TL;DR:
- Más de 30 sistemas comunitarios de agua de Minnesota perdieron el control remoto de sus equipos entre el domingo 26 y el lunes 27 de julio: los atacantes cambiaron contraseñas y direcciones IP de los controladores.
- El FBI y la EPA reportan casos en al menos siete estados, pérdida de presión, inundaciones y, en una organización, archivos de programa del controlador modificados.
- Las agencias de inteligencia manejan a Irán como hipótesis probable, pero la alerta pública de CISA no lo nombra ni una vez y Trump culpa al gobierno de Minnesota.
Más de 30 sistemas comunitarios de agua de Minnesota se quedaron sin control remoto de sus equipos entre el domingo 26 y el lunes 27 de julio, después de que alguien entrara a sus controladores industriales, cambiara las contraseñas y modificara las direcciones IP para dejar fuera a los operadores. El jueves 30, CISA pidió a todo el sector sacar de internet cualquier controlador expuesto, el FBI y la EPA publicaron una alerta conjunta con incidentes en al menos siete estados, y Rockwell Automation emitió un aviso para recuperar el acceso a sus controladores MicroLogix. Un memorando filtrado del WaterISAC, reportado primero por WIRED, vincula la campaña con Irán. La alerta pública de CISA no menciona a Irán en ninguna línea.
Un PLC (controlador lógico programable) es una computadora industrial que abre y cierra bombas, válvulas y motores siguiendo una lógica programada. Es la pieza que traduce una orden de software en agua que se mueve por un tubo.
Lo que está probado, lo que es una evaluación y lo que es política
Del lado de los hechos duros hay poco margen de duda. Minnesota IT Services describió un ataque coordinado contra más de 30 sistemas comunitarios y dijo que todavía no atribuye la actividad a un actor específico ni confirma que todos los incidentes sean del mismo. En Braham, la intrusión dejó fuera de servicio el pozo y la planta de tratamiento; el propio ayuntamiento habló de "actores desconocidos" al explicar el corte, según MPR News. Plymouth y South St. Paul también resultaron alcanzadas: esta última identificó el problema el lunes por la mañana y pasó a operación manual sin interrumpir el servicio, dijo un vocero municipal a CBS News.
Del lado de la evaluación, el terreno cambia. The Washington Post reportó que las agencias de inteligencia estadounidenses concluyeron que Irán fue probablemente el responsable, citando a varios funcionarios. El memorando del WaterISAC que obtuvo Nextgov/FCW cita hallazgos del Centro de Fusión de Minnesota según los cuales la actividad está "alineada" con las características de una campaña que CISA describió en abril, atribuida a hackers ligados a Irán. Ese mismo documento, aclara Nextgov, no presenta evidencia directa que ate el caso de Minnesota con Teherán. The New York Times, que fue el primero en publicar la sospecha, cifró en 36 los sistemas municipales afectados.
Y luego está lo que nadie dijo. La alerta de CISA del jueves no nombra a Irán. El FBI declinó señalar culpables. Funcionarios citados por CNN reconocieron que Irán es uno de los sospechosos, sin determinación formal, y que hay cautela por la posibilidad de operaciones de bandera falsa. Cynthia Kaiser, exsubdirectora adjunta de la división cibernética del FBI y hoy vicepresidenta del centro de investigación de ransomware de Halcyon, resumió así el criterio de la comunidad técnica a la agencia AP:
"Habría que tratarlo como si fuera Irán hasta que se demuestre lo contrario"
CISA actualizó el 22 de julio un aviso previo sobre actividad iraní contra tecnología operativa, apenas cuatro días antes del fin de semana en que empezó todo.
Patricia Rodriguez
El aviso de Rockwell no trae parche: trae un procedimiento con la pila del controlador
Aquí está la parte que la discusión sobre atribución dejó pasar. El aviso SD1790 de Rockwell, publicado el 30 de julio en su revisión inicial, no lleva ningún CVE asociado y el propio documento lo dice: es una "guía de recuperación operativa", no la divulgación de una vulnerabilidad. Nadie explotó una falla del producto. Alguien encontró equipos con IP pública y les puso contraseña.
