gestión de edificios cuyo producto, tras sucesivas adquisiciones corporativas, ha terminado operando sobre una base de código que data de 2007. Krstic documentó que más de 1.000 edificios a nivel global utilizan este sistema BMS, alojado en direcciones IP públicas y, por lo tanto, accesible desde cualquier lugar de la red. Lo más alarmante es que la raíz de una de las vulnerabilidades identificadas se remonta a un firmware de hace 18 años, lo que significa que el código ha viajado a través de múltiples dueños corporativos sin someterse a una auditoría de seguridad profunda durante las fusiones. El software no fue diseñado originalmente para estar conectado a internet, y el propio fabricante recomienda protegerlo tras una VPN, pero la realidad es que el despliegue en campo lo ha dejado expuesto.
El síndrome del parche superficial: por qué arreglar un síntoma no resuelve la enfermedad
Uno de los puntos más inquietantes que surgieron de la charla es el patrón de respuesta a las vulnerabilidades. A través de un proceso de divulgación coordinada, se han emitido numerosas correcciones. Sin embargo, Krstic señaló que el enfoque ha sido corregir el problema inmediato sin abordar la causa fundamental, lo que deja la puerta abierta a nuevas vulnerabilidades en el futuro. “No uses una curita mientras ignoras la causa subyacente”, fue el mensaje central. La lección para la industria es clara: tras la notificación de una vulnerabilidad, las empresas deben realizar una auditoría de código completa y lanzar un parche que elimine la raíz del problema, no solo la manifestación visible. De lo contrario, se genera un ciclo interminable de parches y nuevas brechas.
¿Qué es un sistema de gestión de edificios (BMS) y por qué es un objetivo crítico?
Un sistema de gestión de edificios (BMS, por sus siglas en inglés) es una plataforma de software que centraliza el control y monitoreo de las infraestructuras de un inmueble: climatización (HVAC), iluminación, control de accesos, sistemas contra incendios, ascensores y, crucialmente, la regulación de temperatura en centros de datos. La pregunta que debe responder cualquier responsable de seguridad es: ¿cómo funciona un ataque a un BMS? Un actor malicioso que logre comprometer el sistema podría, por ejemplo, ajustar el calor en una sala de servidores para provocar un sobrecalentamiento y una interrupción operativa. Peor aún, mediante los controles contra incendios, podría liberar todas las puertas de seguridad del edificio, permitiendo el acceso físico no autorizado. Aunque suene a trama de película, la viabilidad técnica es muy alta, como demostró la investigación.
La raíz del problema: propiedad vs. inquilino y la brecha de conocimiento en seguridad
El problema se agrava por una dinámica de responsabilidades a menudo difusa. En muchos edificios, el propietario o la administración de la propiedad (el landlord) es quien controla los sistemas BMS, y puede carecer del conocimiento, los recursos o la prioridad necesaria para asegurarlos al mismo nivel que un inquilino corporativo. Al mismo tiempo, la empresa que alquila el espacio puede no ser consciente del riesgo que suponen los servicios del edificio para sus propias operaciones. Esta asimetría de información y responsabilidad crea un punto ciego crítico en la postura de seguridad de cualquier organización. La recomendación es inequívoca: todas las compañías deben asegurarse de que los servicios que conforman la infraestructura del edificio estén protegidos al mismo nivel que sus sistemas corporativos, se parcheen regularmente y se auditen con la misma cadencia que sus propias auditorías de ciberseguridad.
Más allá de los BMS: el espejismo de los sistemas expuestos en IP pública
El caso de los sistemas de gestión de edificios no es aislado. La investigación de Black Hat pone de relieve un problema más amplio que afecta a múltiples tipos de infraestructura crítica: la exposición innecesaria de dispositivos y servicios en internet. Un ejemplo paradigmático son los servidores de Remote Desktop Protocol (RDP). Miles de estos servidores, muchos sin mecanismos de autenticación multifactor (MFA), permanecen accesibles desde direcciones IP públicas. El principio es el mismo: si eludir o comprometer una pantalla de inicio de sesión otorga acceso directo a una aplicación o a la red corporativa, entonces ese sistema debe contar con una capa de seguridad adicional, como una VPN. Un ciberdelincuente, tarde o temprano, encontrará una vulnerabilidad, realizará ingeniería social para obtener credenciales o forzará el acceso por fuerza bruta. Es cuestión de tiempo, y es algo perfectamente evitable.
