{"id":25765,"date":"2026-10-03T07:00:00","date_gmt":"2026-10-03T07:00:00","guid":{"rendered":"https:\/\/www.securitytoday.de\/?p=25765"},"modified":"2026-11-03T09:41:26","modified_gmt":"2026-11-03T09:41:26","slug":"ransomware-en-pilz-la-produccion-volvio-antes-que-la-it","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/es\/2026\/10\/03\/ransomware-en-pilz-la-produccion-volvio-antes-que-la-it\/","title":{"rendered":"Ransomware en Pilz: la producci\u00f3n volvi\u00f3 antes que la IT"},"content":{"rendered":"<p><strong>Tras un ataque de Ransomware, el proveedor de automatizaci\u00f3n Pilz apag\u00f3 todas sus redes y servidores en octubre de 2019. El 21 de noviembre, la empresa anunci\u00f3 que sus plantas europeas hab\u00edan recuperado su nivel de producci\u00f3n anterior. Pilz calculaba que a\u00fan necesitar\u00eda m\u00e1s tiempo para que toda la plantilla pudiera volver a usar todos los servicios de&nbsp;IT.<\/strong><\/p>\n<div style=\"background:#003340;color:#fff;padding:32px 36px;margin:32px 0;border-radius:8px;\">\n<p style=\"color:#69d8ed;text-transform:uppercase;letter-spacing:0.08em;font-size:0.82em;font-weight:700;margin:0 0 16px;\">Lo esencial en breve<\/p>\n<ul style=\"margin:0;padding-left:20px;line-height:1.7;\">\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">Pilz apag\u00f3 todas sus redes y servidores tras detectar el ataque el 13 de octubre de 2019.<\/strong> As\u00ed buscaba evitar que se siguiera&nbsp;propagando.<\/li>\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">Pilz rechaz\u00f3 las exigencias de los atacantes.<\/strong> La empresa no quer\u00eda financiar m\u00e1s ataques y buscaba proteger sus datos y los de sus clientes de riesgos&nbsp;adicionales.<\/li>\n<li style=\"margin-bottom:0;\"><strong style=\"color:#69d8ed;\">La producci\u00f3n y la IT se recuperaron por separado.<\/strong> Las plantas europeas alcanzaron su nivel de producci\u00f3n anterior en noviembre de 2019, cuando a\u00fan quedaba pendiente la restauraci\u00f3n completa de los servicios de&nbsp;IT.<\/li>\n<\/ul>\n<\/div>\n<p style=\"border-bottom:1px solid rgba(230,227,218,0.14);padding:14px 0;margin:28px 0;font-size:0.92em;color:#b8c5ce;\"><strong style=\"color:#69d8ed;\">Relacionado:<\/strong> <a href=\"https:\/\/www.securitytoday.de\/es\/2026\/10\/22\/black-october-ataques-que-llevaban-meses-en-marcha\/\" target=\"_blank\" rel=\"noopener\">Black October: muchos ataques llevaban meses en&nbsp;curso<\/a><\/p>\n<h2>La situaci\u00f3n inicial en&nbsp;Ostfildern<\/h2>\n<p>Pilz, proveedor de automatizaci\u00f3n con sede central en Ostfildern, contaba en noviembre de 2019 con <a href=\"https:\/\/www.pressebox.de\/pressemitteilung\/pilz-gmbh-co-kg\/Cyberkriminalitaet-ist-eine-ernste-Bedrohung-fuer-unser-Land\/boxid\/982691\" target=\"_blank\" rel=\"noopener\">unos 2.500 empleados<\/a>, seg\u00fan la propia empresa. Thomas Pilz y Susanne Kunschert figuraban entre los socios directores. El grupo ten\u00eda plantas de producci\u00f3n en Europa y servidores en centros de todo el mundo. La empresa registraba operaciones comerciales, como los pedidos, en un sistema&nbsp;SAP.<\/p>\n<div data-element=\"definition_box\" style=\"background:#23261f;border:1px solid rgba(105,216,237,0.22);border-radius:10px;padding:20px 24px;margin:32px 0;box-shadow:0 2px 10px rgba(0,0,0,0.22);\">\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\"><strong>\u00bfQu\u00e9 es Ransomware?<\/strong> Ransomware es un software malicioso que cifra los datos de los sistemas afectados y los deja inutilizables. Los atacantes exigen despu\u00e9s un pago para descifrarlos. El software malicioso puede propagarse a otros sistemas a trav\u00e9s de las conexiones de&nbsp;red.