Una campaña de ciberataques dirigida a sistemas de control industrial de plantas de agua y aguas residuales se ha extendido a al menos 12 estados de Estados Unidos, según reportó el medio ABC News. Minnesota fue el primer estado en reportar los ataques, con más de 30 sistemas comunitarios de agua afectados entre los días 26 y 27 de julio, y desde entonces se han sumado confirmaciones públicas en los estados de Michigan, Dakota del Sur y Georgia, mientras Wisconsin figura en la cobertura mediática sin que sus autoridades hayan confirmado intrusiones.
El caso más reciente en hacerse oficial es el de la Autoridad de Agua del Condado de Clayton (CCWA), en el estado de Georgia, que informó una interrupción temporal en una parte de sus sistemas operativos el 27 de julio. La entidad señaló en un comunicado que “experimentó una interrupción temporal que afectó a una parte de sus sistemas operativos y el servicio de agua”, lo que provocó una caída de presión en algunas zonas y obligó a emitir un aviso preventivo de hervir el agua, levantado horas más tarde tras confirmar que el agua cumplía con los estándares de seguridad.
El FBI confirmó, hasta el 30 de julio, que al menos siete estados habían sido afectados y detalló en una alerta cibernética que los atacantes apuntan a controladores lógicos programables (PLC) de la serie MicroLogix 1100 y 1400 de Rockwell Automation/Allen-Bradley expuestos a internet. La agencia explicó que los actores maliciosos “manipulan remotamente las configuraciones de los dispositivos cambiando direcciones IP y activando y estableciendo contraseñas, lo que resulta en pérdida de visibilidad, y en algunos casos de función, del equipo conectado en las instalaciones objetivo”.
Según el FBI, los efectos operativos reportados incluyen pérdida de presión e inundaciones, con el riesgo de que agua subterránea sin tratar se filtre en las tuberías cuando la presión cae. No se han reportado interrupciones significativas del suministro y el agua potable se ha mantenido segura en los casos conocidos, según la agencia.
Estados Unidos no ha atribuido oficialmente la autoría de los ataques, pero Irán surgió de inmediato como el principal sospechoso por sus antecedentes de operaciones contra sistemas de control industrial en el sector del agua. Investigadores federales han estado indagando esa posible conexión, y un informe no público de WaterISAC, la organización de intercambio de información del sector hídrico habría citado evidencia de que los ataques estaban “alineados” con campañas previamente vinculadas a Irán, de acuerdo con lo reportado por el medio SecurityWeek.
La Agencia de Ciberseguridad de los Estados Unidos (CISA) emitió recomendaciones instando al sector del agua a proteger sus sistemas de tecnología operativa, en particular los PLC expuestos a internet, mientras las autoridades federales actualizaron una alerta previa sobre ataques iraníes contra dispositivos ICS fabricados por Siemens, Schneider Electric y Rockwell Automation.
