Los ataques cibernéticos al agua en Estados Unidos no se habrían limitado a un solo estado. A medida que aparecen nuevos datos sobre la campaña contra el sector de agua y aguas residuales, la afectación se estaría extendiendo a por lo menos siete estados adicionales, además de lo reportado inicialmente en Minnesota.
La preocupación principal para los equipos de seguridad no solo está en el alcance geográfico, sino en el tipo de sistemas alcanzados. Se trata de entornos de tecnología operativa (OT) y de posibles vías de intrusión vinculadas a la conectividad, especialmente cuando algunos equipos dependen de comunicaciones celulares o están expuestos a redes.
Minnesota y la señal temprana
La alerta comenzó con el anuncio de Minnesota. La información dada a conocer indicaba que, entre el 26 y 27 de julio, se atacaron sistemas OT en más de 30 instalaciones de agua y aguas residuales. Sin embargo, en los comunicados públicos se observó un patrón: pocas ciudades publicaron detalles y, en muchos casos, no se detectaron efectos visibles en el funcionamiento diario.
Solo algunas localidades tomaron medidas visibles. En un caso se informó que se detuvo temporalmente la planta de tratamiento como respuesta, mientras que la mayoría aseguró que no hubo impacto operativo y que el agua potable seguía siendo segura para la población.
La campaña se extiende a otros estados
La evidencia disponible en medios generalistas, apoyada en fuentes consultadas, apuntó pronto a que la campaña no se restringía a Minnesota. Según esas informaciones, al menos siete estados habrían sido afectados en el sector del agua.
Michigan confirmó oficialmente que un “pequeño número” de comunidades experimentó actividad maliciosa. En ese reporte, se enfatizó que todos los sistemas continuaron operando con seguridad y que no existían preocupaciones públicas sobre salud.
También se reportó un incidente en Rapid City, Dakota del Sur. La descripción del caso sugiere que podría estar relacionado con la misma campaña. La ciudad informó que el incidente involucró una de sus estaciones elevadoras (lift stations) dentro del sistema de aguas residuales, y que en ningún momento se puso en riesgo la infraestructura de agua o aguas residuales. Además, autoridades locales comunicaron a los residentes que el suministro de agua seguía protegido.
Otro reporte atribuyó a Georgia la inclusión dentro de los estados objetivo. En ese punto, el nombre de las demás jurisdicciones afectadas no se había precisado públicamente.
Por qué se mencionan vínculos con Irán
Cuando se analiza una campaña dirigida a entornos de OT en infraestructura, es común que se evalúen patrones de actividad y trazas previas asociadas a actores con historial relevante. En este caso, el nombre de Irán apareció rápidamente como sospechoso principal, en parte porque se le ha atribuido a sus grupos la tendencia a atacar entornos ICS y otros sistemas OT, incluyendo incidentes en el sector hídrico.
Hasta el momento, el gobierno de EE. UU. no habría señalado públicamente a Irán como responsable directa. Aun así, varios medios informaron que investigadores federales habrían estado revisando la posible participación iraní.
En el ecosistema sectorial, también se mencionó un trabajo de análisis: WaterISAC, una organización que facilita comunicación e intercambio de información para el sector del agua, habría difundido un reporte según el cual el centro de fusión de Minnesota habría hallado indicios de que los ataques estaban alineados con campañas de intrusión previamente vinculadas por EE. UU. a Irán. El documento revisado se habría marcado como TLP:Amber, lo que limitaría su distribución pública.
Qué se sabe (y qué no) a nivel técnico
Para los defensores OT, un punto clave es la disponibilidad de detalles técnicos. En los casos reportados, pocos municipios compartieron información profunda sobre cómo ocurrió la intrusión o qué componentes fueron comprometidos.
En Minnesota, un comentario público indicó que el evento se limitó a equipos conectados mediante comunicaciones celulares. De acuerdo con especialistas del sector, esta clase de conectividad puede convertirse en una vía de acceso: los endpoints OT con enlaces a internet a través de redes celulares pueden funcionar como un vector de intrusión, sobre todo si existen configuraciones inadecuadas o superficies expuestas.
