OT.15

Playbook de respuesta — Obtención de credenciales vía llamada telefónica

Área OT · Entornos industriales ICS/SCADA (propuesta TTPSEC) — Efecto: Ataques de suplantación

PICERL / NIST SP 800-61

Clasificación preliminar y orientativa. No constituye una decisión jurídica ni reemplaza la evaluación del encargado de ciberseguridad. Reporte oficial en portal.anci.gob.cl.

Técnicas MITRE asociadas

T1566.004 Spearphishing Voice · MITRE ATT&CK · confianza media

Fases de respuesta

P · PreparaciónAntes del incidente: controles y visibilidad

Implementar de forma preventiva: Procedimientos de verificación
Implementar de forma preventiva: concientización continua
Implementar de forma preventiva: protocolos de autenticación mutua
Alinear los controles de base del incidente — ISO 7.2, ISO 9.2, CIS CIS 17, CIS CIS 4
Asegurar que la telemetría requerida esté activa y llegando al SIEM (ver mapa de visibilidad)

I · Detección y análisisIdentificar y dimensionar el ataque

Reportes de llamadas sospechosas, cambios de MFA tras una llamada. Fuente: help-desk, logs de reseteo.
Confirmar el alcance: sistemas, cuentas, datos y segmentos afectados
Desplegar y ejecutar las reglas del Códice de Detección de este incidente (Sigma, YARA, Suricata)

C · ContenciónLimitar el impacto de inmediato

Aislar el segmento OT afectado SIN detener el proceso sin evaluar la seguridad física
Coordinar con ingeniería de planta antes de cualquier acción de control
Pasar a control manual seguro si el proceso lo permite

E · ErradicaciónEliminar la causa raíz

Verificar y restaurar el firmware/lógica del controlador desde una copia autorizada
Eliminar el acceso del atacante a la red industrial
Reforzar mitigación: Procedimientos de verificación de identidad, code-words y concienciación al personal técnico.

R · RecuperaciónVolver a operación normal de forma segura

Validar el proceso en condiciones seguras antes de volver a modo automático
Confirmar la integridad de PLC, HMI e historiadores
Confirmar que la telemetría y las detecciones vuelven a la normalidad

L · Lecciones aprendidasCerrar el ciclo y mejorar

Documentar causa raíz y línea de tiempo del incidente
Actualizar controles ISO/CIS/NIST para cerrar las brechas detectadas — ISO 7.2, ISO 9.2, CIS CIS 17
Crear o mejorar reglas de detección en el Códice para eliminar puntos ciegos

Obligaciones de reporte — Ley 21.663

3 horasAlerta temprana
1 díaActualización — OIV con servicio esencial afectado (OIV con servicio esencial afectado)
3 díasSegunda notificación (actualización)
7 díasPlan de acción — OIV (OIV)
15 díasInforme final

Controles de referencia

ISO/IEC 27002: 7.2 Concienciación; 9.2 Gestión de usuarios
CIS Controls v8.1: CIS 17 Control CIS 17; CIS 4 Uso seguro de controles administrativos

PLAYBOOK ANCI by TTPSEC · playbook.ttpsec.cl · Recurso independiente y educativo; no constituye una plataforma oficial de la ANCI.
Fuentes: Ley 21.663 (art. 9) · Resolución Exenta N.º 7/2025 · Reglamento de Reporte (Decreto 295/2024) · MITRE ATT&CK / ATLAS. Revisión 2026-07.