Un número falso en tu app puede costarte la cosecha: el ciberriesgo que la acuicultura ignora

Puntos clave del estudio

• La acuicultura moderna depende cada vez más de sensores, cámaras submarinas, alimentadores automáticos, aplicaciones móviles y plataformas de trazabilidad. Sin embargo, cada uno de estos dispositivos representa una potencial puerta de entrada para un ciberataque.
• El mayor peligro no es necesariamente el robo de dinero, sino la alteración de los datos. Un sensor que reporte métricas falsas puede provocar cosechas fuera de tiempo, errores en la alimentación o la pérdida de certificaciones clave.
• Un análisis que revisó más de 27 000 estudios reveló que la ciberseguridad en la acuicultura está drásticamente subinvestigada. Sectores como el cultivo de mejillones y algas representan un punto ciego casi total: solo un estudio abordó el cultivo de mejillón y ninguno analizó las algas.
• Afortunadamente, las defensas más efectivas suelen ser las más accesibles y sencillas: aislar los equipos de campo de la red administrativa, cambiar las contraseñas predeterminadas, realizar respaldos periódicos y capacitar al personal.
• Para las granjas pequeñas y cooperativas, cumplir con normas de ciberseguridad tipo europeo será una carga si se aplica igual que a una empresa industrial. Los autores piden reglas proporcionales al tamaño del productor.

Son las seis de la mañana en el Báltico. Antes de embarcarse, un productor de mejillones consulta su aplicación móvil para revisar los indicadores nocturnos: oxígeno disuelto, temperatura del agua y el modelo de crecimiento de sus líneas de cultivo. Todo está en verde. Decide postergar el despliegue de la cuadrilla de mantenimiento, posponer la cosecha dos semanas y proyectar sin contratiempos el informe de remoción de nitrógeno que exige el programa ambiental con el que monetiza la limpieza del mar.

Esta cadena de decisiones críticas depende de un solo factor: la autenticidad de las métricas en pantalla.

¿Qué sucedería si no fueran reales? Si alguien alterara esos datos remotamente, el productor mantendría su falsa confianza. Cosecharía a destiempo, certificaría una remoción de nutrientes inexistente y solo detectaría el problema cuando fuera irreparable. En la acuicultura digitalizada, la fe ciega en la información es la principal vulnerabilidad.

Un equipo de investigadores de la Estonian Maritime Academy y la Tallinn University of Technology, en colaboración con la University of Tartu, realizó una revisión sistemática de la literatura científica sobre riesgos digitales en el sector. Tras filtrar 27 324 estudios, analizaron exhaustivamente 212 investigaciones para responder una interrogante urgente: conforme las instalaciones integran sensores y software, ¿cuán expuestas quedan a un ciberataque y cómo responder?

La conclusión es categórica: la acuicultura depende fuertemente de la tecnología, pero la protección de sus sistemas evidencia un rezago crítico. El sector más desprotegido es, paradójicamente, el más promovido por su valor ambiental: la acuicultura de bajo nivel trófico (mejillones y algas), donde la investigación en ciberseguridad es casi nula. Para el productor, la digitalización de su granja avanza a un ritmo superior al de sus mecanismos de defensa.

La acuicultura no es agricultura: el riesgo tras la digitalización acuícola

Durante años, al abordar la seguridad digital en la producción alimentaria, la atención se ha concentrado en la agricultura de precisión, los tractores conectados y las plantas procesadoras. La acuicultura solía quedar excluida del debate, asumida equivocadamente como una versión acuática del campo susceptible a las mismas soluciones.

Sin embargo, una granja marina no funciona como un cultivo terrestre. Sus equipos operan sumergidos en agua salada o salobre —ambientes altamente corrosivos—, distribuidos entre balsas, jaulas, líneas y boyas ubicadas frecuentemente en alta mar. Estos sistemas dependen de redes inalámbricas de bajo consumo propensas a interrupciones y monitorean organismos vivos en constante cambio. En este entorno, la falla de un sensor trasciende lo técnico: una lectura errónea de oxígeno deriva en decisiones de alimentación o cosecha con pérdidas financieras directas. Un fallo de comunicación deja de ser un incidente informático y se transforma en una crisis biológica.

Es allí donde este análisis marca distancia con otros sectores. La superficie de ataque de un centro acuícola excede la de la computadora de la oficina; abarca toda la cadena operativa: desde el sensor en la boya y el dispositivo de transmisión —que utiliza protocolos de bajo consumo como LoRaWAN o MQTT—, hasta la plataforma en la nube y el sistema de trazabilidad que certifica el origen del producto. Cada eslabón de esta arquitectura digital es potencialmente vulnerable.