Además, se recordó que actores vinculados a Irán ya habían atacado instalaciones de agua en Israel usando routers celulares con vulnerabilidades. Este antecedente no confirma el mismo método en EE. UU., pero ayuda a entender por qué la conectividad móvil aparece en el análisis.
Recomendaciones de CISA y el foco en PLCs
Tras hacerse público lo ocurrido en instalaciones de agua en Minnesota, CISA (la agencia de ciberseguridad y seguridad de infraestructuras de EE. UU.) urgió al sector a proteger entornos OT. El énfasis se colocó especialmente en controladores lógicos programables (PLCs), componentes fundamentales en procesos industriales y de tratamiento.
Con anterioridad a los eventos en Minnesota, otras agencias federales habrían actualizado una advertencia de abril sobre ataques iraníes orientados a dispositivos OT. En esa actualización, se mencionaba que podrían estar siendo objetivo sistemas de control industrial fabricados por Siemens, Schneider Electric y Rockwell Automation.
En el lado de la exposición en internet, una firma de seguridad llamada Censys reportó que aproximadamente 10.000 PLCs de Rockwell, Siemens y Schneider estarían accesibles desde internet. No obstante, el dato no aclara cuántos de esos equipos serían efectivamente vulnerables para un ataque, o si están protegidos por controles adicionales o segmentación de red.
Cómo prepararse: medidas prácticas para defensores OT
Aunque los detalles técnicos completos no se han hecho públicos en todos los casos, los patrones señalados apuntan a necesidades concretas de preparación. Para equipos que protegen activos OT, estas líneas de acción suelen ayudar a reducir riesgo:
- Inventariar endpoints OT y su tipo de conectividad (incluida la celular) para detectar puntos que funcionen como “puerta de entrada”.
- Revisar exposición desde redes externas y aplicar segmentación. Si un PLC u otro equipo de control mantiene rutas hacia internet, el riesgo cambia drásticamente.
- Priorizar PLCs y sistemas ICS según criticidad del proceso, asegurando que versiones y configuraciones relevantes estén saneadas.
- Fortalecer la seguridad de comunicaciones usadas en campo: las rutas inalámbricas y los routers implican una superficie distinta y requieren controles específicos.
- Seguir alertas y reportes sectoriales para actualizar prácticas defensivas, especialmente cuando organizaciones del sector recopilan evidencias.
En el plano informativo, también se señaló la disponibilidad de reportes técnicos continuamente actualizados orientados a la comunidad de defensores OT. Su objetivo es consolidar conocimiento para quienes deben tomar decisiones con información parcial pero accionable.
Por qué la comunicación pública importa
Un aspecto que también llamó la atención es la forma en que las ciudades comunicaron lo ocurrido. En varios casos, la ausencia de impacto operativo fue un mensaje recurrente. Para residentes, eso reduce incertidumbre sobre la calidad y continuidad del servicio.
Sin embargo, para la seguridad, la transparencia técnica limitada puede dificultar que otras organizaciones aprendan con precisión qué falló y qué controles funcionaron. Por eso, cada vez más se valora la publicación de aprendizajes cuando se puede hacer sin exponer información sensible.
Conclusión
Los ataques cibernéticos al agua en Estados Unidos estarían afectando a más jurisdicciones de las que se pensó al inicio. Con Minnesota como punto de partida, la campaña habría alcanzado al menos siete estados, con incidentes reportados o confirmados en lugares como Michigan, Dakota del Sur y Georgia.
Mientras la atribución pública directa aún no se ha consolidado, los indicios analíticos y el historial de amenazas apuntan a un posible vínculo con Irán. Para el sector, el mensaje es claro: proteger OT, especialmente PLCs e interfaces de conectividad, y reforzar prácticas de segmentación y monitoreo son pasos esenciales para evitar que la próxima alerta se convierta en una interrupción operativa.
