Agencias federales investigan ciberataques contra la infraestructura de agua de EE. UU.

Agencias federales de aplicación de la ley están investigando activamente una creciente serie de incidentes cibernéticos dirigidos a instalaciones públicas de agua en varios estados del país, según información de Michael Casey.

El Federal Bureau of Investigation continúa examinando las intrusiones, trabajando para identificar a las entidades específicas responsables de penetrar las redes operativas digitales de las empresas de servicios de agua del país. Aunque los funcionarios federales no han atribuido formalmente una responsabilidad definitiva por la totalidad de las vulneraciones recientes, los incidentes coinciden con reiteradas advertencias de las agencias de inteligencia y ciberseguridad de Estados Unidos sobre actores de amenazas iraníes que apuntan activamente a sistemas de control industrial en el sector de obras públicas.

## Alcance de los incidentes recientes

La última ola de actividad cibernética refleja un patrón creciente de amenazas digitales dirigidas a la infraestructura nacional crítica, según la información de Michael Casey. Operadores de servicios públicos en múltiples jurisdicciones han reportado accesos no autorizados a redes, interrupciones del sistema o intentos de escaneo y explotación dirigidos a su infraestructura operativa.

Cuando ocurren incidentes cibernéticos dentro del sector del agua, el FBI lidera la respuesta penal y de contrainteligencia del gobierno federal, coordinando con la Cybersecurity and Infrastructure Security Agency para realizar análisis forenses digitales, analizar vectores de ataque y ayudar a las empresas de servicios afectados a aislar los sistemas comprometidos. El objetivo principal de estas investigaciones en curso es determinar si las intrusiones representan campañas coordinadas por unidades de ciberespionaje patrocinadas por estados o actores oportunistas independientes que intentan explotar vulnerabilidades conocidas.

## Amenazas a la tecnología operativa

Las instalaciones de tratamiento de agua y aguas residuales dependen en gran medida de sistemas de control industrial, incluidos los sistemas Supervisory Control and Data Acquisition y controladores lógicos programables (Programmable Logic Controllers), para monitorear y gestionar las operaciones físicas. Estos sistemas automatizados controlan procesos críticos como los niveles de tratamiento químico, la gestión de la presión del agua, la posición de las válvulas y el bombeo de distribución.

A diferencia de las redes de TI convencionales que procesan datos administrativos y transacciones financieras, la tecnología operativa gestiona directamente la infraestructura física. Un compromiso de estos sistemas puede permitir a operadores no autorizados alterar las rutinas de dosificación de productos químicos, desactivar bombas u ocultar pantallas de control administrativo. Históricamente, muchos sistemas de agua dependían del aislamiento físico de las redes externas para evitar accesos no autorizados. Sin embargo, a medida que las empresas de servicios públicos se modernizan, muchas han conectado su tecnología operativa directamente a portales con acceso a internet o a software de monitoreo remoto para permitir el acceso administrativo fuera de las instalaciones, exponiendo involuntariamente los dispositivos de control a redes globales de escaneo.

## Actividad cibernética extranjera y contexto táctico

La investigación en curso del FBI sigue a un periodo de mayor preocupación oficial con respecto a actores de amenazas extranjeros, específicamente grupos cibernéticos patrocinados por el estado iraní. Los avisos federales de ciberseguridad emitidos durante los últimos meses han destacado campañas concertadas por parte de grupos de amenazas persistentes avanzadas afiliados al Cuerpo de la Guardia Revolucionaria Islámica de Irán, dirigidas a componentes de infraestructura crítica.

Las agencias de ciberseguridad han señalado que los operadores alineados con Irán suelen dirigirse a controladores de marcas específicas y dispositivos industriales accesibles a través de la internet pública con credenciales débiles. En avisos anteriores, las autoridades federales advirtieron que los actores de amenazas habían escaneado sistemáticamente internet en busca de interfaces hombre-máquina y equipos de control industrial expuestos, utilizando con frecuencia contraseñas de administración predeterminadas para alterar las pantallas de los dispositivos o deshabilitar operaciones municipales. Aunque los investigadores no han finalizado públicamente la atribución para cada empresa pública recientemente afectada, las metodologías observadas en varios incidentes recientes se asemejan mucho a las tácticas, técnicas y procedimientos atribuidos previamente a grupos iraníes.

