Ciberataques a agua en EE.UU.: más de 30 plantas afectadas en Minnesota

Una ola de ciberataques contra servicios de agua en Estados Unidos ha puesto en alerta a las autoridades, con incidentes en al menos una docena de estados desde finales de julio. Las agencias de inteligencia apuntan a Irán como principal sospechoso, pero el presidente Trump minimiza la amenaza. Mientras tanto, los efectos operativos y psicológicos se extienden por el país. ***

• Ataques coordinados afectaron plantas de agua en más de 30 comunidades de Minnesota y en al menos otros seis estados.
• El FBI confirmó daños como pérdida de presión e inundaciones, mientras que CISA y WaterISAC señalan al IRGC iraní.
• Trump duda de la autoría iraní, pero informes de inteligencia atribuyen la campaña al Cuerpo de Guardianes de la Revolución.

Una ola de ciberataques contra servicios de agua en Estados Unidos ha puesto en alerta a las autoridades, con incidentes reportados en al menos una docena de estados desde finales de julio. La publicación TechCrunch ha recopilado los detalles de este incidente, que inicialmente golpeó a Minnesota y luego se extendió a Arkansas, Georgia, Nueva Jersey y Míchigan. El gobierno de Trump aún no ha atribuido oficialmente la responsabilidad, pero las agencias de inteligencia apuntan a Irán como el principal sospechoso, específicamente al Cuerpo de Guardianes de la Revolución Islámica (IRGC).

La infraestructura de agua en EE.UU. es un objetivo frecuente para actores maliciosos, pero la escala de esta campaña resulta inusual. El país cuenta con más de 150.000 sistemas de agua, muchos operados por empresas locales con recursos limitados en ciberseguridad. Esa fragmentación convierte al sector en un blanco atractivo, porque mientras algunos sistemas tienen protecciones robustas, otros exponen controladores a Internet sin salvaguardas adecuadas. La firma Forescout encontró más de 2.800 controladores de agua expuestos en línea, lo que evidencia una superficie de ataque amplia.

Dónde ocurrieron los ataques

El 28 de julio, las autoridades de Minnesota anunciaron que plantas de tratamiento de agua en más de 30 comunidades fueron afectadas por ciberataques coordinados. Dos días después, el FBI informó que empresas de servicios de agua y aguas residuales en al menos siete estados reportaron incidentes, y en algunos casos los ataques degradaron las operaciones de agua. Desde entonces, además de Minnesota, se han reportado hackeos contra instalaciones en Arkansas, Georgia, Nueva Jersey y Míchigan, aunque la lista podría ser más amplia según evolucione la investigación.

La dispersión geográfica ha complicado la respuesta coordinada. El FBI dijo que algunos de los ciberataques en todo el país causaron pérdida de presión, lo que podría permitir que agua subterránea no tratada se filtre en las tuberías, e inundaciones. En Minnesota, la ciudad de Braham tuvo que sacar de línea su planta de agua durante unas horas, instando a sus alrededor de 1.700 residentes a conservar agua. Otra localidad, Maple Plain, declaró brevemente estado de emergencia, mientras que en un condado fuera de Atlanta, Georgia, las autoridades locales indicaron a los residentes que hirvieran el agua antes de usarla como medida de precaución.

La rapidez con la que se sucedieron los incidentes sugiere una coordinación previa, según expertos en ciberseguridad. Los servicios de agua son infraestructura crítica, y su compromiso puede tener efectos directos en la salud pública, por lo que cada caso genera una respuesta inmediata de las autoridades locales. Sin embargo, la falta de un protocolo nacional unificado dificulta la evaluación de la magnitud total del daño, que hasta ahora no ha sido cuantificado oficialmente por el gobierno federal.

¿Quién está detrás?

La respuesta corta es que aún no lo sabemos, pero el principal sospechoso es el gobierno iraní. Hasta hoy, oficialmente, el gobierno de EE.UU. no ha nombrado al culpable de la ola coordinada de hackeos. Sin embargo, los primeros incidentes en Minnesota ocurrieron días después de que la Agencia de Seguridad de Ciberseguridad e Infraestructura de EE.UU. (CISA) advirtiera que hackers iraníes estaban apuntando a dispositivos conectados a Internet en sistemas de agua y el sector energético, sin decir dónde ocurrían esos ataques. CISA había publicado originalmente esta advertencia en abril y la actualizó antes de los ataques en Minnesota.

Después de que se descubriera la primera ola, el presidente Donald Trump dijo que no creía que hubiera un ciberataque iraní, y culpó al estado de Minnesota, quizás porque lo dirige el gobernador demócrata Tim Walz, quien fue elegido como candidato a vicepresidente de Kamala Harris en las elecciones de 2024. La afirmación de Trump llegó un día después de que Wired reportara que el Centro de Análisis y Compartir Información de Agua (WaterISAC), un grupo sin fines de lucro que distribuye información de ciberseguridad entre el sector del agua, dijo a sus miembros que los ataques recientes se alineaban con la campaña de hackeo de la que CISA advirtió, acusando efectivamente al gobierno iraní.