<\/p>\n<\/div>\n<h2>Cronolog\u00eda del&nbsp;ataque<\/h2>\n<p>El 13 de octubre de 2019, Pilz detect\u00f3 el ataque. Los atacantes utilizaron Ransomware, un software malicioso que cifra los datos y supuestamente solo los libera a cambio de un pago. Cifraron parte de los datos de los servidores de la empresa en todo el mundo. Tras detectarlo, Pilz apag\u00f3 todas las redes y&nbsp;servidores.<\/p>\n<p>Durante los primeros d\u00edas de la crisis, la empresa se organiz\u00f3 con pizarras, servicios de mensajer\u00eda seguros y grupos de trabajo. Seg\u00fan Thomas Pilz, la producci\u00f3n se reanud\u00f3 <a href=\"https:\/\/www.vdi-nachrichten.com\/technik\/informationstechnik\/cyberangriff-legt-produktion-lahm\/\" target=\"_blank\" rel=\"noopener\">en la tercera semana<\/a> tras el ataque. Seg\u00fan indic\u00f3, en la sexta semana todas las plantas estaban de nuevo conectadas. El 21 de noviembre de 2019, Pilz anunci\u00f3 que sus plantas europeas hab\u00edan recuperado el nivel de producci\u00f3n anterior. A principios de febrero de 2020, la empresa explic\u00f3 por qu\u00e9 hab\u00eda rechazado las exigencias de los&nbsp;atacantes.<\/p>\n<h2>Decisiones durante la&nbsp;crisis<\/h2>\n<p>La primera decisi\u00f3n documentada afect\u00f3 a la propia infraestructura. Pilz desconect\u00f3 todas las redes y servidores para evitar una mayor propagaci\u00f3n. Por ello, la IT habitual tampoco estaba disponible para gestionar la&nbsp;crisis.<\/p>\n<p>Susanne Kunschert marc\u00f3 la segunda l\u00ednea de actuaci\u00f3n. Declar\u00f3 la atenci\u00f3n y el suministro a los clientes como m\u00e1xima prioridad. Seg\u00fan VDI nachrichten, durante un tiempo Pilz envi\u00f3 a mano la mercanc\u00eda del almac\u00e9n y registr\u00f3 los pedidos a&nbsp;mano.<\/p>\n<p>La tercera decisi\u00f3n afect\u00f3 al dinero. Pilz rechaz\u00f3 las exigencias de los atacantes y <a href=\"https:\/\/www.pilz.com\/en-US\/company\/news\/articles\/215337\" target=\"_blank\" rel=\"noopener\">lo justific\u00f3 con dos argumentos<\/a>. La empresa no quer\u00eda financiar m\u00e1s ataques. Adem\u00e1s, buscaba evitar riesgos adicionales para sus propios datos y los de sus&nbsp;clientes.<\/p>\n<h2>Recuperaci\u00f3n de la producci\u00f3n y la&nbsp;IT<\/h2>\n<p>La recuperaci\u00f3n se produjo por etapas. Tras la tercera semana, la producci\u00f3n se reanud\u00f3 y, en la sexta, todas las plantas estaban conectadas, seg\u00fan Thomas Pilz. En noviembre de 2019, las plantas europeas volv\u00edan a trabajar al nivel de producci\u00f3n&nbsp;anterior.<\/p>\n<p>La recuperaci\u00f3n del nivel de producci\u00f3n anterior no significaba que la restauraci\u00f3n de la IT hubiera concluido. En ese momento, Pilz preve\u00eda que a\u00fan har\u00eda falta tiempo para que todos los servicios de IT estuvieran de nuevo plenamente disponibles para toda la plantilla. En cuanto volvieron a disponer de equipos limpios, incorporaron al sistema SAP las operaciones registradas a&nbsp;mano.<\/p>\n<h2>Lecciones para los CISO de la regi\u00f3n&nbsp;DACH<\/h2>\n<p>Los responsables de seguridad pueden extraer cinco conclusiones de la evoluci\u00f3n&nbsp;documentada.<\/p>\n<ul style=\"padding-left:1.4em;\">\n<li><strong>Planificar el apagado como opci\u00f3n.<\/strong> Tras detectar el ataque, Pilz apag\u00f3 todas las redes y servidores. El plan de emergencia debe definir los desencadenantes, las responsabilidades y el orden de apagado para tomar una medida&nbsp;as\u00ed.<\/li>\n<li><strong>Comunicaci\u00f3n de crisis fuera de las redes corporativas.<\/strong> En los primeros d\u00edas, Pilz trabaj\u00f3 con pizarras, servicios de mensajer\u00eda seguros y grupos de trabajo. Los equipos de crisis necesitan canales de comunicaci\u00f3n que sigan funcionando tras el apagado completo de la infraestructura&nbsp;propia.<\/li>\n<li><strong>Procesos alternativos con retorno.<\/strong> Los pedidos escritos a mano y los env\u00edos manuales mantuvieron las entregas. Los procesos en papel deben definir c\u00f3mo se incorporar\u00e1n despu\u00e9s las operaciones al sistema ERP, el software de planificaci\u00f3n de pedidos, materiales y&nbsp;finanzas.