## Vulnerabilidades estructurales en los servicios públicos

El sector de agua y aguas residuales de EE. UU. comprende aproximadamente 15,000 sistemas de agua potable y 16,000 instalaciones de tratamiento de aguas residuales, la gran mayoría de las cuales son gestionadas por gobiernos municipales locales o pequeños distritos de servicios públicos. Esta fragmentación extrema crea desafíos defensivos únicos en todo el país.

Muchas empresas públicas municipales de pequeño y mediano tamaño operan bajo estrictas limitaciones presupuestarias y carecen de personal dedicado a la ciberseguridad. La tecnología operativa dentro de estas instalaciones suele ser mantenida por ingenieros de planta o contratistas externos que pueden priorizar el tiempo de actividad del sistema y la seguridad física sobre los protocolos de seguridad digital. En consecuencia, muchas instalaciones sufren deficiencias comunes de higiene cibernética, incluidas vulnerabilidades de software sin parchear, autenticación remota de un solo factor y equipos heredados que no pueden admitir actualizaciones de seguridad modernas.

## Política federal y supervisión regulatoria

En respuesta a los elevados riesgos cibernéticos en los sectores de infraestructura crítica, los reguladores federales y las agencias de seguridad han buscado reforzar los mandatos de ciberseguridad para los sistemas públicos de agua. La Environmental Protection Agency, que posee la principal autoridad legal federal sobre la seguridad del agua potable bajo la Safe Drinking Water Act, ha trabajado junto a la CISA para incentivar a las empresas de servicios públicos a incorporar evaluaciones de ciberseguridad en sus evaluaciones periódicas de seguridad obligatorias.

Sin embargo, los esfuerzos para establecer normas federales vinculantes de ciberseguridad para las instalaciones municipales de agua han enfrentado obstáculos regulatorios, legales y operativos. Varios funcionarios estatales y asociaciones de la industria del agua han impugnado anteriormente los intentos federales de exigir procedimientos específicos de auditoría cibernética, argumentando que las empresas públicas locales requieren financiamiento federal y apoyo técnico en lugar de mandatos administrativos para lograr el cumplimiento. En respuesta, la CISA se ha centrado en ofrecer escaneo gratuito de vulnerabilidades, asistencia en respuesta a incidentes y objetivos voluntarios de rendimiento en ciberseguridad adaptados a operadores de infraestructura a pequeña escala.

## Recomendaciones defensivas y remediación

Para proteger las redes de agua de los sondeos continuos y los intentos de intrusión activa, las agencias federales de ciberdefensa recomiendan que las empresas públicas adopten estrategias fundamentales de defensa en profundidad. Las directrices de seguridad instan a los operadores a realizar auditorías inmediatas de todos los dispositivos de control expuestos a internet, desconectar las redes industriales de la internet pública siempre que sea factible y exigir autenticación de múltiples factores para todo acceso administrativo remoto.

Asimismo, los expertos en ciberseguridad enfatizan la importancia de conservar capacidades operativas manuales. Al mantener mecanismos de anulación física y equipos de monitoreo analógicos, los operadores de las plantas pueden garantizar que los estándares de agua potable segura y las funciones básicas de distribución permanezcan intactas, incluso si las redes de control digital sufren una pérdida total de disponibilidad.

## Qué sigue

Mientras el FBI continúa su investigación nacional sobre las vulneraciones, las autoridades cibernéticas federales mantienen una comunicación activa con las comisiones estatales de servicios públicos y la directiva de los distritos locales de agua para difundir inteligencia sobre amenazas y patrones de indicadores en tiempo real. Se insta a los departamentos de obras públicas a reportar de inmediato cualquier comportamiento anómalo de los dispositivos o intento de acceso no autorizado a los centros de respuesta federales.

Se espera que el alcance creciente de estos incidentes intensifique los debates legislativos en Washington sobre el financiamiento federal para la protección de la infraestructura crítica, los mandatos de ciberresiliencia y los posibles programas de asistencia técnica diseñados para proteger a las empresas públicas locales frente a sofisticados grupos de amenazas cibernéticas de estados extranjeros.

Este informe de noticias se basa en la cobertura original publicada por Michael Casey.