Siete estados han informado de ciberataques contra sus sistemas públicos de agua potable. En Minnesota, por ejemplo, se registraron al menos 30 ciberataques a servicios públicos de agua en Minnesota entre el 26 y el 27 de julio de 2026.

Las autoridades aseguran que no hay indicios de que estos hackeos hayan afectado a la potabilidad del agua, por lo que la población no corre peligro. No obstante, los ataques pusieron en peligro el control y ajuste en remoto de la calidad del agua, incluidos los niveles de tratamiento químico y la presión.

Según los expertos, este suceso no tiene precedentes y se ha podido salvaguardar la integridad del sistema y su correcto funcionamiento. Aún así, desde hace años, los diferentes conflictos internacionales han puesto de manifiesto el peligro de una ciberguerra a gran escala que iría contra los servicios fundamentales como el suministros de agua y comida, redes eléctricas o transporte.

Irán como principal sospechoso

Expertos en ciberseguridad afirman que las primeras sospechas han apuntado a Irán. El Gobierno de Estados Unidos aún no ha atribuido el ataque a ninguna banda en particular.

Aún así, según informa The New York Times, las autoridades señalaron que Irán era el primer sospechoso en una investigación que aún no tiene pruebas forenses definitivas. Además, recordaron que este país había intensificado los ciberataques desde que Estados Unidos e Israel iniciaron la guerra contra el país hace cinco meses, y que anteriormente había atacado sistemas de agua similares y otras infraestructuras críticas en Estados Unidos.

Ante estas sospechas, el presidente de Estados Unidos ha tirado de humor para descartar la implicación Irán: “Creo que Minnesota está detrás de esto”, dijo Donald Trump. Minnesota fue el primer estado en informar del incremento de ciberataques. Por su parte, el gobernador demócrata del estado, Tim Walz, respondió por redes sociales con más seriedad: "así es como luce la guerra moderna".

Contra las válvulas y bombas

Los ataques a sistemas de control industrial suelen seguir una secuencia conocida. Los piratas informáticos evitaron los ordenadores y sistemas de las empresas que controlan estos servicios públicos, el objetivo más claro. En su lugar, fueron directamente a los pequeños ordenadores que hay instalados en las bombas y válvulas que suministran agua potable a esas regiones.

La solución encontrada por los responsables del servicio fue volver a un control manual de las instalaciones. Apagaron los ordenadores hackeados y enviaron personal al terreno para que siguiera funcionando el servicio del que dependen millones de personas.

Aunque la investigación aún es preliminar, un aviso del FBI y la Agencia de Protección Ambiental del 30 de julio indicó que los atacantes accedieron de forma remota a los controladores lógicos programables MicroLogix de Rockwell Automation conectados directamente a internet y cambiaron sus direcciones IP y contraseñas.

Los llamados controladores lógicos programables (PLC) funcionan como el "cerebro" de la infraestructura: reciben información de sensores que miden aspectos como la presión del agua, el nivel de los depósitos o la composición química, y, en función de esos datos, activan bombas, válvulas y alarmas.

Después envían toda esa información al centro de control, desde donde los operarios supervisan el sistema y pueden enviar órdenes a distancia. Al ser un servicio que debe estar en funcionamiento las 24 horas del día, esta tecnología facilita su control a distancia por parte del personal.

El ataque suele comenzar con una fase de reconocimiento. Los ciberdelincuentes buscan en Internet instalaciones que tengan estos controladores conectados directamente a la red o sistemas de acceso remoto mal protegidos.

Una vez localizan un objetivo, intentan entrar aprovechando contraseñas débiles o que nunca se cambiaron, credenciales robadas o fallos de seguridad que aún no se han corregido. En algunos casos ni siquiera necesitan utilizar programas maliciosos sofisticados: basta con que el equipo siga utilizando la contraseña predeterminada del fabricante o tenga una configuración insegura.

Si consiguen acceder al controlador, pueden modificar la configuración del sistema. los expertos en ciberseguridad advierten que los equipos industriales que llevan décadas en funcionamiento son extremadamente vulnerables. Por su antigüedad, cuando dejan de ser compatibles con las funciones de seguridad modernas, las empresas de servicios públicos pueden retrasar las actualizaciones para evitar interrumpir las operaciones.

Entre otras acciones, pueden cambiar las contraseñas para impedir que los operarios recuperen el control, alterar la dirección de red del dispositivo para dificultar su localización, enviar órdenes falsas a bombas y válvulas o incluso modificar el software que controla la instalación. Otra vía habitual consiste en engañar a un empleado mediante un correo fraudulento (phishing), tomar el control de su ordenador y desde ahí acceder a la red industrial.

Fuerzas desiguales

La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA, por sus siglas en inglés), emitió un comunicado el jueves en el que recomendaba a las instalaciones desconectar de internet los controladores vulnerables.

Cuando sea imprescindible acceder a ellos de forma remota, la conexión debe realizarse mediante sistemas seguros, como redes privadas virtuales (VPN), protegidas con autenticación multifactor.

También es importante cambiar las contraseñas predeterminadas, instalar las actualizaciones de seguridad disponibles, separar la red industrial de la red informática de la empresa y mantener copias de seguridad de la configuración de los controladores para poder restaurar rápidamente el servicio si se produce un incidente.

Aún así, todas estas medidas pueden no ser más que ligeros parches ante una comunidad de piratas informáticos reforzados por el uso de la IA, que les facilita la búsqueda de múltiples vulnerabilidades en poco tiempo, incluso la automatización de los ciberataques.

Por su parte, las empresas de suministro de agua en zonas rurales, con recursos limitados, representan una vulnerabilidad importante en la infraestructura crítica de Estados Unidos.

Un grupo de expertos voluntarios en ciberseguridad está brindando asesoramiento a las empresas de suministro de agua, pero su alcance es limitado. Las empresas más pequeñas podrían necesitar financiación gubernamental o servicios compartidos de ciberseguridad para poder protegerse.