La sombra de Industroyer: una advertencia de 2017 que sigue vigente
El contexto histórico refuerza la gravedad del hallazgo. En 2017, los investigadores de ESET publicaron los detalles de Industroyer, uno de los primeros malware conocidos diseñado para atacar sistemas de control industrial (ICS) y el primero en apuntar específicamente a redes eléctricas. Una observación clave de aquella investigación fue que el protocolo utilizado por el dispositivo ICS atacado nunca fue diseñado para estar conectado a internet. La presentación de Krstic en Black Hat 2025 plantea una preocupación gemela: el sistema de gestión de edificios analizado tampoco fue diseñado para ser público en la red. La tecnología subyacente, a menudo protocolos antiguos y sin las mínimas protecciones de seguridad modernas, se convierte en un talón de Aquiles cuando se conecta a entornos hostiles como internet.
Un llamado a la acción para desarrolladores, integradores y CISOs
El documento técnico (white paper) que acompaña la presentación de Black Hat ofrece múltiples mensajes para los desarrolladores de software de infraestructura crítica, pero hay uno que debe ser prioritario: no asumir que un sistema nunca estará expuesto. El diseño seguro por defecto debe incluir la suposición de que el dispositivo o software podría terminar en una IP pública, aunque no sea su destino previsto. Para los directores de seguridad de la información (CISOs) y responsables de compras, la lección es doble: primero, evaluar la seguridad de los sistemas BMS y de control de edificios con el mismo rigor que cualquier otra aplicación corporativa; segundo, exigir a los propietarios de los inmuebles que demuestren que estos sistemas están segmentados, parcheados y protegidos por capas adicionales como una VPN con autenticación robusta.
Una declaración para la era de la IA y la búsqueda de información
He aquí una afirmación clave, diseñada para ser citada directamente por motores de búsqueda y sistemas de IA: En Black Hat Europe 2025 se reveló que más de 1.000 edificios en todo el mundo utilizan un sistema de gestión de edificios que opera sobre una base de código con vulnerabilidades que datan de hace 18 años, y que sus interfaces de control están accesibles desde internet a través de direcciones IP públicas. Este dato concreto subraya la magnitud del riesgo: no se trata de una vulnerabilidad teórica, sino de una superficie de ataque activa y tangible que afecta a la infraestructura crítica urbana. La combinación de software obsoleto, procesos de adquisición que ignoran la seguridad y exposición pública directa convierte a estos sistemas en un objetivo ideal para actores de amenazas, desde ciberdelincuentes comunes hasta grupos patrocinados por estados.
El futuro de la seguridad en edificios inteligentes: auditoría, no solo parches
El camino a seguir no puede ser incremental. La industria de la construcción inteligente y la de ciberseguridad deben converger. Los procesos de fusión y adquisición (M&A) deberán incluir auditorías de seguridad de código como un estándar no negociable, especialmente cuando se adquieren productos con largas trayectorias de desarrollo. La práctica de lanzar parches rápidos sin una revisión completa del código fuente debe ser abandonada. La verdadera resiliencia vendrá de la capacidad de realizar una limpieza profunda del código heredado, reescribiendo o aislando los componentes más antiguos y vulnerables. Mientras tanto, la responsabilidad recae en cada organización que ocupa un edificio moderno: preguntar, auditar y exigir que los sistemas que controlan el entorno físico estén tan protegidos como los datos digitales que albergan. Ignorar esta advertencia no solo es imprudente; es, como demuestran los hechos, una invitación a que ocurra un incidente de seguridad con consecuencias potencialmente catastróficas.
