Una oleada de ataques cibernéticos vinculados a Irán ha comprometido infraestructuras de agua en Nueva Jersey y Alabama, elevando a doce el número de estados afectados desde finales de julio. Las intrusiones apuntan directamente a sistemas de control industrial (industrial control systems, ICS) de Rockwell Automation y, según el FBI, a dispositivos de otros grandes fabricantes.
Patrón quirúrgico y casi simultáneo: el mismo modus operandi en 12 estados
El patrón es tan consistente que permite una lectura operativa casi de manual. El 27 de julio, hora local, los sistemas de la ciudad de Cape May y del distrito de Woodbine, en Nueva Jersey, sufrieron un acceso no autorizado casi simultáneo. Los atacantes modificaron parámetros para bloquear el acceso remoto de los operadores, aunque —y aquí está el matiz relevante— no llegaron a tomar el control efectivo para alterar presiones o cortar el suministro. El agua siguió fluyendo y los análisis posteriores descartaron cualquier impacto en la calidad o la potabilidad.
Ese mismo día, a 1.500 kilómetros de distancia, la planta de agua, alcantarillado y gas de Childersburg, Alabama, registraba otro ataque con el mismo vector: un controlador lógico programable (PLC) expuesto a internet. La junta gestora optó por desconectar temporalmente el sistema mientras se aplicaban nuevas salvaguardas. Tampoco hubo interrupción del servicio ni acceso a datos de clientes.
El perfil del atacante encaja con lo que CISA y el FBI vienen advirtiendo desde su alerta conjunta del 30 de julio: grupos vinculados a Irán, probablemente ese ramillete de APT que la comunidad de inteligencia sigue como APT33 (conocida también como Elfin o Magnallium), están escaneando de forma masiva internet en busca de equipos Rockwell Automation y otros ICS que carecen de firewall o autenticación robusta. Cuando encuentran un PLC con la interfaz web expuesta, el acceso es tan sencillo como abrir una puerta sin cerradura.
Minnesota fue el primer estado en confirmar más de 30 sistemas de agua afectados. Después llegaron los avisos de Michigan, Dakota del Sur y Georgia, y ahora se suman estos dos nuevos estados. Wisconsin, Pensilvania y Washington han emitido alertas a sus operadores sin confirmar ataques. Nueva York, sin aclarar si hubo intrusiones, anunció más de 9 millones de dólares en subvenciones para reforzar la ciberseguridad del sector del agua. La cuenta oficial del FBI ya hablaba de al menos siete estados comprometidos a 30 de julio, y el goteo de confirmaciones sigue su curso.
Si un PLC está desnudo en internet, un script kiddie con la herramienta adecuada puede comprometerlo; si quien escanea es un APT estatal, el salto al sabotaje es cuestión de voluntad y de doctrina.
Me detengo un momento en el dato operativo que más me preocupa como analista. En ningún caso se ha documentado sabotaje: nadie abrió compuertas, nadie vertió químicos, nadie dejó sin agua a una comunidad. Pero el hecho de que una docena de intrusos hayan podido acceder al anillo más sensible de la infraestructura civil —los controladores que gobiernan bombas, válvulas y dosificadores— sin que nadie lo detectara durante horas roza el aviso de pre-incident. Eso lo entiende cualquiera que haya pasado un fin de semana en un centro de operaciones de seguridad, y también lo entiende usted, que ya ha leído algún informe de Citizen Lab o de la NSA.
España ante el espejo: el agua también es crítica y la misma receta funciona
En España, las infraestructuras de agua están catalogadas como críticas según la Ley 8/2011, y el CCN-CERT distribuye de forma periódica guías de securización para sistemas de control industrial. Sin embargo, cualquiera que haya visitado una planta depuradora o una estación de bombeo mediana sabe que la brecha entre la recomendación y la realidad se mide en euros de presupuesto y en plazos que los ayuntamientos no siempre pueden asumir. La dependencia de fabricantes como Rockwell, Siemens o Schneider es total, y el mantra de “no exponer nada a internet” choca con la necesidad operativa de telecontrol y mantenimiento remoto.
Le pongo un ejemplo concreto. ¿Qué pasaría si un atacante, mañana, alterara los PLC que controlan la presión en el abastecimiento de una ciudad de 50.000 habitantes? No es necesario imaginar un corte total: basta con pulsos de sobrepresión durante la madrugada para reventar tuberías y dejar sin servicio a varios barrios durante 72 horas. El coste económico y de imagen superaría con creces lo que cuesta poner una VPN y autenticación de doble factor. Ya escribí en El quinto elemento que “las infraestructuras críticas son el talón de Aquiles de la sociedad conectada”, y me temo que la frase sigue vigente.
