Resumen ejecutivo: Más de 30 redes de abastecimiento de agua de Minnesota sufrieron un ciberataque coordinado los días 26 y 27 de julio. Días después, Míchigan confirmó incidentes similares en nueve de sus propias redes de abastecimiento de agua. Este patrón pone de manifiesto cómo un único fallo de diseño en la ciberseguridad de las tecnologías operativas (OT) se convirtió en una superficie de ataque a escala nacional.
El 30 de julio de 2026, el FBI y la EPA emitieron un anuncio de servicio público (PSA, por sus siglas en inglés; Alerta I-073026-PSA) en el que se ofrecían más detalles sobre el ataque de Minnesota. Según el aviso, los atacantes obtuvieron acceso remoto a los PLC conectados a Internet y modificaron sus direcciones IP y contraseñas, lo que impidió a los operadores llevar a cabo sus funciones de supervisión y control. Al menos una organización también encontró archivos de proyecto de PLC modificados tras detectar discrepancias en la lógica ladder en varias instalaciones, y el FBI señaló que las similitudes en las configuraciones de red proporcionadas por terceros podrían haber permitido a los atacantes repetir la misma técnica en múltiples clientes.
El 1 de agosto se hizo público otro ataque. En esta ocasión, el Departamento de Medio Ambiente, Grandes Lagos y Energía de Míchigan confirmó ciberataques contra nueve de sus sistemas de abastecimiento de agua, días después de que Minnesota informara de incidentes similares en todo el estado.
Las autoridades federales señalaron a Irán como principal sospechoso; sin embargo, la atribución es preliminar y el FBI sigue investigando los incidentes ocurridos en ambos estados.
En todas las comunidades afectadas, el personal de obras públicas pasó a un funcionamiento manual, lo que permitió que los servicios de agua y de saneamiento continuaran sin interrupción mientras el control automatizado se veía afectado. Se trata de un éxito operativo, y los operadores de Minnesota merecen todo el reconocimiento por ello. El plan de contingencia manual funcionó esta vez, pero puede que no lo haga la próxima.
Las infraestructuras críticas no siempre pueden confiar en la vigilancia de los operadores de sus instalaciones para suplir la falta de una arquitectura segura.
Un patrón evitable que se repite desde hace años
Aunque resultaría en cierta medida conveniente considerar el ataque como un incidente aislado relacionado con Irán, un hecho puntual estrechamente vinculado a las tensiones existentes con ese país, el ataque contra las infraestructuras críticas de EE. UU. forma parte de una pauta.
Según una alerta conjunta de la EPA, la CISA, el FBI, la Agencia de Seguridad Nacional, la EPA y otras entidades federales han emitido numerosos avisos sobre ciberataques contra redes de información y sistemas de control de procesos en redes de agua y de aguas residuales perpetrados por actores cibernéticos patrocinados por Estados. Por citar solo algunos:
- Actores cibernéticos iraníes vinculados al Cuerpo de la Guardia Revolucionaria Islámica (IRGC)
- Hacktivistas prorrusos
- Actores cibernéticos respaldados por el Estado de República Popular China conocidos como «Volt Typhoon», «Vanguard Panda» y otros nombres.
Los incidentes de Minnesota y Míchigan no son más que los últimos datos que se suman al panorama de amenazas que las agencias federales llevan describiendo, por escrito, al menos desde finales de 2023.
El acceso al agua potable es un derecho humano fundamental; una planta que no pueda verificar su propia dosificación química ni sus controles de presión supone una crisis de salud pública a escala nacional a la espera de producirse.
En palabras del administrador de la EPA, Lee Zeldin, la responsabilidad recae en los responsables de las plantas. Las recomendaciones llevan años siendo públicas, y los operadores no deberían esperar a que se les exija a nivel federal para arreglar sus sistemas.
