La Cybersecurity and Infrastructure Security Agency (CISA) advirtió que, durante julio de 2026, se registraron ataques maliciosos contra sistemas de agua expuestos a Internet. En su comunicado, el organismo señaló que identificó más de 100 entornos de Water and Wastewater Systems (WWS) que estaban accesibles desde la red pública y que fueron el blanco de actividad hostil.
Aunque, según la información disponible, estos incidentes no habrían provocado disrupciones significativas, sí han reavivado la preocupación sobre el riesgo que representa la conectividad directa para la tecnología operativa. A continuación, repasamos qué se observó, por qué el acceso a Internet importa tanto y qué acciones recomienda CISA para reducir la exposición.
Más de 100 sistemas de agua atacados desde Internet
CISA indicó que observó actividad cibernética maliciosa dirigida a más de 100 sistemas expuestos a Internet dentro del sector de agua y aguas residuales. El detalle clave es la forma en que, frecuentemente, estos sistemas se conectaban: en muchos casos, a través de controladores lógicos programables (PLCs) vinculados directamente a un módem celular.
El comunicado subrayó que, hasta ese momento, las agencias federales no habían cuantificado públicamente cuántos sistemas estaban involucrados en una nueva ola de ataques contra servicios de agua. En otras palabras, el dato de “100+” aporta una dimensión más concreta al panorama de riesgo.
El objetivo: interrumpir tecnología operativa
La agencia asoció estos ataques con actores de amenaza iraníes. El propósito no sería simplemente “probar” sistemas, sino afectar componentes de tecnología operativa (OT), es decir, aquellos sistemas que gestionan y controlan procesos en entornos críticos.
En la práctica, cuando los elementos de OT quedan accesibles desde Internet, aumentan las oportunidades para que un atacante intente reconocer, manipular o desestabilizar flujos de operación. Aunque el impacto reportado en esta oleada no fue severo, la existencia del vector de ataque pone en primer plano la posibilidad de incidentes futuros con mayor efecto.
Estados afectados: al menos 12 con casos confirmados
CISA no comunicó cuántos estados estuvieron involucrados en total, pero indicó que el número parecería ser al menos 12. No todos los estados serían conocidos, aunque sí se mencionaron varios que confirmaron haber sido objeto de los ataques, como Minnesota, Michigan, South Dakota, Georgia, New Jersey y Alabama.
Este punto es relevante para administradores y responsables de seguridad en el sector: aun cuando no haya interrupciones grandes, la exposición detectada puede indicar que existen superficies de ataque que conviene revisar con urgencia.
¿Por qué CISA pone el foco en la exposición a Internet?
Uno de los mensajes centrales del organismo es que las organizaciones deben reducir de forma proactiva la superficie de ataque desde Internet, especialmente en componentes de OT utilizados en infraestructura crítica. CISA no se limita a señalar el problema: propone un enfoque operativo para identificar y corregir lo que está accesible.
En particular, la guía actualizada destaca el riesgo de dejar PLCs y otros elementos de infraestructura de control industrial (ICS) alcanzables mediante módems celulares o desde Internet público. En el contexto de los incidentes mencionados, esa exposición habría facilitado la actividad maliciosa.
Guía de CISA: identificar, limitar y proteger
Para abordar la situación, CISA recomienda seguir un proceso en varios pasos. La lógica es clara: primero entender qué está expuesto, luego decidir qué exposición es necesaria y, finalmente, reforzar la seguridad de lo que deba permanecer conectado.
1) Inventariar y comprobar accesibilidad
El punto de partida es identificar todos los sistemas con acceso a Internet. CISA sugiere hacerlo mediante inventarios internos y apoyarse también en herramientas de escaneo externo. Esto ayuda a detectar discrepancias entre lo que “se cree” conectado y lo que realmente es visible desde fuera.
2) Eliminar o restringir lo que no sea imprescindible
Una vez identificadas las exposiciones, la agencia recomienda evaluar cuáles de ellas son realmente necesarias para operar. El resto debería eliminarse o restringirse para minimizar el acceso no controlado.
3) Si debe estar en línea, endurecer controles
Cuando algún sistema deba permanecer operativo, CISA propone medidas de seguridad concretas. Entre las recomendaciones se incluyen:
- Cambiar contraseñas predeterminadas por credenciales seguras.
- Aplicar actualizaciones de seguridad para corregir vulnerabilidades conocidas.
- Encaminar el acceso remoto a través de puertas de enlace seguras o “jump hosts”.
- Implementar autenticación multifactor para reducir el riesgo de acceso no autorizado.
- Monitorear continuamente el tráfico para detectar comportamientos anómalos.
Estas acciones ayudan a cerrar brechas típicas: credenciales débiles, software desactualizado, rutas de conexión directas y ausencia de visibilidad.
Reevaluaciones periódicas a medida que cambia la red
CISA también recomienda realizar reevaluaciones regulares. La exposición no es estática: las redes cambian, terceros se conectan, se incorporan nuevos enlaces y se modifican flujos de operación. Por ello, una revisión continua o recurrente permite identificar nuevos puntos de entrada antes de que sean aprovechados.
En entornos OT/ICS, este enfoque resulta especialmente importante porque muchas veces las dependencias técnicas y operativas evolucionan sin que la visibilidad de ciberseguridad vaya al mismo ritmo.
Conexión con alertas previas sobre ataques a ICS
La guía divulgada por CISA llega poco después de que el organismo emitiera advertencias sobre ataques con vínculo a Irán que habrían involucrado componentes ICS de fabricantes específicos mencionados en su momento: Siemens, Schneider Electric y Rockwell Automation. Además, CISA instó al sector del agua a proteger la OT frente a incidentes que involucraban PLCs.
En conjunto, este ciclo de alertas refuerza una idea: la seguridad de los sistemas de control industrial no puede considerarse un tema solo “técnico” de planta. La conectividad, el acceso remoto y las configuraciones de exposición desde Internet son parte del riesgo empresarial.
Qué pueden hacer organizaciones del sector hoy
Si administras o coordinas seguridad en un entorno de agua y saneamiento, el informe de CISA sugiere acciones inmediatas y prácticas. No se trata solo de reaccionar ante un incidente, sino de reducir la probabilidad de que vuelva a ocurrir.
Como punto de inicio, prioriza:
- Auditar qué dispositivos de OT/ICS están accesibles desde la red pública.
- Validar que los PLC y componentes conectados vía módem no queden expuestos sin necesidad.
- Revisar credenciales, actualizaciones y rutas de administración remota.
- Activar monitoreo de tráfico con alertas sobre patrones inusuales.
- Programar reevaluaciones cuando cambie la infraestructura o se sumen conexiones de terceros.
Estas prácticas atacan la raíz del problema: el acceso no controlado y la falta de controles defensivos alrededor de sistemas de control.
Conclusión
El aviso de CISA sobre sistemas de agua expuestos revela que los ciberataques contra infraestructura crítica no solo buscan datos, sino también afectar la tecnología operativa mediante vectores de acceso desde Internet. La cifra de más de 100 objetivos y la mención de PLCs conectados a módems celulares dejan claro que la exposición técnica importa.
Aunque la oleada de julio no habría generado disrupciones importantes, la recomendación del organismo es contundente: identificar la exposición, eliminar lo innecesario, endurecer lo que debe permanecer en línea y revisar de forma continua. Con eso, las organizaciones del sector pueden reducir el riesgo y estar mejor preparadas para amenazas futuras.
