La exposición de PLC Rockwell en Internet está generando una alerta importante para la ciberseguridad de las utilities, en especial las del sector del agua. Investigaciones recientes identificaron miles de controladores accesibles públicamente y describieron cómo, incluso sin una explotación de vulnerabilidades clásica, un atacante podría degradar la visibilidad operativa y afectar equipos conectados.
Según el análisis citado, se hallaron controladores programables (PLC) de Rockwell Automation orientados a redes, con un foco particular en entornos donde existe acceso remoto. Aunque no se confirmó que esos equipos estuvieran comprometidos, la exposición por sí misma abre la puerta a intentos de manipulación.
Qué se encontró: miles de PLC accesibles desde Internet
Durante una exploración realizada a finales de verano, se contabilizaron 4.407 controladores Rockwell expuestos en todo el mundo. De ese total, 2.844 correspondían a Estados Unidos. En paralelo, otra fotografía del panorama reportó 4.148 hosts con EtherNet/IP expuestos, con participación destacada de grandes redes móviles.
Es clave entender el matiz: las cifras se refieren a controladores o hosts expuestos, no a instalaciones completas ni a víctimas confirmadas. Aun así, el volumen implica que el riesgo sistémico no es anecdótico.
Exposición en ciudades afectadas por ataques al agua
El hallazgo se relacionó con incidentes recientes contra servicios de agua en Estados Unidos. En esas áreas, se detectaron 22 PLC Rockwell accesibles desde Internet, y en 19 de ellos se observó el uso de la misma red de un operador móvil.
La información disponible no atribuye el conjunto de acciones a un grupo específico, y tampoco explica con detalle cómo se seleccionaron o alcanzaron inicialmente los objetivos. Sin embargo, se remarca que el simple hecho de estar accesibles públicamente facilita que actores maliciosos prueben cambios de configuración o alteren credenciales.
Cómo podrían afectar a la operación sin “aprovechar” una falla
Un punto relevante del análisis es que los efectos descritos podrían lograrse sin una explotación de vulnerabilidad tradicional. En lugar de “romper” el dispositivo mediante una falla, los atacantes podrían:
- cambiar direcciones IP, dificultando el monitoreo continuo;
- ajustar contraseñas para bloquear el acceso legítimo;
- provocar pérdida de visibilidad sobre el equipamiento conectado;
- en algunos casos, interferir con el control de lo que está aguas abajo.
En otras palabras, el riesgo no se limita a la existencia de un CVE. La exposición puede convertir la administración remota en un frente de ataque.
EtherNet/IP y el puerto 44818: por qué importa
El análisis advierte sobre una exposición particular vinculada a EtherNet/IP, específicamente el puerto 44818. Al publicar ese servicio sin controles adecuados, se crea un camino no autenticado que, dependiendo de la configuración del dispositivo, puede permitir que un actor:
- identifique qué controladores están presentes;
- y en ciertos escenarios, escriba ajustes.
Esto no significa que todos los equipos sean vulnerables de la misma manera, pero sí que la superficie de ataque se amplía de forma innecesaria.
Qué recomiendan para la protección: segmentación y autenticación fuerte
Para reducir el riesgo, se recomiendan acciones concretas que afectan tanto a la seguridad como a la arquitectura de acceso remoto. Entre las recomendaciones destacan:
- Retirar los PLC del acceso directo a Internet.
- Aplicar autenticación robusta en los componentes que gestionan comunicaciones.
- Mantener actualizaciones y revisar el estado de firmware cuando sea aplicable.
- habilitar registro (logging) para identificar intentos y cambios.
- aislar el acceso remoto usando una arquitectura con APN privado, VPN u otros mecanismos equivalentes.
La idea es clara: cuanto más “privado” sea el canal, menos probable será que un atacante pueda escanear, probar configuraciones o automatizar intentos desde redes abiertas.
Modelos detectados y relación con fallas conocidas
Dentro del conjunto observado, los resultados se concentraron en dos familias de dispositivos. Los MicroLogix 1400 representaron alrededor de la mitad de los hallazgos, mientras que los MicroLogix 1100 formaron una parte menor.
Además, el análisis indicó que una parte de los PLC ubicados en las ciudades afectadas ejecutaba firmware susceptible a una vulnerabilidad asociada a un desbordamiento de búfer en Modbus TCP. En términos generales, la falla se relaciona con versiones del firmware (hasta una revisión específica) y requiere que Modbus TCP esté habilitado para que exista una vía de explotación.
El equipo investigador no pudo verificar ese requisito de habilitación en los hosts expuestos. Aun así, se subraya un mensaje importante: los parches y actualizaciones no deberían usarse como excusa para mantener los PLC directamente publicados. La exposición pública sigue siendo una mala práctica de seguridad.
Recuperación ante cambios de contraseña y pistas sobre incidentes
Cuando un atacante modifica credenciales, el impacto puede ser inmediato: el equipo operativo puede quedar fuera de control o sin visibilidad. El análisis menciona que Rockwell publicó orientación de recuperación para casos donde el acceso quedó bloqueado por una contraseña establecida por un tercero. Esa guía describe cómo restablecer el dispositivo a valores de fábrica y recargar un archivo de proyecto conocido como válido.
La recuperación, además, exige disponer de una copia actual fuera de línea de la lógica del controlador. En incidentes ya reportados, se advirtió la presencia de modificaciones en archivos del proyecto del PLC tras detectarse discrepancias en la lógica ladder entre distintos sitios.
Por qué esto puede repetirse en redes similares
Otro elemento de preocupación es la repetibilidad. Si varios clientes comparten arquitecturas de red o configuraciones de terceros similares (por ejemplo, la forma de conectar acceso remoto o las rutas de comunicación), un atacante que logre un compromiso podría intentar replicar el patrón en otros entornos.
En esa situación, no hace falta “innovar”: basta con encontrar configuraciones equivalentes y volver a ejecutar estrategias que funcionen. Esto convierte la respuesta defensiva en una carrera contra el tiempo y la automatización.
Qué pueden hacer los equipos defensivos desde ya
Más allá del recuento exacto de hosts o de las discrepancias entre snapshots, el riesgo práctico es el mismo: hay PLC que deberían estar inaccesibles desde Internet. Por eso, las acciones inmediatas suelen enfocarse en reducir exposición, reforzar acceso y mejorar la capacidad de detectar cambios.
Como primer paso, revise inventarios y verifique si EtherNet/IP o servicios equivalentes están accesibles desde redes públicas. Luego, aplique segmentación, autenticación fuerte, registros de eventos y una estrategia de acceso remoto aislada. Finalmente, asegure el plan de recuperación: copias fuera de línea de proyectos y procedimientos probados para restablecer el control.
Conclusión
La exposición de PLC Rockwell detectada en Internet muestra cómo una superficie de ataque amplia puede facilitar incidentes en infraestructuras críticas, incluso cuando no se confirma el uso de una explotación directa de una vulnerabilidad. La lección principal es preventiva: mantener los controladores fuera de redes públicas, endurecer la autenticación y asegurar un monitoreo y recuperación eficaces.
Si su organización opera en entornos OT o en sectores con requisitos altos de disponibilidad, este tipo de hallazgos debería traducirse en revisiones de arquitectura y controles técnicos, antes de que el riesgo se convierta en impacto.
Fuente: https://thehackernews.com/2026/08/over-4400-rockwell-plcs-exposed-online.html