El procedimiento que Rockwell publica para recuperar un MicroLogix 1400 al que ya no se puede entrar tiene un aire casi doméstico: apagar el controlador, desconectar la pila 1747-BA, encenderlo, dejar que entre en falla, apagarlo, reconectar la pila, fijar la dirección IP desde el teclado LCD del propio equipo y volver a descargar el programa con RSLogix 500. El detalle que conviene leer dos veces está en la advertencia previa: el proceso borra el programa, los datos y la configuración de red. Sin un respaldo del archivo de proyecto guardado fuera del equipo, el programa no se recupera.
Las recomendaciones de Rockwell para que no vuelva a pasar tampoco piden tecnología nueva: quitar la IP pública y cualquier regla de reenvío de puertos, poner el controlador detrás de un firewall en una red de planta aislada, dejarlo en modo RUN desde el teclado para bloquear cambios de lógica y firmware, aplicar el firmware FRN 21.002 o superior con seguridad de contraseña mejorada en la serie B, y deshabilitar el servidor HTTP cuando no se use. Censys, la firma de rastreo de superficie de exposición, observó que buena parte de los MicroLogix 1400 alcanzables desde internet corre versiones de firmware fuera de venta.
Hay una discrepancia técnica que vale la pena registrar: Rockwell y CISA hablan del MicroLogix 1400, mientras que el aviso del FBI y la EPA amplía la lista al MicroLogix 1100, y advierte que las mismas consideraciones aplican a controladores de otras marcas.
El dato que el FBI puso en letra chica: alguien tocó la lógica
La alerta I-073026-PSA del FBI y la EPA describe una intrusión que va más allá de dejar al operador afuera. Al menos una organización reportó archivos de proyecto del PLC modificados después de detectar discrepancias en la lógica de escalera en varios de sus sitios. Cambiar una contraseña estorba; cambiar la lógica que gobierna una bomba es otra categoría de problema.
El segundo hallazgo del documento es el que debería quitar el sueño a cualquier integrador. El FBI observó que, entre varias víctimas, las similitudes en configuraciones de red provistas por terceros pueden darle al atacante la oportunidad de multiplicar sus éxitos cuando el mismo esquema vulnerable se repite entre clientes. Traducido: el que arma la red de veinte municipios pequeños con la misma plantilla también les regala la misma puerta.
Los efectos operativos reportados al FBI incluyen pérdida de presión e inundaciones. La pérdida de presión no es un inconveniente de servicio: cuando la tubería se despresuriza, puede entrar agua subterránea sin tratar por cualquier fisura. Ese mecanismo aparece también en el memorando de la Oficina de Aprehensión Criminal de Minnesota que obtuvo CNN, según el cual el efecto que buscaban los atacantes era provocar precisamente esa caída de presión y una posible contaminación posterior del suministro. La alerta de CISA lo describe en términos más secos: la actividad derivó en "avisos de hervir el agua y operación manual sostenida". Hasta ahora, las autoridades estatales y federales no han encontrado evidencia de que la calidad del agua potable se haya visto afectada.
Trump culpa a Minnesota; el gobernador contesta
El viernes 31 de julio, en una reunión de gabinete en Camp David, el presidente Donald Trump descartó la hipótesis iraní y responsabilizó al gobierno estatal, al que llamó incompetente. En declaraciones recogidas por Gizmodo, dijo:
"Irán tiene problemas más grandes que preocuparse por Minnesota"
Preguntado después por un reportero si podía descartar a Irán, insistió en que el responsable era el propio estado. El gobernador Tim Walz respondió en X que Trump sabe quién está detrás del ataque y sabe que otros estados también fueron alcanzados, y sostuvo que los recortes de DOGE debilitaron a la agencia federal encargada de responder a este tipo de incidentes. Gizmodo cita un reporte de Broadband Breakfast según el cual CISA perdió cerca de un tercio de su personal tras esos recortes.
El contexto ayuda a entender por qué la atribución pesa tanto. La guerra entre Estados Unidos e Irán lleva cinco meses desde los ataques de finales de febrero, volvió a escalar esta semana y mantiene el tráfico por el estrecho de Ormuz casi detenido. Desde que empezó, actores presuntamente ligados a Irán interrumpieron operaciones de la empresa médica Stryker y atacaron infraestructura industrial en varios sectores estadounidenses, según Nextgov. El antecedente más citado sigue siendo el de 2023, cuando un grupo proiraní tomó y defaceó interfaces de un sistema de agua en Aliquippa, Pensilvania, aprovechando un equipo expuesto con contraseña de fábrica. Irán tampoco es novato en el rubro: en 2016 el Departamento de Justicia acusó a un grupo de hackers iraníes por un ataque contra una pequeña presa cerca de Nueva York. Este mismo año, la actividad iraní en el ciberespacio ya había dado de qué hablar por el uso del protocolo SS7 y datos publicitarios para rastrear militares estadounidenses.
