✨︎ Resumen (TL;DR):
- El FBI y la EPA reportaron intrusiones en empresas de agua y alcantarillado de al menos siete estados de Estados Unidos desde el 27 de julio.
- Los atacantes cambiaron de forma remota la dirección IP y la contraseña de PLC Allen-Bradley MicroLogix 1100 y 1400 expuestos a internet; entre los efectos reportados están la pérdida de presión y las inundaciones.
- El aviso federal no identifica responsables ni conecta esos incidentes con los más de 30 sistemas afectados en Minnesota; tampoco se reportó una demanda de rescate.
El FBI y la EPA alertaron el 30 de julio sobre intrusiones en los sistemas de agua y alcantarillado de al menos siete estados de EE. UU. Los atacantes accedieron por internet a PLC Allen-Bradley MicroLogix 1100 y 1400, cambiaron sus direcciones IP y contraseñas, y dejaron a operadores sin visibilidad o control. Los efectos reportados incluyen pérdida de presión e inundaciones. El aviso describe una interrupción operativa y no afirma que haya ocurrido contaminación; tampoco atribuye el ataque a un grupo o país.
El aviso habla de presión, no de intención
El aviso conjunto de servicio público que el FBI y la EPA publicaron el 30 de julio señala que compañías de agua y alcantarillado comenzaron a reportar incidentes desde el 27 de julio. Parte de esa actividad degradó la operación de las plantas.
Los intrusos llegaron a equipos expuestos directamente a internet. Después cambiaron la dirección IP y la contraseña de los PLC. El resultado fue que los operadores perdieron visibilidad y, en algunos casos, el control del equipo conectado.
El FBI aclara que solo ha observado esta conducta en los MicroLogix 1100 y 1400, ambos de Rockwell Automation, aunque pide aplicar el mismo criterio a PLC de otras marcas.
Al menos una organización encontró archivos de proyecto modificados después de detectar diferencias en la lógica de escalera entre varias instalaciones. Además, varias víctimas compartían configuraciones de red proporcionadas por terceros. El FBI advierte que esa coincidencia podría permitir repetir un mismo acceso contra los clientes de un mismo proveedor.
El documento no identifica los estados afectados ni dice quién está detrás de la actividad. Tampoco anuncia cuándo podría haber una atribución. El aviso no vincula formalmente esos casos con los más de 30 sistemas de Minnesota.
La pérdida de presión no equivale a contaminación
El documento federal no afirma que los intrusos hubieran planeado contaminar el agua potable. Explica que una caída de presión “podría permitir” que aguas subterráneas sin tratar se filtren hacia las tuberías. Es la descripción de un riesgo físico, no una conclusión sobre la intención del atacante.
La hipótesis sobre el objetivo proviene de otro documento. Un memorando de la Oficina de Aprehensión Criminal de Minnesota, distribuido esa semana y al que tuvo acceso CNN, sostiene que los intrusos probablemente buscaban provocar una pérdida de presión y, con ella, una posible contaminación del suministro. Esa es una hipótesis de investigadores estatales, no la conclusión del FBI ni de la EPA.
El sifonaje inverso es el fenómeno en que una caída de presión puede invertir el flujo cuando una tubería pasa cerca de una fuente no potable. Las redes de distribución mantienen presión positiva para empujar el agua hacia los usuarios y mantener fuera los contaminantes. Si la presión cae en el punto equivocado, el flujo puede cambiar de dirección.
Por eso el aviso insiste en conservar la capacidad de operar la planta de forma manual. El respaldo para ese escenario depende del operador, no de otro sistema digital.
Minnesota reportó más de 30 sistemas afectados
El 28 de julio, la agencia estatal de tecnología MNIT informó que un ciberataque coordinado golpeó la tecnología operativa de más de 30 sistemas comunitarios de agua durante los días 26 y 27 de julio. La agencia activó de inmediato su respuesta estatal junto con el Departamento de Salud, la Agencia de Control de la Contaminación, CISA, la EPA y el FBI.
John Israel, director de seguridad informática de MNIT, lo resumió así: “Los ciberataques contra la infraestructura crítica exigen una respuesta coordinada de todo el gobierno.”