Muchos PLC, incluidas las unidades MicroLogix implicadas en este incidente, son equipos antiguos que puede que ya no reciba actualizaciones de seguridad, y están diseñados para la planta de producción, no para Internet. Si estos controles quedan expuestos, una pequeña intrusión provocará graves trastornos operativos tanto en comunidades grandes como pequeñas.
Cómo se manifiesta este patrón en el atentado de Minesotta
Un ataque típico a los sistemas de tecnología operativa (OT) suele comenzar con un correo electrónico de phishing que compromete a un usuario o un terminal de TI. A continuación, el atacante amplía sus privilegios a través de Active Directory, pasa de la red de TI al entorno OT, compromete una estación de trabajo de ingeniería y, finalmente, obtiene acceso a los controladores lógicos programables (PLC) para manipular o interrumpir los procesos industriales.
En el ataque de Minnesota (al menos), los atacantes se saltaron casi todos los pasos. Al parecer, los atacantes no necesitaron comprometer primero la red informática de la empresa; simplemente encontraron y explotaron los PLC que estaban expuestos directamente a Internet.
Según la información disponible, es posible que los atacantes obtuvieran acceso administrativo a los PLC aprovechando credenciales predeterminadas, contraseñas débiles o la ausencia de políticas de autenticación multifactorial (MFA). Esto les permitió eludir la vía de ataque tradicional de TI a OT, lo que redujo significativamente el número de pasos necesarios para comprometer los controladores.
La cadena de ataque demuestra por qué los dispositivos de nivel 0-1 nunca deberían tener acceso a Internet.
Los controles de red no son suficientes para la tecnología operativa
La cadena de ataque demuestra por qué los dispositivos de nivel 0-1 nunca deberían tener acceso a Internet.
En cuanto a las mejores prácticas en materia de ciberseguridad de los sistemas de control industrial (OT), el FBI, la EPA y la CISA recomiendan acertadamente eliminar la exposición a Internet, implementar cortafuegos, VPN, segmentación de redes y políticas de autenticación sólidas. Estos siguen siendo controles fundamentales y deben implementarse siempre que se requiera acceso remoto. Sin embargo, en el caso de los sistemas de control industrial de alto impacto, las organizaciones deberían plantearse si el acceso remoto entrante es realmente necesario.
Las VPN y los cortafuegos son programas informáticos, lo que significa que tienen vulnerabilidades. Los configura gente, lo que significa que pueden estar mal configurados. Los mismos atacantes que se pasaron el mes de julio escaneando Internet en busca de PLC expuestos pueden, con la misma facilidad, dirigir a continuación esos mismos escáneres hacia terminales de VPN y cortafuegos vulnerables o mal configurados. Es el mismo problema, pero con una consulta de búsqueda diferente.
Ningún controlador responsable del suministro de agua, electricidad, transporte u otros servicios esenciales debería ser accesible directamente desde la red pública de Internet. Hay una diferencia entre «seguro» y «aislado», pero ahí es donde fallan los sistemas de ciberseguridad de algunas empresas de servicios públicos.
Las VPN autentican y cifran el acceso remoto, mientras que los cortafuegos regulan qué tráfico se permite. Ambos parten de la base de que sigue existiendo cierto nivel de conectividad entrante. Una pasarela unidireccional, o diodo de datos, aborda un objetivo de seguridad diferente: eliminar por completo la conectividad de red entrante para los sistemas que no requieren control remoto.
Cómo los flujos unidireccionales eliminan toda una clase de riesgo
En términos generales, las comunicaciones industriales se dividen en dos categorías:
1. Controlar el tráfico, que envía comandos a los procesos.
2. Supervisión del tráfico, que exporta datos operativos a sistemas de registro histórico, centros de operaciones de seguridad (SOC), aplicaciones empresariales, herramientas de análisis en la nube o portales de gestión.
Muchos sistemas críticos acaban utilizando únicamente la segunda categoría. En estos entornos, permitir la conectividad entrante no hace más que aumentar la superficie de ataque sin aportar ningún valor operativo.
