Las empresas de agua vuelven a comprobar que los sistemas de control expuestos son un riesgo de internet
La última historia sobre ciberataques a sistemas de agua no trata solo de acusaciones políticas. Trata de una debilidad conocida en tecnología operacional: controladores lógicos programables y otros equipos de control remoto que todavía pueden estar demasiado accesibles desde internet.
La noticia original detectada por NewsAPI, publicada por The Verge el 1 de agosto de 2026, recogía los comentarios públicos del presidente Donald Trump culpando a responsables de Minnesota tras los ciberataques contra sistemas de agua del estado. El panorama técnico relevante es más amplio. CBS News informó de que actividad cibernética maliciosa afectó a tecnología de sistemas de agua en al menos siete estados de Estados Unidos, incluidos Minnesota y Michigan, mientras los investigadores seguían analizando si hackers iraníes estaban implicados. CBS también informó de que más de 30 sistemas comunitarios de agua en Minnesota se vieron afectados y de que varias entidades pasaron a operaciones manuales durante la investigación estatal y federal.
ABC News, citando a Minnesota IT Services, informó de que los atacantes apuntaron a sistemas de monitorización y control remoto, incluidos controladores lógicos programables, o PLC. Estos dispositivos son habituales en entornos de agua y saneamiento porque ayudan a operar bombas, depósitos, estaciones elevadoras, válvulas, alarmas y procesos industriales relacionados. Son útiles porque hacen más eficiente el trabajo de equipos municipales pequeños. Se convierten en un riesgo cuando el acceso remoto, la conectividad de proveedores, las contraseñas por defecto, los módems celulares expuestos o una segmentación débil los dejan al alcance de atacantes.
Qué pide corregir CISA a los operadores
CISA publicó una alerta el 30 de julio instando a propietarios, operadores e integradores del sector de agua y saneamiento a proteger la tecnología operacional frente a actividad dirigida contra PLC. La agencia dijo que observaba un aumento significativo de actores de amenaza apuntando a PLC en el sector del agua, y pidió retirar de internet lo antes posible los PLC y otros sistemas OT expuestos públicamente.
La alerta también describió comportamientos prácticos de ataque: los actores habían modificado contraseñas para bloquear a operadores y cambiado direcciones IP para desconectar PLC. CISA afirmó que esa actividad había provocado avisos de hervir el agua y operaciones manuales sostenidas. Eso no significa que todos los incidentes tuvieran el mismo impacto. En los casos de Minnesota descritos por CBS y ABC, las autoridades indicaron que no se había informado de compromiso del servicio de agua potable ni de impactos en la salud pública. Aun así, la lección operacional es seria: cuando el plano de control está expuesto, los defensores pueden perder visibilidad o control aunque el suministro físico de agua siga siendo seguro.
La guía de mitigación de CISA es directa. Los operadores deben eliminar la exposición directa a internet, activar protección por contraseña, cambiar credenciales por defecto, validar copias limpias de imágenes de PLC y revisar conexiones externas no documentadas, como módems celulares instalados por proveedores o integradores. Para entidades pequeñas, esto suele ser más difícil de lo que parece, porque el mismo acceso remoto que crea riesgo puede ser también la forma en que un equipo limitado mantiene sistemas antiguos en funcionamiento.
La atribución sigue siendo una cuestión de pruebas, no un atajo de titular
La noticia original y las informaciones posteriores conectan el incidente con un debate más amplio sobre una posible implicación iraní. CBS informó de que los investigadores analizaban si hackers iraníes estaban detrás de la actividad, pero también advirtió que la atribución no estaba cerrada y podía cambiar al recopilarse más evidencia técnica. ABC informó igualmente de que funcionarios federales habían informado a líderes estatales y locales sobre la posibilidad de participación iraní, mientras Minnesota aún no había determinado quién era responsable.
Esa cautela importa. La alerta separada de CISA AA26-097A sí advierte a organizaciones estadounidenses sobre actores cibernéticos afiliados a Irán que apuntan a dispositivos OT conectados a internet, incluidos PLC, en sectores críticos como agua y saneamiento, servicios gubernamentales y energía. La alerta señala que esos actores han causado interrupciones operativas mediante interacciones maliciosas con archivos de proyecto y manipulación de datos en HMI y SCADA. También indica que una actualización del 22 de julio de 2026 amplió la actividad observada más allá de una única familia de proveedores de PLC.
Pero una alerta general de amenaza no equivale a una atribución definitiva de un incidente concreto. La conclusión defendible para los lectores es más precisa: las agencias federales y los medios apuntan a una investigación activa, la actividad conocida de actores afiliados a Irán contra PLC forma parte del riesgo de fondo, y las entidades deben actuar sobre la exposición y el endurecimiento independientemente de quién sea finalmente señalado.
Por qué importa más allá de Minnesota
Las entidades de agua forman parte de la infraestructura crítica, pero muchas son organizaciones locales con pocos recursos, equipos de larga vida útil y necesidad práctica de mantenimiento remoto. Esa combinación hace que la higiene básica de OT sea especialmente importante. Una brecha moderna en la nube puede empezar con credenciales o un token de API. Un incidente OT en el sector del agua puede empezar con un controlador, un módem, una estación de ingeniería o una vía de acceso remoto que nunca debió estar ampliamente accesible.
La conclusión inmediata no es pánico. Es priorización. Los operadores deben saber qué PLC y rutas de acceso remoto existen, confirmar que ninguna está expuesta directamente, eliminar credenciales por defecto, exigir acceso controlado mediante pasarelas seguras, conservar copias recuperables de controladores y ensayar operaciones manuales. Los responsables públicos deberían tratar esas tareas como trabajo de infraestructura, no como limpieza informática opcional.
El incidente de Minnesota muestra por qué la ciberseguridad del agua se está convirtiendo en una cuestión operacional para consejos, ayuntamientos y direcciones. Incluso cuando la calidad y entrega del agua permanecen intactas, perder confianza en los sistemas de monitorización y control puede obligar a trabajos manuales, coordinación de emergencia y comunicaciones públicas bajo presión. Para los defensores, la victoria más rápida sigue siendo la menos vistosa: encontrar la OT expuesta antes que los atacantes.