Ciberseguridad en acuicultura: los siete riesgos principales y su impacto real

Al clasificar las amenazas según su frecuencia en la literatura científica, los investigadores identificaron un patrón claro. Estos son los principales grupos de riesgo, ordenados de mayor a menor recurrencia:

1. Ataques a la integridad de los datos (57 estudios): Es la amenaza más común y la más peligrosa para cultivos de bajo nivel trófico. Consiste en inyectar lecturas falsas en los sensores. Similar a un termostato manipulado externamente que marca 22 °C en un ambiente helado, un dato alterado en el centro acuícola distorsiona el cálculo de nutrientes removidos, la programación de la cosecha y el cumplimiento de normativas ambientales.
2. Ataques a la red (52 estudios): Interrupción o interferencia de las comunicaciones. Dado que las instalaciones en alta mar operan con conectividad intermitente, un bloqueo de señal (jamming) resulta gravemente perjudicial.
3. Fallas de autenticación y control de acceso (46 estudios): Contraseñas compartidas, credenciales débiles o dispositivos con claves predeterminadas de fábrica; vulnerabilidades elementales que facilitan el acceso no autorizado.
4. Malware y ransomware (32 estudios): Software malicioso diseñado para secuestrar registros comerciales y de planificación. Aunque menos frecuentes que los ataques a sensores, comprometen gravemente la continuidad de las ventas y las certificaciones.
5. Amenazas físicas y ambientales (26 estudios): Sabotaje, robo, corrosión o incrustaciones biológicas (biofouling) en los equipos de campo. Un daño físico puede enmascarar un ciberataque o simularlo.
6. Phishing e ingeniería social (17 estudios): Métodos de manipulación para obtener credenciales de acceso. Suelen representar el vector de entrada para incidentes de mayor magnitud.
7. Vulnerabilidades en la cadena de suministro (16 estudios): La dependencia de plataformas de terceros para trazabilidad o analítica implica heredar sus brechas de seguridad.

Los autores subrayan que no se trata de riesgos digitales abstractos: en la acuicultura, estas fallas impactan directamente en la gestión del biomasa, la calendarización de cosechas y la validez de las certificaciones de calidad.

El vacío en ciberseguridad que amenaza el cultivo de mejillones y algas

Aquí se encuentra el hallazgo que más debería movilizar a la industria: de los 212 estudios analizados por los investigadores, solo uno abordó directamente el cultivo de mejillón y ninguno evaluó el cultivo de algas. La acuicultura de bajo nivel trófico —promovida a nivel global como una solución ambiental para mitigar la eutrofización en ecosistemas como el mar Báltico— representa un punto ciego casi absoluto en la investigación sobre seguridad digital.

Esta carencia resulta crítica, pues estas instalaciones no son simples versiones a menor escala de una piscifactoría. Aunque sus sistemas automatizados sean más reducidos, la veracidad de sus datos ambientales es fundamental. Su modelo operativo depende de indicadores auditables: el volumen de nitrógeno removido, la geolocalización de las líneas de cultivo y la trazabilidad que respalda sus certificaciones ambientales. Si una vulnerabilidad permite alterar los registros de ubicación, tasa de crecimiento o calidad del agua, las consecuencias exceden lo operativo: se comprometen los pagos por servicios ecosistémicos, la validez de los sellos sostenibles y la legitimidad del proyecto.

A esta fragilidad se suma la severidad del entorno marino. La salinidad descalibra los sensores, mientras que el hielo y las tormentas reducen los períodos para realizar mantenimiento preventivo. Además, las concesiones operan bajo regulaciones multidisciplinarias y complejas. Por estas razones, los autores enfatizan que es inviable extrapolar soluciones diseñadas para estanques continentales o para la agricultura terrestre; las estrategias de protección digital deben concebirse específicamente para el ámbito marino.

