TL;DR:
- El FBI, CISA, la NSA, la EPA, el Departamento de Energía y el Cibercomando actualizaron el 22 de julio de 2026 una alerta conjunta sobre atacantes vinculados a Irán que manipulan controladores industriales en infraestructura crítica de Estados Unidos.
- En al menos un caso, los atacantes desactivaron la lógica de paro de emergencia y de alarma, dejando que el sistema entrara en condición insegura sin avisarle al operador.
- El alcance se amplió de equipos Rockwell Automation a Schneider Electric y Siemens, con la advertencia de que puede aplicar a prácticamente cualquier controlador expuesto a internet.
Un grupo de agencias federales de Estados Unidos actualizó el 22 de julio de 2026 su alerta conjunta sobre actores cibernéticos afiliados a Irán que están interrumpiendo sistemas de control industrial en plantas de agua, aguas residuales, energía y servicios de gobierno, incluidos municipios. Firman el aviso el FBI, la Agencia de Ciberseguridad y Seguridad de Infraestructura (CISA), la NSA, la EPA, el Departamento de Energía, el Cibercomando de EE. UU. y el Departamento del Tesoro. El documento, identificado como AA26-097A, se publicó originalmente en abril y creció en dos direcciones: más fabricantes afectados y un hallazgo técnico que cambia la lectura del caso.
Ese hallazgo es el siguiente. Según el FBI, en al menos una organización los atacantes no solo entraron: modificaron y borraron lógica de los archivos de proyecto del controlador, manipularon los datos que se muestran en las pantallas HMI y SCADA, y desactivaron la lógica crítica de paro y de alarma. Traducido: la planta podía entrar en una condición insegura sin que nadie en el cuarto de control viera una sola señal de que algo iba mal.
Qué es un PLC y por qué importa que le toquen la lógica
Un PLC, o controlador lógico programable, es una computadora industrial que ejecuta las instrucciones concretas que abren una válvula, arrancan una bomba, dosifican un químico o disparan un paro de emergencia. No tiene pantalla ni teclado: recibe su programa desde un archivo de proyecto y lo repite en ciclo, indefinidamente.
Ahí está lo delicado del ataque descrito. Los atacantes extrajeron los archivos de proyecto de los dispositivos y después alteraron su lógica, incluidos los módulos de código reutilizable que Rockwell llama Add-On Instructions. Un operador que revisa su tablero ve valores normales porque la pantalla se los está mostrando así. La instrucción que debía detener el proceso ya no está.
Las agencias ubican el inicio de esta campaña en marzo de 2026, identificada a través del trabajo con organizaciones víctimas. Algunas sufrieron interrupción operativa y pérdidas económicas. El aviso no precisa cuántas fueron ni dónde están.
De un fabricante a tres, y de ahí a "cualquiera expuesto"
La versión de abril apuntaba a controladores de Rockwell Automation y Allen-Bradley. La actualización del 22 de julio suma equipos de Schneider Electric y Siemens, y deja abierta la puerta a otros fabricantes. TechCrunch reportó que las agencias advierten que potencialmente cualquier sistema de control industrial expuesto a internet puede verse afectado, y que los atacantes buscan causar efectos disruptivos dentro de Estados Unidos, probablemente como respuesta a la guerra en curso entre Irán, Estados Unidos e Israel.
Esa atribución es de las agencias firmantes, no un hecho verificado de forma independiente. Vale la distinción, porque la ciberatribución estatal casi nunca viene acompañada de evidencia pública.
El precedente que citan las propias agencias ayuda a dimensionar: entre finales de 2023 y principios de 2024, actores afiliados a la Guardia Revolucionaria comprometieron al menos 75 controladores Unitronics en sistemas de agua estadounidenses aprovechando credenciales de fábrica.
Lo que las agencias piden hacer, y por qué aplica fuera de EE. UU.
Las mitigaciones recomendadas son deliberadamente básicas, lo que dice bastante sobre el estado del sector:
- Sacar los dispositivos de operación de la internet pública.
- Activar autenticación multifactor en los accesos remotos.
- Revisar bitácoras en busca de actividad sospechosa e indicadores de compromiso.
- Colocar el selector físico de modo de los equipos Rockwell en la posición "run".
- Revisar la guía de seguridad que cada fabricante ya publicó para sus despliegues de tecnología operativa.
El criterio que dispara el riesgo no es la nacionalidad del operador sino la exposición del equipo. Siemens, Schneider y Rockwell son el estándar industrial en plantas de agua y energía de México, España y América Latina, y una revisión de Censys citada por Cybersecurity Dive en abril contabilizaba más de 3,000 dispositivos Rockwell todavía visibles desde la internet pública. Ese conteo es de hace tres meses y no distingue por país, así que no dice nada sobre plantas específicas fuera de Estados Unidos. Lo que sí deja claro es que la condición que aprovecharon estos atacantes, un controlador industrial accesible desde internet, no es una rareza estadounidense.
Un operador de agua que quiera saber si le toca no necesita esperar a que alguien traduzca el aviso. La pregunta es de una sola línea y se responde hoy: ¿el PLC de la planta contesta desde internet?
