Entre el 26 y el 27 de julio de 2026, hackers intentaron vulnerar al menos 30 sistemas municipales de agua en Minnesota. Desde entonces, Michigan, New Jersey y varios otros estados han reportado ciberataques similares, según fuentes familiarizadas con el asunto.

Los atacantes no intentaron infiltrarse en las computadoras administrativas que usan las oficinas de los servicios públicos. En cambio, buscaron tomar el control de pequeños computadores integrados —controladores lógicos programables (PLC)— que regulan equipos como bombas y válvulas responsables de distribuir agua potable a millones de personas.

Los operadores de los servicios públicos contrarrestaron los ataques apagando las computadoras de control y enviando personal al campo para operar los equipos manualmente. Las autoridades han señalado que el agua potable se mantuvo segura durante los incidentes.

Los métodos empleados en estos ataques son consistentes con patrones que normalmente se observan en operaciones cibernéticas internacionales, según investigadores de ciberseguridad. La sospecha inicial se ha centrado en hackers presuntamente alineados con Iran, como informó Wired, aunque el gobierno de EE. UU. aún no ha atribuido formalmente los ataques a ningún actor o país específico.

Los sistemas de agua y aguas residuales son uno de los 16 sectores de infraestructura crítica designados por el gobierno federal, y los ataques ocurren en medio de una escalada más amplia de sondeos de infraestructura industrial estadounidense por parte de Estados nación. En febrero de 2021, un atacante accedió de forma remota a una planta de tratamiento de agua en Oldsmar, Florida, e intentó elevar los niveles de hidróxido de sodio a concentraciones peligrosas antes de que interviniera un operador. A fines de 2023, hackers vinculados a Iran tomaron el control de un PLC en la Municipal Water Authority of Aliquippa, Pennsylvania. Los incidentes de 2026 destacan por su escala —docenas de servicios públicos atacados en múltiples estados dentro de una ventana coordinada— más que por una sola instalación.

Cómo funcionan los controles de los sistemas de agua

Estados Unidos cuenta con aproximadamente 152,000 sistemas públicos de agua potable, según datos federales. La gran mayoría atiende a menos de 3,300 clientes y opera con apenas unos pocos empleados, una realidad estructural que durante mucho tiempo ha complicado las iniciativas de ciberseguridad en todo el sector. El agua municipal normalmente proviene de lagos, embalses, ríos o acuíferos subterráneos. Las bombas trasladan el agua a través de tuberías hasta una planta de tratamiento, donde se filtra y desinfecta. Bombas adicionales empujan el agua tratada hacia tanques de almacenamiento y luego a través de tuberías de distribución hacia hogares y empresas. Estos sistemas pueden extenderse por muchas millas cuadradas.

Los hackers apuntaron a PLC —pequeños computadores que operan una amplia gama de equipos industriales. Estos controladores leen sensores que miden condiciones como la presión del agua, la química del agua, los niveles de los tanques y el estado de los equipos, y operan automáticamente bombas, válvulas y alarmas. Un termostato doméstico ofrece una analogía útil: lee la temperatura e indica al sistema de calefacción o refrigeración qué hacer.

Los PLC también transmiten datos operativos al sistema informático central de un servicio público. Los trabajadores usan paneles de control para supervisar la información y enviar comandos de vuelta a los controladores. Esta comunicación bidireccional puede viajar por redes cableadas, enlaces de radio o celulares, o conexiones a internet.

Muchos servicios públicos operan con personal reducido, por lo que las conexiones remotas son esenciales. Permiten que un empleado supervise una bomba o un tanque distante, reciba alarmas fuera del horario laboral o que un proveedor diagnostique equipos sin viajar a cada sitio.

Los controladores que usan internet pueden conectarse directamente o pasar por firewalls protectores, puertas de enlace seguras o redes privadas virtuales (VPN). El acceso directo es más vulnerable porque hay menos barreras defensivas entre el controlador y posibles atacantes. Un hacker puede localizar un controlador escaneando internet en busca de su dirección de Protocolo de Internet (IP) y luego intentar usar una contraseña débil o robada, o explotar una falla de seguridad conocida.

Para llegar a un controlador protegido por una puerta de enlace segura o un servicio cifrado, un hacker tendría que robar credenciales de acceso remoto, vulnerar la puerta de enlace o la red privada, o comprometer la estación de trabajo de un operador para obtener un punto de apoyo.

Un intento de acceso también puede formar parte de una estrategia de más largo plazo para recopilar inteligencia, probar defensas o establecer una entrada persistente para una operación futura.

