Los sistemas de agua y otros servicios públicos son altamente vulnerables a los hackers
CIBERSEGURIDAD.
Los controladores industriales conectados a Internet, los presupuestos ajustados y la dependencia del acceso remoto han convertido la gestión del agua en una puerta de entrada ideal para los ciberdelincuentes.
Un ciberataque en julio de 2026 tuvo como objetivo más de 30 sistemas de agua en municipios estadounidenses. / Créditos: AP/Ellen Schmidt.
Los piratas informáticos intentaron irrumpir en al menos 30 sistemas de agua municipales en Estados Unidos a fines de julio, mientras que otros estados han informado de ciberataques similares. Los atacantes intentaron tomar el control de pequeños ordenadores en equipos como bombas y válvulas, que suministran agua potable a millones de personas. El ataque demuestra la vulnerabilidad de estos sistemas vitales.
Los sistemas de agua potable y, en general, los servicios públicos esenciales se han convertido en una de las piezas más frágiles de la infraestructura crítica. No hace falta una superproducción de espionaje digital para provocar daños: basta con entrar en los controles que mueven bombas, válvulas y depósitos.
Esa es la lección que dejan los incidentes recientes en varias jurisdicciones de Estados Unidos, donde intentos de intrusión contra redes municipales de agua han obligado a apagar sistemas remotos y volver al control manual para evitar males mayores. Así lo informan una nota de prensa del FBI y un artículo publicado en The Conversation por Guillermo Akoto, Profesor adjunto de Seguridad Global de la Universidad Americana.
Pequeños ordenadores.
El punto vulnerable se encuentra en pequeños ordenadores industriales llamados controladores lógicos programables, o PLC, que actúan como el "cerebro" de equipos físicos repartidos por toda la red.
Estos dispositivos leen datos de presión, niveles de agua, química del tratamiento o estado de las bombas, y ejecutan órdenes automáticas para mantener el flujo. Si un atacante toma el mando, puede alterar configuraciones, cambiar contraseñas, bloquear la supervisión o incluso cortar la capacidad de control de una instalación entera.
La razón de fondo es que el agua, a diferencia de otros servicios más centralizados, depende de una constelación enorme de instalaciones distribuidas. En Estados Unidos existen unos 152.000 sistemas públicos de agua potable, conectados a ríos, embalses, acuíferos, plantas de tratamiento, depósitos y redes de distribución que pueden abarcar una gran cantidad de kilómetros. Cuanto más dispersa es la infraestructura, más difícil resulta protegerla con la misma intensidad en todos sus puntos.
El riesgo del control digital.
A esa complejidad se suma que muchas firmas trabajan con plantillas pequeñas y presupuestos ajustados. Por eso recurren a conexiones remotas para vigilar bombas lejanas, recibir alarmas fuera de horario o permitir que un proveedor diagnostique una avería sin desplazarse.
Esa comodidad operativa, sin embargo, se convierte en un riesgo cuando el acceso a esos controladores es directo desde Internet, con pocas barreras de defensa, contraseñas débiles, credenciales robadas o vulnerabilidades sin aplicar parches.
Un ataque sencillo.
El patrón de ataque comienza cuando el intruso escanea direcciones IP en busca de controladores expuestos o servicios de acceso remoto. Después prueba contraseñas por defecto, credenciales filtradas o fallos conocidos.
Una vez dentro, puede modificar parámetros, cambiar la dirección IP del dispositivo, forzar nuevas claves o alterar archivos de proyecto. No siempre hace falta un malware sofisticado: a menudo basta con aprovechar configuraciones deficientes y equipos mal protegidos.
Los ordenadores pequeños controlan numerosas bombas y otros equipos involucrados en el traslado y tratamiento del agua potable, desde la fuente hasta el consumidor. / Crédito: Taloma et al, CC BY.
Las redes se salvaron por la gestión manual.
Los entes estadounidenses informaron pérdidas de monitorización y control, además de efectos operativos como caída de presión e incluso inundaciones en algunos casos, luego del incidente registrado el 30 de julio.
Según los especialistas, los atacantes accedieron remotamente a dispositivos expuestos y modificaron direcciones IP y contraseñas, dejando a las firmas operadoras sin visibilidad sobre sus equipos.
Aunque el agua siguió siendo segura para beber en estos casos, la respuesta eficaz dependió en buena medida de que las empresas pudieron desconectar los equipos comprometidos y operar de forma manual. Esa capacidad de volver atrás, de pasar al “modo humano” cuando el sistema falla, se ha revelado como una de las pocas redes de seguridad realmente decisivas.
Medidas de resguardo.
Las medidas recomendadas por las autoridades apuntan en una misma dirección: sacar los controladores de la exposición directa a Internet, proteger los accesos con pasarelas seguras y cortafuegos bien configurados, usar autenticación fuerte y contraseñas únicas, limitar privilegios, revisar registros, separar la red operativa de la red administrativa y mantener copias de seguridad de los programas de control.
También se insiste en practicar el funcionamiento manual y en prever la sustitución de equipos obsoletos, porque el hardware antiguo no recibe parches y se convierte en un blanco fácil.
Por: Pablo Javier Piacente / T21.
Sitio Fuente: Levante / Tendencias21