Medidas inmediatas de ciberseguridad para instalaciones acuícolas

La principal certeza es que las defensas más efectivas no requieren tecnología de vanguardia ni presupuestos inaccesibles. La revisión científica concluye que las acciones de mayor rendimiento corresponden a prácticas fundamentales, descritas por los investigadores como medidas «poco glamorosas» pero indispensables:

• Inventariar activos conectados: Resulta imposible proteger dispositivos cuya presencia en la red se desconoce.
• Segmentar redes: Aislar la infraestructura de campo de la red administrativa evita que un incidente en un segmento contamine el resto de la operación.
• Gestionar credenciales: Eliminar claves predeterminadas y contraseñas compartidas representa el ajuste de menor costo y mayor impacto inmediato.
• Implementar autenticación de doble factor (2FA): Exigir un código de verificación adicional para el acceso a paneles y plataformas en la nube.
• Resguardar respaldos fuera de línea: Mantener copias de seguridad de registros críticos en almacenamiento desconectado de la red.
• Auditar a proveedores: Exigir protocolos seguros de actualización a los desarrolladores de software y equipos.
• Simular protocolos de respuesta: Ensayar la gestión de incidentes antes de los períodos de alta producción.

En el caso de dispositivos con limitaciones energéticas —como boyas o sensores sumergidos—, la revisión aconseja aplicar algoritmos de cifrado ligero y autenticación adaptada, delegando el procesamiento intensivo a servidores en tierra. Herramientas avanzadas como la trazabilidad con blockchain, el aprendizaje federado o los gemelos digitales son prometedoras, pero solo cobran valor cuando la arquitectura básica de seguridad está plenamente consolidada.

Regulaciones proporcionales para la acuicultura: proteger al pequeño productor

Existen marcos internacionales para gestionar el riesgo digital —como los del NIST estadounidense y la directiva europea NIS 2— que resultan valiosos, pero que no se adaptan directamente a la realidad de una granja marina. Mientras que una corporación acuícola integrada puede absorber los costos de un departamento de TI dedicado, un pequeño mitilicultor o una cooperativa carecen de esa capacidad financiera.

Por ello, los autores proponen una regulación por niveles: los marcos normativos y los fondos de financiamiento no deben asumir que una granja familiar, una planta cooperativa y una empresa offshore altamente automatizada requieren las mismas exigencias. Estrategias como el reporte compartido de incidentes, guías sectoriales, requisitos mínimos para proveedores tecnológicos y subsidios focalizados generarán mejores resultados que mandatos uniformes. Asimismo, los investigadores enfatizan un matiz crucial: la ciberseguridad también impacta en el ambiente. Mayor procesamiento, transmisión continua de datos y servidores de respaldo demandan energía y materiales. En un sector fundado en su valor ecológico, la seguridad digital y la sostenibilidad deben diseñarse de manera conjunta.

De vuelta a la balsa: de la confianza ciega a la seguridad operativa

Regresemos a nuestro productor de las seis de la mañana, observando el indicador verde en su aplicación móvil. La diferencia entre confiar a ciegas y operar con certeza no radica en adquirir la tecnología más costosa, sino en consolidar las prácticas fundamentales: inventariar los equipos conectados, modificar las contraseñas predeterminadas, resguardar los registros operativos y capacitar al personal para detectar anomalías.

La revisión científica concluye con una premisa ineludible: la ciberseguridad es un pilar inherente a la acuicultura sostenible, no un lujo opcional. A medida que la dependencia digital se profundice, la interrogante para el sector —especialmente para el cultivo de mejillones y algas, que continúa siendo un punto ciego— no es si corresponde protegerse, sino si lo hará antes o después del primer incidente. Garantizar que ese indicador verde sea real es la prioridad.

Contacto
Indrek Adler
Estonian Maritime Academy, Tallinn University of Technology
Kopli 101, 11712 Tallinn
Estonia.
Email: indrek.adler@taltech.ee

Referencia (acceso abierto)
Adler, I., Kotta, J., Vene, K., & Lugo, R. G. (2026). Cybersecurity in aquaculture: Risks, governance, and future directions across production systems. Journal of the World Aquaculture Society, 57(4), e70129. https://doi.org/10.1111/jwas.70129

Milthon Lujan

Editor de la revista digital AquaHoy. Biólogo Acuicultor titulado por la Universidad Nacional del Santa (UNS) y Máster en Gestión de la Ciencia y la Innovación por la Universidad Politécnica de Valencia, con diplomados en Innovación Empresarial y Gestión de la Innovación. Posee amplia experiencia en el sector acuícola y pesquero, habiendo liderado la Unidad de Innovación en Pesca del Programa Nacional de Innovación en Pesca y Acuicultura (PNIPA). Ha sido consultor senior en vigilancia tecnológica, formulador y asesor de proyectos de innovación, y docente en la UNS. Es miembro del Colegio de Biólogos del Perú y ha sido reconocido por la World Aquaculture Society (WAS) en 2016 por su aporte a la acuicultura.