Anatomía de un ataque

Los ataques a sistemas de control industrial suelen seguir una secuencia reconocible. La infiltración suele comenzar con reconocimiento: los atacantes escanean direcciones de internet en busca de controladores expuestos, paneles de control y servicios de acceso remoto de terceros, buscando sistemas conectados directamente a internet. Los investigadores encuentran con frecuencia miles de PLC y interfaces hombre-máquina del sector del agua expuestos en internet público mediante herramientas como Shodan, un buscador de dispositivos conectados a internet.

Luego, el atacante busca una contraseña predeterminada o robada, una vulnerabilidad sin parchear o un servicio de acceso remoto mal configurado. No siempre se necesita malware sofisticado. En 2023, funcionarios estadounidenses informaron que hackers vinculados a Iran apuntaron a PLC Unitronics conectados a internet y utilizados por servicios de agua. Según la Cybersecurity and Infrastructure Security Agency (CISA), algunos servicios aún usaban la contraseña predeterminada del fabricante.

En la etapa final, el atacante explota el acceso obtenido. Esto podría implicar cambiar una contraseña, emitir comandos o intentar alterar el software del controlador. Investigadores del National Institute of Standards and Technology (NIST) señalan que un intruso podría reemplazar instrucciones legítimas de control por comandos maliciosos. Un atacante también podría infiltrarse en una computadora de oficina mediante phishing y luego moverse hacia la red de controladores.

El equipo industrial en servicio desde hace décadas es especialmente vulnerable porque puede no admitir funciones de seguridad modernas. Los servicios públicos a menudo retrasan las actualizaciones para evitar interrupciones operativas.

Los reportes indican que los hackers accedieron a los sistemas de agua de Minnesota a través de controladores que se comunican directamente por internet. Un aviso conjunto del FBI y la Environmental Protection Agency (EPA) del 30 de julio afirmó que los atacantes accedieron de forma remota a PLC Rockwell Automation MicroLogix conectados directamente a internet y cambiaron sus direcciones IP y contraseñas.

Medidas defensivas que pueden tomar los servicios públicos

La medida de protección más inmediata que pueden tomar los servicios públicos es retirar los controladores y los paneles de interfaz hombre-máquina de la exposición directa a internet. Tras los ataques en Minnesota, CISA instó a los servicios de agua a colocar estos equipos detrás de firewalls correctamente configurados y otras medidas de protección.

Cuando el acceso remoto sea necesario, los servicios públicos deben enrutar las comunicaciones a través de una puerta de enlace segura o VPN, exigir autenticación multifactor y aplicar controles de acceso de privilegio mínimo. También deben cambiar las contraseñas predeterminadas, deshabilitar servicios de acceso remoto no utilizados e instalar actualizaciones aprobadas por el proveedor.

En su orientación sobre paneles expuestos a internet, CISA también recomienda separar las redes operativas del correo electrónico y de otros sistemas empresariales. Esta medida dificulta el movimiento lateral entre ambos sistemas.

Por último, los servicios públicos deben respaldar los programas de los controladores, registrar la actividad de acceso remoto y practicar la restauración de sistemas y la operación manual.

La EPA, que actúa como agencia específica del sector del agua dentro del marco federal de infraestructura crítica, ha pedido al Congreso autoridad legal para hacer cumplir estándares de ciberseguridad en todo el sector. En la actualidad, los servicios de agua no enfrentan un mandato federal de ciberseguridad comparable al que rige para la red eléctrica, regulada por los estándares de la North American Electric Reliability Corporation (NERC-CIP). La legislación propuesta en sesiones anteriores del Congreso para abordar esta brecha no ha avanzado.

La brecha de recursos

Los servicios rurales de agua con presupuestos y personal limitados representan una vulnerabilidad significativa dentro de la infraestructura crítica de Estados Unidos. Un grupo de expertos voluntarios en ciberseguridad está brindando orientación a los servicios de agua, pero su alcance sigue siendo limitado. Los servicios más pequeños pueden necesitar financiación gubernamental o servicios compartidos de ciberseguridad para defenderse adecuadamente. Las organizaciones de intercambio de información específicas del sector, como Water Information Sharing and Analysis Center (WaterISAC), ofrecen alertas sobre amenazas, pero su adopción entre los sistemas pequeños sigue siendo desigual.

William Akoto es profesor asistente de Global Security en la School of International Service de American University. Este artículo se republica de The Conversation bajo una licencia Creative Commons.