MNIT añadió que el Departamento de Salud de Minnesota no tenía conocimiento de solicitudes activas de ciudades para que sus habitantes modificaran el uso del agua potable.
Reportes recogidos por SecurityWeek señalaron a Maple Plain, Braham, South St. Paul y Plymouth entre las ciudades que informaron incidentes. Algunas perdieron funciones automáticas de control, activaron procedimientos de contingencia y dijeron a sus vecinos que el agua seguía siendo segura.
Emily Zimmer, vocera de MNIT, precisó al Star Tribune que no hubo una demanda de rescate. El dato aleja el caso del secuestro de datos por dinero y lo acerca a una operación de interrupción, sin resolver por sí solo la intención de los atacantes.
CISA publicó su propia alerta sectorial el 30 de julio. La agencia señaló que la actividad había derivado en “avisos de hervir el agua y operación manual sostenida”, sin indicar dónde. También pidió retirar cuanto antes de internet cualquier PLC expuesto.
La alerta de CISA pide incluso a las organizaciones con programas de seguridad maduros que auditen sus conexiones externas. El foco incluye módems celulares instalados por proveedores o integradores que podrían no aparecer en los inventarios.
La atribución sigue abierta
El aviso del FBI y la EPA no nombra los siete estados, no atribuye la operación a un país o grupo y no la conecta formalmente con Minnesota. MNIT tampoco ha señalado a un actor específico.
Un funcionario policial citado por NBC News dijo que el ataque en Minnesota tenía rasgos de injerencia iraní. Fox News reportó que los investigadores consideraban más probables a hackers vinculados con Irán. The Record consignó que Wired había publicado un memorando de WaterISAC que relacionaba los ataques con ese país.
Esas versiones ofrecen una pista, no una atribución oficial. Las agencias no han conectado los siete estados con los más de 30 sistemas de Minnesota ni han señalado a CyberAv3ngers o a otro grupo. El conteo público de estados afectados tampoco se ha completado.
La disputa política no cerró el caso
El viernes 31 de julio, durante una reunión de gabinete en Camp David, Donald Trump descartó la hipótesis iraní y, según KHQ, responsabilizó a Minnesota por su incompetencia y llamó corrupto al gobernador del estado. Sobre Teherán afirmó: “Irán ya quisiera. Irán tiene problemas más grandes que preocuparse por Minnesota.”
Tim Walz respondió en redes sociales. Escribió que Trump sabía perfectamente quién era responsable, que otros estados también habían sido golpeados, que así se veía la guerra moderna y que no había un plan para ganarle una guerra a Irán. Después cuestionó los recortes a CISA: “DOGE le metió el hacha a CISA y dejó al país expuesto a ciberataques.”
Ninguna de las dos posturas resuelve la atribución formal ni explica cuántos estados fueron afectados.
Los PLC señalados tienen fallas y están fuera de catálogo
La segunda recomendación del FBI y la EPA es usar contraseñas complejas y únicas. Ahí aparece una limitación documentada: los dos modelos señalados tienen fallas públicas en el mecanismo que protege esa credencial.
La base de datos nacional de vulnerabilidades del NIST registra desde el 29 de junio de 2017 la CVE-2017-7903. La vulnerabilidad describe requisitos débiles de contraseña en los MicroLogix 1100 y 1400 con versiones 16.00 y anteriores. El equipo usa una contraseña numérica con un límite máximo de caracteres muy corto.
Desde el 16 de marzo de 2020 está publicada la CVE-2020-6984. Afecta a todas las versiones del MicroLogix 1100, a todos los Serie A del 1400 y a los Serie B hasta la v21.001. Su descripción dice: “la función criptográfica utilizada para proteger la contraseña en MicroLogix es detectable”.
El NIST le asigna una puntuación de 7.5, alta. CISA la califica con 9.8, crítica.
Los atacantes no rompieron la contraseña. La usaron para sacar al operador del equipo al establecer una nueva. Por eso CISA remitió a un documento de Rockwell Automation sobre cómo recuperar el acceso a un MicroLogix 1400 cuando se desconoce la contraseña.
Rockwell Automation anuncia que los controladores Bulletin 1763 MicroLogix 1100 están descontinuados y ya no se venden. La fecha de descontinuación fue abril de 2022 y la empresa recomienda migrar a la plataforma Micro800.