Por qué esto se lee igual en Guadalajara, Bogotá o Valencia
Nada de lo que ocurrió en Minnesota exigió una hazaña técnica. Hizo falta un controlador industrial con dirección pública y una contraseña débil o de fábrica. Ese esquema no es una particularidad estadounidense: es el mismo hardware, del mismo puñado de fabricantes, operando redes de agua municipales en cualquier país.
Censys contabilizó más de 4,100 equipos Rockwell/Allen-Bradley alcanzables desde internet abierto, otros 4,100 de Siemens y más de 2,000 de Schneider Electric. BleepingComputer, que recogió el reporte, aclara el matiz que corresponde: son dispositivos alcanzables, no necesariamente atacados ni comprometidos. El hallazgo más incómodo de ese conteo es otro: casi la mitad de los equipos Rockwell expuestos se alcanza a través de redes de operadores comerciales, es decir, por módems celulares. CISA puso el dedo ahí en su alerta, al advertir que la tecnología operativa expuesta puede incluir módems instalados por operadores, proveedores o integradores que ni siquiera figuran en los inventarios ni en los escaneos rutinarios de superficie de ataque.
Gus Serino, especialista en ciberseguridad del sector hídrico, lo planteó así a CNN:
"La escala y la coordinación de estos ciberataques no tienen precedente"
La lista que publicaron el FBI y la EPA para reducir el riesgo se puede leer como una auditoría de fin de semana en cualquier organismo operador:
- Desconectar los controladores de internet público y mediar todo acceso remoto por una puerta de enlace segura, con arquitecturas aisladas tipo APN privado, ZTNA o VPN sitio a sitio cuando haya módems celulares de por medio.
- Habilitar y revisar los registros de esos módems para detectar accesos raros a tiempo.
- Poner contraseñas únicas y complejas, y limitar el acceso con listas de control que solo permitan comunicación entre equipos esperados.
- Dejar los interruptores físicos y de software en posición RUN para bloquear cambios de lógica, configuración y firmware.
- Practicar y mantener la capacidad de operar la planta en manual, con respaldos probados.
- Revisar los archivos de proyecto contra una copia de lógica buena conocida, con las herramientas de verificación del fabricante.
- Llevar un pronóstico móvil de doce meses de equipos que llegan a fin de vida, revisado por trimestre.
Preguntas rápidas sobre el ciberataque a los sistemas de agua
¿El agua de Minnesota se puede beber?
Las autoridades estatales y federales no han hallado evidencia de que la calidad del agua potable se haya afectado. Varias ciudades emitieron avisos preventivos de hervir el agua y pasaron a operación manual mientras recuperaban el control de sus equipos, según CISA y Minnesota IT Services.
¿Quién está detrás del ciberataque a los sistemas de agua?
No hay atribución formal. The Washington Post reportó que la inteligencia estadounidense evalúa a Irán como responsable probable, y el memorando del WaterISAC cita al Centro de Fusión de Minnesota diciendo que la actividad está alineada con una campaña iraní descrita por CISA en abril, sin evidencia directa. La alerta pública de CISA no nombra a Irán.
¿Qué hago si mi controlador MicroLogix quedó bloqueado con contraseña?
Rockwell publicó el procedimiento en su aviso SD1790: apagar el equipo, retirar la pila 1747-BA, encenderlo hasta que entre en falla, apagarlo, reconectar la pila, fijar la IP desde el teclado LCD y volver a descargar el programa con RSLogix 500. El proceso borra programa y configuración, así que exige un respaldo previo.
Ninguna de las medidas que pidieron el FBI y la EPA requiere presupuesto nuevo ni tecnología de punta: sacar el equipo de internet, cambiar contraseñas, limitar el acceso a una lista de direcciones autorizadas y guardar un respaldo del programa fuera del controlador. Que un ataque de esta escala haya funcionado igual en más de treinta municipios pequeños dice bastante menos sobre la sofisticación de quien lo hizo que sobre el estado en que trabaja el sector.