Dossier Moncloa: Ojos en la Sombra
La oleada de ataques a plantas de agua en Estados Unidos no es un incidente aislado. Es una campaña de bajo perfil que busca medir la reacción de las defensas y, sobre todo, cartografiar la superficie de ataque expuesta de un país que se considera intocable en su retaguardia civil. Irán lleva años perfeccionando esta doctrina, y la mejor forma de entenderla es mirar un precedente histórico que cualquier oficial de contrainteligencia guarda en su biblioteca mental: Stuxnet.
Cuando en 2010 Estados Unidos e Israel lanzaron la Operación Olympic Games contra las centrifugadoras de Natanz, el mensaje fue claro: los sistemas de control industrial son un arma. Irán aprendió la lección de forma traumática y desde entonces ha invertido en capacidades ofensivas propias. Grupos como APT33 o APT34 llevan desde al menos 2013 desarrollando malware específico para ICS. En 2021, un ataque similar afectó a una planta de tratamiento de agua en Oldsmar, Florida, aunque en aquella ocasión se detectó a tiempo y no hubo daños. Desde entonces hemos visto una progresión constante: del espionaje a la intrusión de bajo impacto, y de ahí a la posibilidad real de sabotaje.
Desde el prisma del Dossier Moncloa, el vector de amenaza es un ciberataque contra infraestructura crítica mediante escaneo masivo de dispositivos ICS expuestos a internet. La agencia atacante es, con alta probabilidad, el Cuerpo de la Guardia Revolucionaria Islámica (IRGC) a través de sus unidades de guerra electrónica, o bien uno de los APT estatales vinculados al Ministerio de Inteligencia y Seguridad iraní. La agencia defensora es, en primer término, CISA y el FBI, con apoyo de la NSA para la atribución técnica. Como terceros interesados, señalo a Israel —socio de referencia de Washington en la región y primer afectado de cualquier escalada cibernética que salte fuera de Norteamérica—, a los países del Consejo de Cooperación del Golfo y, por supuesto, a la Unión Europea, que a través de ENISA y del INTCEN sigue estos incidentes con lupa porque el mismo patrón es replicable en cualquier país con redes de agua igualmente expuestas.
El nivel de clasificación estimado del material involucrado es, a mi juicio, Uso Restringido. No se han filtrado planos de seguridad nacional, pero la información extraída sobre configuraciones de PLC, direcciones IP y vulnerabilidades operativas es lo bastante valiosa como para que el FBI haya pedido a los operadores que no compartan detalles con terceros sin autorización. Si Irán logra cruzar todos esos datos con un zero-day en el firmware de los controladores, el panorama da un salto cualitativo inmediato.
Para España, la lectura es doble. Por un lado, el CNI dispone de un flujo de inteligencia con la CIA y con el NCSC británico que le permite recibir alertas tempranas. Me consta por fuentes en La Moncloa que el Centro Criptológico Nacional ha intensificado los escaneos pasivos sobre las direcciones IP de los sectores del agua y la energía en las últimas dos semanas, precisamente a raíz de la alerta del 30 de julio de CISA. Pero, por otro lado, la descentralización del ciclo del agua en España —con miles de entidades locales manejando infraestructuras con presupuestos raquíticos— hace que la cadena de responsabilidad sea demasiado larga para una amenaza que se mide en minutos. Una municipalidad de 20.000 habitantes no tiene SOC propio ni presupuesto para contratar a Mandiant. Y el CCN-CERT puede emitir guías, pero no puede obligar a un ayuntamiento a aplicar microsegmentación de red si el alcalde tiene otras prioridades.
La noticia que le cuento hoy tiene dos lecturas. La primera, tranquilizadora: nadie ha muerto ni se ha vertido agua contaminada. La segunda, descorazonadora: doce ataques con la misma receta en dos semanas demuestran que el cortafuegos de Estados Unidos contra el sabotaje iraní es, en el sector del agua, un colador. Y si eso es así en la primera potencia del mundo, quien escribe estas líneas no se siente más seguro cuando abre el grifo en en casa.
La entrada Los hackers iraníes atacan infraestructura de agua en Nueva Jersey y Alabama: 12 estados afectados aparece primero en Moncloa.
