Más de 30 sistemas de agua atacados: la continuidad manual fue clave

Entre el 26 y el 27 de julio, una campaña coordinada comprometió tecnología operacional de más de 30 sistemas comunitarios de agua en Minnesota. Días después, Michigan confirmó actividad consistente en otros nueve sistemas. La investigación federal sigue abierta.

¿Qué ocurrió?

Minnesota IT Services confirmó actividad maliciosa contra sistemas utilizados para monitorear y controlar equipos de manera remota. Esto no significa que las más de 30 comunidades hayan perdido el servicio de agua, pero sí que los atacantes consiguieron alcanzar la capa tecnológica que interactúa con la operación física.

En Braham, los atacantes desactivaron los controles operativos del pozo y de la planta de tratamiento. Durante parte del incidente, la ciudad dependió únicamente del agua almacenada en su torre. En Plymouth también se interrumpieron las comunicaciones de la infraestructura y luego fueron restauradas.

CISA informó además un incremento significativo de ataques contra controladores lógicos programables (PLC) en instalaciones de agua. En la actividad observada se reportaron cambios de contraseñas, desconexión de dispositivos y alteraciones que, en algunos casos, provocaron pérdida de presión o inundaciones operativas.

Cronología de la campaña

1. 26–27 jul.

   Actividad coordinada contra tecnología operacional de más de 30 sistemas comunitarios de agua en Minnesota.

2. 28 jul.

   Minnesota activa su respuesta estatal y coordina investigación, contención y recuperación con agencias federales y locales.

3. 30 jul.

   CISA alerta sobre el aumento de ataques dirigidos a PLC expuestos en servicios de agua y saneamiento.

4. 1 ago.

   Michigan confirma nueve sistemas con actividad consistente; las autoridades reportan que continuaron operando de forma segura.

El impacto no fue solo digital

Este caso no terminó en una lista de archivos cifrados ni en una base de datos filtrada. El objetivo estuvo dentro de la tecnología operacional: equipos que sostienen procesos físicos y servicios esenciales.

No se reportaron impactos conocidos sobre la calidad del agua ni riesgos para la salud pública en Minnesota o Michigan. Sin embargo, esa ausencia de daño grave no reduce la importancia del incidente. La capacidad de los equipos locales para aislar, recuperar y operar los sistemas evitó que una intrusión tecnológica escalara a una crisis mayor.

Mi lectura: el control olvidado

Invertimos mucho en detección, automatización e inteligencia. Todo eso es necesario. Pero en entornos OT la pregunta final sigue siendo brutalmente simple: si mañana pierdes la supervisión y el control remoto, ¿puedes mantener el proceso físico dentro de condiciones seguras?

Un procedimiento guardado en una carpeta no responde esa pregunta. Solo lo hace una prueba real: con los operadores, las dependencias técnicas y los tiempos máximos de recuperación medidos.

Seis acciones que deberían priorizarse

1. Retirar PLC, HMI y gateways de la exposición pública Si un activo OT no necesita ser accesible desde Internet, no debe estarlo. Revisar NAT, port forwarding, servicios cloud de acceso remoto y buscadores de dispositivos expuestos.
2. Controlar el acceso remoto Usar accesos nominativos, MFA resistente al phishing, saltos administrados y ventanas de acceso limitadas. Eliminar cuentas compartidas y credenciales predeterminadas.
3. Segmentar IT y OT con rutas mínimas Permitir solo los flujos necesarios, documentar excepciones y supervisar cualquier comunicación entre zonas con criticidad diferente.
4. Detectar cambios en la lógica y configuración Mantener una línea base de PLC, firmware, proyectos y parámetros. Alertar ante cambios de credenciales, lógica o comunicaciones fuera de horario.
5. Conservar respaldos offline y procedimientos de reconstrucción Respaldar configuraciones, recetas, lógica y documentación técnica; validar periódicamente que puedan restaurarse en equipos equivalentes.
6. Probar la operación manual Ejecutar simulacros con los operadores reales, definir límites seguros y medir cuánto tiempo puede sostenerse el servicio sin supervisión remota.