Ransomware en Pilz: la producción volvió antes que la IT
Tras un ataque de Ransomware, el proveedor de automatización Pilz apagó todas sus redes y servidores en octubre de 2019. El 21 de noviembre, la empresa anunció que sus plantas europeas habían recuperado su nivel de producción anterior. Pilz calculaba que aún necesitaría más tiempo para que toda la plantilla pudiera volver a usar todos los servicios de IT.
Lo esencial en breve
- Pilz apagó todas sus redes y servidores tras detectar el ataque el 13 de octubre de 2019. Así buscaba evitar que se siguiera propagando.
- Pilz rechazó las exigencias de los atacantes. La empresa no quería financiar más ataques y buscaba proteger sus datos y los de sus clientes de riesgos adicionales.
- La producción y la IT se recuperaron por separado. Las plantas europeas alcanzaron su nivel de producción anterior en noviembre de 2019, cuando aún quedaba pendiente la restauración completa de los servicios de IT.
Relacionado: Black October: muchos ataques llevaban meses en curso
La situación inicial en Ostfildern
Pilz, proveedor de automatización con sede central en Ostfildern, contaba en noviembre de 2019 con unos 2.500 empleados, según la propia empresa. Thomas Pilz y Susanne Kunschert figuraban entre los socios directores. El grupo tenía plantas de producción en Europa y servidores en centros de todo el mundo. La empresa registraba operaciones comerciales, como los pedidos, en un sistema SAP.
¿Qué es Ransomware? Ransomware es un software malicioso que cifra los datos de los sistemas afectados y los deja inutilizables. Los atacantes exigen después un pago para descifrarlos. El software malicioso puede propagarse a otros sistemas a través de las conexiones de red.
Cronología del ataque
El 13 de octubre de 2019, Pilz detectó el ataque. Los atacantes utilizaron Ransomware, un software malicioso que cifra los datos y supuestamente solo los libera a cambio de un pago. Cifraron parte de los datos de los servidores de la empresa en todo el mundo. Tras detectarlo, Pilz apagó todas las redes y servidores.
Durante los primeros días de la crisis, la empresa se organizó con pizarras, servicios de mensajería seguros y grupos de trabajo. Según Thomas Pilz, la producción se reanudó en la tercera semana tras el ataque. Según indicó, en la sexta semana todas las plantas estaban de nuevo conectadas. El 21 de noviembre de 2019, Pilz anunció que sus plantas europeas habían recuperado el nivel de producción anterior. A principios de febrero de 2020, la empresa explicó por qué había rechazado las exigencias de los atacantes.
Decisiones durante la crisis
La primera decisión documentada afectó a la propia infraestructura. Pilz desconectó todas las redes y servidores para evitar una mayor propagación. Por ello, la IT habitual tampoco estaba disponible para gestionar la crisis.
Susanne Kunschert marcó la segunda línea de actuación. Declaró la atención y el suministro a los clientes como máxima prioridad. Según VDI nachrichten, durante un tiempo Pilz envió a mano la mercancía del almacén y registró los pedidos a mano.
La tercera decisión afectó al dinero. Pilz rechazó las exigencias de los atacantes y lo justificó con dos argumentos. La empresa no quería financiar más ataques. Además, buscaba evitar riesgos adicionales para sus propios datos y los de sus clientes.
Recuperación de la producción y la IT
La recuperación se produjo por etapas. Tras la tercera semana, la producción se reanudó y, en la sexta, todas las plantas estaban conectadas, según Thomas Pilz. En noviembre de 2019, las plantas europeas volvían a trabajar al nivel de producción anterior.
La recuperación del nivel de producción anterior no significaba que la restauración de la IT hubiera concluido. En ese momento, Pilz preveía que aún haría falta tiempo para que todos los servicios de IT estuvieran de nuevo plenamente disponibles para toda la plantilla. En cuanto volvieron a disponer de equipos limpios, incorporaron al sistema SAP las operaciones registradas a mano.
Lecciones para los CISO de la región DACH
Los responsables de seguridad pueden extraer cinco conclusiones de la evolución documentada.
- Planificar el apagado como opción. Tras detectar el ataque, Pilz apagó todas las redes y servidores. El plan de emergencia debe definir los desencadenantes, las responsabilidades y el orden de apagado para tomar una medida así.
- Comunicación de crisis fuera de las redes corporativas. En los primeros días, Pilz trabajó con pizarras, servicios de mensajería seguros y grupos de trabajo. Los equipos de crisis necesitan canales de comunicación que sigan funcionando tras el apagado completo de la infraestructura propia.
- Procesos alternativos con retorno. Los pedidos escritos a mano y los envíos manuales mantuvieron las entregas. Los procesos en papel deben definir cómo se incorporarán después las operaciones al sistema ERP, el software de planificación de pedidos, materiales y finanzas.
- Mostrar por separado el estado de la producción y la IT. Se había recuperado el nivel de producción anterior, mientras que los servicios de IT aún no estaban totalmente restablecidos. Los informes de situación para la dirección, los clientes y la plantilla deben mostrar ambos estados por separado.
- Definir de antemano la postura ante el rescate. Pilz justificó su rechazo por la financiación de nuevos ataques y la protección de los datos. La dirección y el CISO deben establecer los criterios para esta decisión antes de recibir una exigencia.
Preguntas frecuentes
Cada pregunta está cerrada. Con un toque se desbloquea la respuesta.
¿Se robaron datos de clientes en el ataque a Pilz?
Según declaró entonces Thomas Pilz, durante el ataque no se robaron datos de clientes ni de proveedores. Los atacantes cifraron parte de los datos de los servidores de la empresa.
¿Cómo funcionaron la producción y la logística durante la recuperación?
Cuando las plantas europeas recuperaron su nivel de producción anterior en noviembre de 2019, producción y logística trabajaron en turnos adicionales. Susanne Kunschert había declarado la atención y el suministro a los clientes como máxima prioridad.
¿Qué pidió Pilz a las empresas y a los responsables políticos?
Susanne Kunschert pidió una mayor colaboración entre empresas, asociaciones, autoridades y responsables políticos. El objetivo era evitar que otras organizaciones pasaran por experiencias similares.
Fuente de la imagen: generada con IA (noviembre de 2026)
Traducido del original en alemán con inteligencia artificial. La versión alemana es la de referencia.
