El sector de la construcción lleva más de una década digitalizándose de forma cada vez más intensa. BIM, sensores en obra, control remoto de maquinaria: todo suena a modernización imparable. Sin embargo, este proceso se ha ido desarrollando de forma desequilibrada al olvidarse, en la mayoría de las ocasiones, la protección de todo ese entramado digital en cualquier proyecto de construcción.
Así lo recoge el informe De los planos a las brechas de seguridad: en el 81% de los incidentes graves de 2025, los sistemas informáticos y la maquinaria de obra compartían la misma red sin una separación adecuada, facilitando los ciberataques en toda la infraestructura. Eficiencia en el sector de la construcción, análisis de datos en tiempo real, uso de gemelos digitales… Todo eso está muy bien, pero, sin tener en cuenta la seguridad, carece de sentido invertir en ellas. Las consecuencias pueden ser peores…
El sector ha digitalizado la obra antes de protegerla
El mercado BIM en el mundo alcanzará los 28.400 millones de dólares en 2032, según Grupo IMARC, con una tasa anual de crecimiento por encima del 15,6%. Ese incremento multiplica por cuatro el tamaño de un mercado en solo una década y revela que prácticamente ninguna empresa discute hoy la utilidad de trabajar con modelos digitales compartidos.
Cuantas más personas y partes acceden a un mismo entorno de trabajo, más puertas se abren para los que quieren entrar sin permiso
Pero, tampoco existe un diálogo que, con la misma intensidad, hable sobre si ese crecimiento va acompañado de una inversión equivalente en protegerlo. BIM permite que varios equipos trabajen sobre la misma información actualizada desde ubicaciones distintas. Una ventaja que, al mismo tiempo, es también su punto débil: cuantas más partes acceden a un mismo entorno, más puertas quedan abiertas para los que quieren entrar sin permiso.
El riesgo de la convergencia IT/OT en las obras de construcción
Los sistemas IT gestionan la información de cualquier compañia: correo corporativo, ERP, plataformas BIM. Los sistemas OT, por su parte, controlan el mundo físico: grúas, sensores de climatización, maquinaria de obra. Durante años funcionaron separados. Ya no.
Las ventajas de esa convergencia son muchas como la mejora de la supervisión de proyectos. El problema aparece cuando no hay una separación clara entre estos dos entornos. Un atacante que entra por el correo electrónico de un empleado puede desplazarse hasta el sistema que controla una grúa.
Control Risks, en su informe, confirma que la segmentación insuficiente entre IT y OT fue el origen del dato del que hablábamos: estuvo presente en el 81% de los incidentes OT en 2025. Además, el análisis añade otro dato igual de preocupante: el 67,5% de los intentos de explotación en 2025 se basaron en vulnerabilidades conocidas desde hacía tiempo. Fallos que estaban identificados y que nadie corrigió a tiempo.
El 67,5% de los intentos de explotación en 2025 se basaron en vulnerabilidades conocidas desde hacía tiempo.
El IoT en obra crece más rápido que su seguridad
El malware dirigido a dispositivos IoT en el sector de la construcción aumentó un 410% interanual, según un estudio citado en informe De los planos a las brechas de seguridad. Las empresas compran sensores IoT (control de accesos, monitorización de grúas, climatización de obra) sin dar la relevancia adecuada a la seguridad.
El malware dirigido a dispositivos conectados crece un cuatrocientos diez por ciento debido a la compra desprotegida de sensores
Por confianza o por ignorancia, nadie pregunta al proveedor qué protocolo de cifrado usa su dispositivo. Tal vez, las preguntas se centran en cuánto cuestan y cuándo estarán operativas. Coste y precio por encima de seguridad y protección. Un criterio de compra que, repetido en miles de obras, está detrás de este crecimiento del 410% en ataques.
BIM: la ventaja colaborativa que también es un objetivo para los ciberataques
Centralizar toda la información de un proyecto en un único entorno compartido tiene una lógica de eficiencia incuestionable. También, como estamos viendo, pueden tener consecuencias negativas al convertirse estas plataformas en un objetivo de ataque de alto valor, poniendo en riesgo no solo un documento, sino todo el proyecto constructivo. ¿Cuántas veces se auditan los accesos de sus subcontratistas al modelo compartido?
Ante esta situación, todo director de innovación o responsable debería hacerse cinco preguntas antes de seguir invirtiendo en digitalización:
- ¿Sabemos qué proveedores tienen acceso remoto a nuestros sistemas OT? ¿Existe una red separada entre los sistemas de gestión y los sistemas de control de maquinaria?
- ¿Cuántos dispositivos IoT en obra siguen con las credenciales de fábrica sin cambiar?
- ¿Se ha simulado alguna vez un ataque de ransomware sobre nuestro entorno BIM?
- ¿La ciberseguridad entra en los criterios de selección de los proveedores tecnológicos, o solo entra el precio?
Si la respuesta mayoritaria es «no lo sé», ese desconocimiento es exactamente el problema que describe el informe de QBE y Control Risks: es la puerta de entrada que ha permitido que la construcción se convierta en el sector más atacado por ransomware en 2025, con el 20% de los incidentes globales, tal como recogemos en profundidad al analizar cada ataque paraliza una obra durante 24 días.
El problema está detectado, cuantificado y existen medidas para resolverlo. Pero hay una carencia estructural: en la mayoría de las constructoras españolas no existe todavía un perfil profesional que entienda a la vez de tecnología del sector de la construcción y ciberseguridad.
Los organigramas actuales tienen responsables BIM, directores de innovación, jefes de obra. Ninguno de esos perfiles tiene, por definición, la formación necesaria para evaluar si la grúa que se acaba de conectar a la red del proyecto está expuesta a un ataque.
Por eso, es necesario crear esa figura. Llamémosla responsable de ciber-resiliencia de obra, o como se prefiera. Lo urgente es que exista.
BIM, IoT y sensores conectados no son el problema del sector. El problema es haberlos implementado sin dedicar el mismo esfuerzo a protegerlos. Los datos son claros: 81% de segmentación insuficiente, 410% de crecimiento en malware IoT, 67,5% de ataques que explotan fallos ya conocidos.
La resiliencia cibernética debería entrar en la misma fase de diseño de cada proyecto y no aparecer como reacción de urgencia después del primer incidente grave. Los responsables de innovación y seguridad de cualquier constructora tienen la responsabilidad de hacerse las preguntas antes de que se las haga un atacante.
You must be logged in to post a comment Login