Uno de los dos modelos que el FBI puso al frente de la alerta lleva más de cuatro años fuera del catálogo. El aviso dedica un bloque específico a planear el reemplazo de equipos en fin de vida. La diferencia con el software de consumo es concreta: un navegador puede probar dos parches de seguridad por semana, mientras una bomba de agua puede seguir operando con un controlador que ya no recibe actualizaciones.
La alerta previa llegó cuatro días antes
El 22 de julio, el FBI, CISA y la EPA actualizaron un aviso conjunto sobre actores que apuntaban a tecnología operativa conectada a internet. También ampliaron la lista de fabricantes de PLC afectados y publicaron nuevos indicadores de compromiso.
Los ataques en Minnesota comenzaron la noche del domingo 26 de julio. Entre la actualización del aviso y el inicio de esa actividad pasaron cuatro días.
La cronología deja un problema de ejecución. Cientos de sistemas comunitarios pequeños necesitan aplicar estas medidas con equipos de TI reducidos. En muchos casos, el área de sistemas depende de una sola persona de medio tiempo, cuando existe.
Qué deben revisar los operadores
El FBI pide aplicar el mismo criterio a controladores de cualquier marca. Las medidas señaladas por las agencias son:
- Retirar los PLC de la internet pública y encauzar todo acceso remoto por una pasarela segura. Proteger y actualizar los módems celulares de campo, y revisar sus registros con regularidad.
- Usar contraseñas complejas y únicas, tomando en cuenta que ese control es más débil en equipos viejos.
- Restringir el tráfico con reglas de firewall o listas de control de acceso. Bloquear direcciones IP no autorizadas, sobre todo las asociadas con proveedores de hosting.
- Mantener los interruptores físicos y de software en posición de ejecución. Pasarlos a programación solo mientras se carga una actualización.
- Practicar y conservar la capacidad de operar la planta a mano, con planes de continuidad probados y no solo escritos.
- Comparar los archivos de proyecto que corren en el PLC contra una copia buena conocida. Revisar los registros de módems, interfaces de operador y estaciones de trabajo para detectar movimiento lateral.
- Mantener un pronóstico rodante de 12 meses sobre equipos en fin de vida, revisarlo cada trimestre y aislar los que todavía no puedan reemplazarse.
El riesgo no depende de la marca del PLC. También puede aparecer en una conexión que un tercero instaló y nadie documentó. Una operadora de agua en México, España o América Latina que use telemetría remota tercerizada está frente al mismo tipo de exposición que describe la alerta.
Preguntas rápidas sobre el hackeo a las plantas de agua
¿Es seguro tomar agua de la llave si vivo en un estado afectado?
En Minnesota, MNIT informó que el Departamento de Salud estatal no tenía conocimiento de solicitudes activas de ciudades para modificar el uso del agua potable. Las ciudades que informaron dijeron que el agua seguía siendo segura.
Los otros seis estados no se han identificado públicamente. En esos casos, la referencia disponible es la operadora local.
¿Qué es un PLC y por qué importa en una planta de agua?
Un PLC, o controlador lógico programable, es una computadora industrial que ejecuta la lógica que abre y cierra bombas y válvulas y vigila la presión. Si alguien cambia su dirección IP o contraseña, el operador puede perder la visibilidad y, en ocasiones, el control del equipo físico, aunque las bombas sigan funcionando.
¿Ya se sabe quién hackeó las plantas de agua?
No de manera oficial. MNIT no ha atribuido la actividad a un actor específico, y el FBI y la EPA tampoco señalaron un responsable en su aviso del 30 de julio.
Los reportes sobre una posible pista iraní no han sido confirmados por una agencia. Tampoco existe una atribución oficial a CyberAv3ngers o a otro grupo.
El reemplazo del hardware queda pendiente
Las medidas de acceso remoto pueden ejecutarse sin esperar una atribución. La lista de recomendaciones del FBI es gratuita y puede ponerse en práctica en una tarde, salvo la última línea.
Reemplazar un controlador descontinuado cuesta dinero que un municipio de 1,700 personas no tiene en su presupuesto anual. El acceso expuesto se puede retirar hoy; sustituir el hardware depende de un presupuesto que los sistemas pequeños no siempre tienen.