A principios de esta semana, The Washington Post informó que las agencias de inteligencia de EE.UU. están seguras de que Irán, y en particular el IRGC, es responsable. La atribución aún no es pública, según las fuentes del periódico, porque las agencias no están seguras de qué unidad específica dentro del IRGC fue responsable, y también porque los funcionarios podrían ser reacios a contradecir la afirmación de Trump. Los hackers del gobierno iraní tienen un historial de atacar infraestructura crítica en EE.UU., y es posible que estos ataques sean parte de su estrategia para tomar represalias contra el país debido a la guerra de seis meses.

Hasta ahora, los hackers iraníes habían tenido solo un éxito limitado en sus ciberataques contra objetivos estadounidenses. En marzo, un grupo hacktivista llamado Handala interrumpió las operaciones de la gigante de tecnología médica Stryker. El gobierno de EE.UU. luego acusó a Handala de ser operado por el Ministerio de Inteligencia y Seguridad de Irán (MOIS). Luego, el grupo reclamó la responsabilidad por hackear la cuenta personal de Gmail del director del FBI, Kash Patel.

Efectos y consecuencias

La realidad es que algunos sistemas dentro de instalaciones de infraestructura crítica están expuestos a Internet y son relativamente fáciles de encontrar. La firma de ciberseguridad Forescout reportó haber encontrado más de 2.800 controladores en sistemas de agua de EE.UU. expuestos en línea. Si un sistema está expuesto, no significa automáticamente que los hackers puedan tomar el control y causar efectos en el mundo real, pero eso ha ocurrido en algunos casos aislados en ataques recientes, como demuestran los incidentes reportados.

El FBI dijo que algunos de los ciberataques en todo el país causaron pérdida de presión, lo que podría permitir que agua subterránea no tratada se filtre en las tuberías, e inundaciones. La ciudad de Braham en Minnesota, una de las primeras en reportar un incidente, tuvo que sacar de línea su planta de agua durante unas horas, instando a sus alrededor de 1.700 residentes a conservar agua. La ciudad de Maple Plain, también en Minnesota, declaró brevemente estado de emergencia. En un condado fuera de Atlanta, Georgia, las autoridades locales dijeron brevemente a los residentes que hirvieran el agua antes de usarla como medida de precaución.

El peor efecto, sin embargo, puede ser psicológico. Estos ataques han sido ampliamente cubiertos por la prensa nacional y local, haciendo que la gente se preocupe por la seguridad de una necesidad fundamental y básica como el agua. Es muy posible que eso sea parte de los objetivos de los hackers: sembrar pánico y miedo. La sensación de vulnerabilidad se extiende más allá de las comunidades directamente afectadas, y podría influir en la confianza pública en la infraestructura crítica.

La respuesta federal hasta ahora ha sido monitorear la situación, pero no ha habido una declaración formal de emergencia. Los funcionarios de seguridad nacional insisten en que no hay evidencia de que los ataques hayan comprometido la calidad del agua en la mayoría de los casos, pero la incertidumbre persiste. Mientras tanto, las empresas de servicios de agua están revisando sus protocolos de seguridad, aunque muchas carecen del presupuesto para implementar medidas avanzadas.

Contexto y perspectivas

En el plano geopolítico, estos ciberataques se producen en un momento de tensión entre Irán y EE.UU., agravada por el conflicto en Oriente Medio. La atribución a actores estatales suele ser compleja, pero la comunidad de inteligencia parece haber llegado a un consenso interno. La demora en hacer pública la atribución refleja tanto la necesidad de más información sobre la unidad responsable como las implicaciones políticas de acusar a un país mientras Trump minimiza el incidente.

Para el sector del agua, el episodio subraya la urgencia de mejorar la ciberseguridad en infraestructuras esenciales. Aunque el gobierno federal ofrece programas de apoyo, su adopción es voluntaria y muchas pequeñas empresas no priorizan estos riesgos. Los expertos advierten que sin una regulación obligatoria, los ataques como este podrían volverse más frecuentes. La atención mediática que han recibido estos incidentes podría ser un catalizador para que las autoridades tomen medidas concretas.

Mientras tanto, los residentes de las ciudades afectadas deben convivir con la incertidumbre, y las autoridades locales intentan restablecer la normalidad. La investigación continúa, y se espera que el FBI y CISA publiquen más detalles en los próximos días. Lo que está claro es que la seguridad del agua ya no puede darse por sentada, y que los actores maliciosos ven en estos sistemas un objetivo vulnerable y de alto impacto.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.