Dos estados de Estados Unidos, New Jersey y Alabama, han confirmado que sus instalaciones de agua y aguas residuales fueron objetivo en una campaña de intrusión que comenzó a finales de julio. Se trata de una tendencia más amplia: al menos una docena de estados habría sido afectada, aunque no todos han hecho pública su situación.
Hasta ahora, los reportes coinciden en un punto importante: no se han reportado impactos significativos en el suministro de agua. Las autoridades informan que, en los casos anunciados, los cortes o alteraciones fueron acotados y los ciudadanos fueron notificados de que el agua potable es segura.
Qué se sabe de New Jersey
En New Jersey, los sistemas de agua en Cape May y Woodbine fueron atacados el 27 de julio. De acuerdo con lo informado por Fox29, el incidente habría afectado únicamente a los sistemas telefónicos, mientras que no se reportaron fallos relevantes en el servicio de agua como tal.
Este tipo de afectación es relevante desde la perspectiva operativa: incluso cuando la interrupción no llega al proceso de tratamiento, una degradación en comunicaciones puede dificultar la coordinación y la respuesta ante incidentes.
El caso de Alabama y el objetivo en control industrial
Ese mismo día, el sistema Childersburg Water, Sewer and Gas en Alabama fue alcanzado por la intrusión según lo reportado por WVTM13. En este caso, los atacantes habrían dirigido sus esfuerzos a sistemas de control industrial (ICS, por sus siglas en inglés).
Aun así, las autoridades indicaron que no hubo disrupción en los servicios de agua. Es decir, el enfoque del ataque recayó en el ecosistema de operación y control, pero su resultado visible para los usuarios fue limitado.
Una ola de confirmaciones por varios estados
La campaña comenzó a finales de julio y, con el paso de los días, distintos estados fueron confirmando que sus entornos fueron objetivo. Minnesota fue el primero en reportar públicamente que más de 30 sistemas de agua tenían sus sistemas de tecnología operativa (OT, por sus siglas en inglés) atacados.
Más tarde, otros estados también confirmaron incidentes: Michigan, South Dakota y Georgia. La lista, con las incorporaciones de New Jersey y Alabama, sigue creciendo y refuerza la idea de que el sector del agua está en el radar de los atacantes.
Impacto limitado, pero necesidad de vigilancia
De manera consistente, los servicios de agua que han salido a la luz y los estados que reconocieron la exposición afirman que no se detectó un impacto importante en el suministro. Algunos operadores habrían apagado o detenido sistemas como parte de las medidas de contención, pero las interrupciones reportadas serían limitadas.
Además, varias autoridades comunicaron a la ciudadanía que el agua potable se mantiene segura. Este mensaje busca reducir la incertidumbre pública y subrayar que la gestión del riesgo continuó incluso durante los eventos.
Estados que advirtieron, pero aún no confirmaron
No todos los casos se encuentran en la misma fase de confirmación. Wisconsin, Pennsylvania y Washington emitieron avisos dirigidos a los operadores del sector, pero no llegaron a confirmar que sus sistemas hubieran sido alcanzados por la campaña.
En New York, por su parte, no se comunicó de forma explícita si las instalaciones de agua fueron afectadas. Sin embargo, sus autoridades anunciaron más de 9 millones de dólares en subvenciones para ayudar al sector a elevar su ciberseguridad.
Qué papel tuvieron las autoridades federales
El FBI confirmó de manera pública que, al 30 de julio, al menos siete estados habían sido objetivo. En ese momento, tanto la agencia como otras organizaciones gubernamentales no habían compartido nuevas actualizaciones oficiales con suficiente detalle como para aclarar el alcance total.
En este contexto, la comunicación entre niveles de gobierno y el intercambio de información técnica resultan esenciales para que los operadores puedan priorizar acciones de monitoreo, contención y fortalecimiento de sus entornos.
Vínculos atribuidos a actores iraníes
Los ataques vinculados con piratas informáticos iraníes habrían apuntado a dispositivos de ICS. En los reportes disponibles se mencionan equipos de Rockwell Automation y también se sugiere la posibilidad de que se hayan involucrado otros proveedores importantes.
Que el objetivo recaiga en dispositivos de control industrial explica por qué el sector del agua se considera un objetivo de alto valor. Aunque el impacto visible puede ser bajo, el acceso a entornos OT permite a los atacantes preparar futuros escenarios de manipulación o interrupción.
Llamado a asegurar la tecnología operativa
Ante la campaña, CISA instó al sector del agua a proteger la tecnología operativa. La recomendación apunta a endurecer controles en entornos OT, donde la disponibilidad y la continuidad operativa suelen ser tan importantes como la seguridad.
En la práctica, esto se traduce en revisiones de configuración, segmentación de redes, monitoreo de actividad inusual y planes de respuesta que contemplen particularidades del control industrial.
Por qué las alertas del sector importan aunque el servicio no caiga
Incluso cuando no se reportan efectos mayores en el suministro, los ataques cibernéticos al agua ofrecen señales de riesgo. Alteraciones en sistemas de comunicación, intentos contra control industrial o interrupciones puntuales pueden ser la antesala de eventos más amplios.
Por eso, las confirmaciones de estados como New Jersey y Alabama no son solo noticias locales: también sirven como referencia para que otros operadores evalúen su postura de seguridad y ajusten sus procesos internos. La prioridad es reducir la superficie de ataque y mejorar la capacidad de detectar y responder con rapidez.
Conclusión
New Jersey y Alabama se suman a los estados que confirmaron que sus infraestructuras de agua fueron objetivo en una campaña iniciada a finales de julio. Los reportes disponibles señalan impactos limitados: en el caso de New Jersey, la interrupción mencionada afectó sistemas telefónicos; en Alabama, el ataque se orientó a ICS sin provocar disrupciones en el servicio.
Mientras algunos estados advierten sin confirmar y otros gestionan apoyos para reforzar defensas, el mensaje general es claro: el sector del agua debe tomar en serio la seguridad de OT y prepararse para responder, incluso cuando el daño visible sea menor.
Fuente: https://www.securityweek.com/new-jersey-alabama-join-states-targeted-in-water-cyberattacks/