<\/li>\n<li><strong>Mostrar por separado el estado de la producci\u00f3n y la IT.<\/strong> Se hab\u00eda recuperado el nivel de producci\u00f3n anterior, mientras que los servicios de IT a\u00fan no estaban totalmente restablecidos. Los informes de situaci\u00f3n para la direcci\u00f3n, los clientes y la plantilla deben mostrar ambos estados por&nbsp;separado.<\/li>\n<li><strong>Definir de antemano la postura ante el rescate.<\/strong> Pilz justific\u00f3 su rechazo por la financiaci\u00f3n de nuevos ataques y la protecci\u00f3n de los datos. La direcci\u00f3n y el CISO deben establecer los criterios para esta decisi\u00f3n antes de recibir una&nbsp;exigencia.<\/li>\n<\/ul>\n<h2 style=\"padding-top:64px;margin-bottom:20px;\">Preguntas frecuentes<\/h2>\n<p class=\"st-faq-hint\">Cada pregunta est\u00e1 cerrada. Con un toque se desbloquea la&nbsp;respuesta.<\/p>\n<details>\n<summary><strong>\u00bfSe robaron datos de clientes en el ataque a&nbsp;Pilz?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Seg\u00fan declar\u00f3 entonces Thomas Pilz, durante el ataque no se robaron datos de clientes ni de proveedores. Los atacantes cifraron parte de los datos de los servidores de la&nbsp;empresa.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfC\u00f3mo funcionaron la producci\u00f3n y la log\u00edstica durante la&nbsp;recuperaci\u00f3n?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Cuando las plantas europeas recuperaron su nivel de producci\u00f3n anterior en noviembre de 2019, producci\u00f3n y log\u00edstica trabajaron en turnos adicionales. Susanne Kunschert hab\u00eda declarado la atenci\u00f3n y el suministro a los clientes como m\u00e1xima&nbsp;prioridad.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfQu\u00e9 pidi\u00f3 Pilz a las empresas y a los responsables&nbsp;pol\u00edticos?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Susanne Kunschert pidi\u00f3 una mayor colaboraci\u00f3n entre empresas, asociaciones, autoridades y responsables pol\u00edticos. El objetivo era evitar que otras organizaciones pasaran por experiencias&nbsp;similares.<\/p>\n<\/details>\n<p><!--ST-LOWER-CARDS lang=es--><!--\/ST-LOWER-CARDS--><\/p>\n<p style=\"font-style:italic;text-align:right;font-size:0.85em;margin-top:8px;\">Fuente de la imagen: generada con IA (noviembre de 2026)<\/p>\n","protected":false},"excerpt":{"rendered":"Pilz apag\u00f3 todas sus redes y servidores tras un ataque de Ransomware en octubre de 2019. Un estudio de caso sobre la reanudaci\u00f3n de la actividad.","protected":false},"author":50,"featured_media":25544,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"ataque de Ransomware","_yoast_wpseo_title":"Ransomware en Pilz: la producci\u00f3n se recuper\u00f3 antes que la IT","_yoast_wpseo_metadesc":"Tras un ataque de Ransomware en octubre de 2019, Pilz apag\u00f3 todas sus redes y servidores. Un estudio de caso sobre la reanudaci\u00f3n de la actividad.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[223],"tags":[],"class_list":["post-25765","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-case-studies"],"evm_reading_time_minutes":6,"wpml_language":"es","wpml_translation_of":25537,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/25765","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=25765"}],"version-history":[{"count":11,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/25765\/revisions"}],"predecessor-version":[{"id":25999,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/25765\/revisions\/25999"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/25544"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=25765"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=25765"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=25765"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}