Si es necesario que los datos operativos salgan del sistema, no deberían hacerlo por una ruta que permita que nada vuelva a entrar. En su lugar, deberían atravesar un límite físicamente unidireccional y controlado por hardware.
Con un flujo unidireccional obligatorio, los operadores mantienen una visibilidad total de lo que ocurre en la planta de producción. Los atacantes, por su parte, no tienen ninguna oportunidad de volver a entrar a través de esa conexión.
OPSWATEste es el principio en el que se basa el MetaDefender™ NetWallde MetaDefender : diodos de datos de última generación que proporcionan seguridad unidireccional. NetWall implementa una comunicación unidireccional controlada por hardware, que transfiere datos operativos —como información histórica, alarmas, registros o telemetría— desde los sistemas OT críticos a los sistemas empresariales, al tiempo que impide que cualquier sesión de red, tráfico de gestión o comando de control vuelva hacia los controladores protegidos.
No es necesario proteger la ruta de retorno, ya que, para empezar, esta no existe. Esto elimina el tipo de vulnerabilidad que un cortafuegos no puede bloquear por completo: una regla mal configurada, un puerto abierto o una excepción en la política. El error humano como factor de riesgo también se elimina por completo, ya que los diodos no requieren las complejas reglas de configuración bidireccionales que utilizan los cortafuegos. MetaDefender NetWall está diseñado para cumplir con los estrictos requisitos de seguridad de los entornos industriales, así como con las recomendaciones de la EPA para la resiliencia del sector del agua.
10 000 servidores siguen estando expuestos; ¿cómo podemos subsanar esta deficiencia?
En este momento, más de 4.100 servidores de Rockwell Automation/Allen-Bradley expuestos a Internet, más de 4.100 servidores de Siemens y más de 2.000 servidores de Schneider Electric están accesibles desde la red pública de Internet. Según la CISA, los módems móviles añadidos por operadores, proveedores o integradores de sistemas suelen ser un punto ciego, ya que a menudo no están documentados y, por lo tanto, se omiten en los análisis rutinarios de la superficie de ataque.
En otras palabras, más de 10 000 dispositivos están expuestos al mismo tipo de ataque que acaba de afectar a las empresas de suministro de agua de Míchigan y Minnesota. Se trata de controladores que, si se ven comprometidos, pueden inundar una planta o dejar el agua sin tratar. La CISA utiliza las VPN y los cortafuegos como recomendaciones básicas para proteger las infraestructuras críticas de EE. UU. Aunque tienen un valor real, seguimos hablando de herramientas basadas en Internet. Las recomendaciones actuales para proteger una válvula de presión, un sistema de dosificación de productos químicos y el agua del grifo de una familia no pueden pertenecer a la misma categoría que las herramientas diseñadas para proteger una página de inicio de sesión.
Minnesota y Míchigan nos recuerdan que la seguridad propia de Internet nunca se diseñó para ser la última línea de defensa de los sistemas físicos críticos para la seguridad pública. La infraestructura de seguridad pública necesita una solución física: una barrera que los atacantes no puedan reconfigurar, explotar ni escanear para atravesarla, ya que no existe una ruta de retorno que un escáner pueda detectar.
El primer episodio de la nueva serie documental de « OPSWAT», presentada por Kari Byron, de «MythBusters», lo deja claro: una defensa en varias capas, que incluya un flujo de datos unidireccional garantizado por el hardware, no es un simple extra para las infraestructuras críticas. De hecho, puede marcar la diferencia entre un simple informe de incidente y una emergencia de salud pública.
«Breaking the Firewall » lleva a los espectadores desde las salas de conferencias sobre seguridad hasta demostraciones prácticas en las que se muestra exactamente cómo fallan los cortafuegos y qué debe sustituirlos. Ve el primer episodio y descubre qué se necesita para proteger las infraestructuras críticas de Estados Unidos.
