Alerta en Estados Unidos: hackers atacan sistemas de agua y obligan a operar plantas de forma manual
CISA detectó un aumento significativo de ataques contra controladores industriales conectados a Internet. Los incidentes alcanzaron instalaciones de al menos siete estados, provocaron pérdidas de presión, inundaciones y avisos para hervir el agua.
La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) emitió una alerta urgente ante el crecimiento de los ataques contra los sistemas tecnológicos que controlan plantas de agua potable y tratamiento de efluentes. El organismo pidió retirar de Internet los dispositivos industriales expuestos antes de que puedan ser manipulados de manera remota.
El objetivo principal de los atacantes son los controladores lógicos programables, conocidos como PLC. Estos pequeños equipos funcionan como el cerebro de numerosas instalaciones industriales: reciben información de sensores y ejecutan automáticamente tareas como encender bombas, regular la presión, abrir válvulas o administrar determinados procesos de tratamiento.
El problema aparece cuando esos dispositivos quedan conectados directamente a Internet, muchas veces mediante módems celulares instalados para facilitar el mantenimiento remoto. Una configuración débil, una contraseña predeterminada o una conexión olvidada pueden dejar abierta una puerta hacia procesos con consecuencias en el mundo físico.
Desde el 27 de julio, empresas de agua y saneamiento de al menos siete estados norteamericanos reportaron incidentes al FBI. Solamente en Minnesota, más de 30 sistemas comunitarios de agua fueron alcanzados durante una ofensiva coordinada desarrollada entre el 26 y el 27 de julio.
Luego de ingresar a los PLC expuestos, los atacantes modificaron sus direcciones IP y establecieron nuevas contraseñas. De esa forma, consiguieron desconectar los controladores de las redes operativas y bloquear el acceso de los responsables de las instalaciones.
Los efectos registrados incluyeron pérdidas de presión, inundaciones, interrupciones del monitoreo y pérdida del control remoto de equipos. Algunas plantas debieron mantener sus operaciones manualmente y ciertas comunidades emitieron avisos preventivos para hervir el agua.
La caída de presión representa un riesgo especialmente delicado: puede permitir que agua subterránea sin tratar ingrese en las tuberías. Sin embargo, las autoridades de Minnesota indicaron que en los ataques investigados hasta el momento no se comprobó una afectación directa de la calidad del agua.
Equipos industriales bajo la lupa
El FBI confirmó ataques contra controladores MicroLogix 1100 y 1400 de Rockwell Automation/Allen-Bradley. En al menos una organización también se encontraron alteraciones en los archivos que contienen la lógica de programación de los PLC, lo que eleva la gravedad de la campaña: ya no se trataría solamente de bloquear el acceso, sino de intervenir las instrucciones que gobiernan los procesos industriales.
La utilización de configuraciones similares por parte de proveedores e integradores también podría facilitar ataques a escala. Cuando un mismo esquema vulnerable se replica entre varios clientes, los atacantes pueden aplicar el mismo procedimiento contra numerosas instalaciones.
Una advertencia conjunta anterior de agencias estadounidenses había identificado actividad de grupos vinculados con Irán contra PLC fabricados por Rockwell Automation, Schneider Electric y Siemens. Especialistas e investigadores consideran que los episodios recientes son compatibles con aquella campaña, pero las autoridades todavía no atribuyeron oficialmente los nuevos ataques a un actor determinado.
CISA, el FBI y la Agencia de Protección Ambiental recomendaron desconectar los PLC de la Internet pública. Cuando el acceso remoto resulte imprescindible, deberá realizarse mediante una VPN, un firewall y una puerta de enlace segura que permita monitorear y controlar cada conexión.
Las autoridades también pidieron:
- Cambiar contraseñas predeterminadas por credenciales únicas y complejas.
- Revisar y proteger todos los módems celulares conectados a las plantas.
- Permitir únicamente comunicaciones procedentes de dispositivos autorizados.
- Comparar la programación activa de los PLC con copias confiables.
- Conservar respaldos limpios y verificar que no contengan código malicioso.
- Separar las redes administrativas de las redes industriales.
- Reemplazar o aislar equipos que ya no reciben actualizaciones de seguridad.
- Probar regularmente los procedimientos de operación manual.
La capacidad de volver rápidamente al control manual fue determinante para mantener activos varios servicios afectados. El comunicado conjunto del FBI y la EPA remarca que los planes de continuidad, los respaldos y los sistemas alternativos deben ensayarse antes de una emergencia.
Una advertencia que trasciende a Estados Unidos
La campaña expone una vulnerabilidad compartida por numerosos países: la digitalización de los servicios públicos avanzó más rápido que la protección de su tecnología operacional. Plantas de agua, redes eléctricas, industrias y sistemas de transporte todavía utilizan equipos antiguos, con escasa segmentación y conexiones remotas difíciles de inventariar.
Para organismos públicos y operadores argentinos, la alerta funciona como una señal preventiva. El primer paso no requiere una solución sofisticada: consiste en identificar todos los activos industriales conectados, determinar cuáles están expuestos a Internet y eliminar los accesos directos. En infraestructura crítica, una contraseña débil o un módem desconocido ya no representan solamente un riesgo informático: pueden convertirse en una interrupción concreta de un servicio esencial.
