Una brigada de hackers éticos se moviliza para proteger el agua de Estados Unidos de los ataques atribuidos a Irán
Las intrusiones contra instalaciones de al menos doce estados han afectado a bombas, válvulas y sistemas de control remoto, aunque no consta que hayan contaminado el suministro. La vulnerabilidad de miles de pequeñas empresas municipales ha impulsado al grupo de hackers DEF CON Franklin a crear una red de vigilancia y asistencia gratuita que sus promotores consideran solo una solución de emergencia.
Estados Unidos ha descubierto uno de los flancos más vulnerables de su seguridad nacional en una infraestructura tan cotidiana como fragmentada: las plantas que bombean, tratan y distribuyen el agua. Una oleada de intrusiones informáticas detectada desde finales de julio ha alcanzado instalaciones de agua potable y saneamiento de al menos doce estados. Las autoridades investigan su posible relación con grupos respaldados por Irán, en un momento de abierta confrontación entre Washington y Teherán.
Minnesota fue el primer gran foco conocido. Más de treinta sistemas comunitarios sufrieron incidentes coordinados que afectaron a sus equipos operativos. En Braham, una localidad de unos 1.700 habitantes, la planta quedó fuera de servicio durante aproximadamente noventa minutos, aunque el depósito municipal permitió mantener el suministro. En Plymouth fueron inutilizados temporalmente varios dispositivos que supervisaban los niveles de agua, la presión, las bombas y las alarmas.
Michigan confirmó después incidentes en nueve instalaciones. También se notificaron ataques en Nueva Jersey, Georgia y Dakota del Sur. El episodio con mayores consecuencias visibles se produjo en el condado de Clayton, al sur de Atlanta, cuya autoridad de aguas abastece a unas 300.000 personas. La actividad maliciosa provocó una caída de presión y obligó a emitir un aviso preventivo para hervir el agua. El servicio fue restablecido en cuestión de horas y los análisis posteriores permitieron retirar la advertencia.
Salubridad del suministro
No se ha documentado una contaminación efectiva del agua ni una interrupción generalizada del suministro. Eso no significa que los ataques fueran inocuos. Algunas instalaciones perdieron la capacidad de controlar a distancia sus equipos y tuvieron que regresar a operaciones manuales. El FBI ha registrado entre los efectos de esta campaña pérdidas de presión e inundaciones. Una caída prolongada de la presión puede permitir que agua subterránea sin tratar se introduzca en las tuberías; la manipulación de bombas, válvulas, sensores o sistemas de dosificación química podría, en un ataque más agresivo, afectar directamente a la salubridad del suministro.
El objetivo principal son los controladores lógicos programables, conocidos como PLC: pequeños ordenadores industriales que abren y cierran válvulas, activan bombas, regulan depósitos y transmiten datos a los operadores. Muchos fueron instalados hace años para facilitar el mantenimiento remoto y permanecen conectados directamente a internet. En algunos casos conservan contraseñas de fábrica o utilizan credenciales débiles y compartidas. Una vez dentro, los atacantes pueden cambiar esas claves, bloquear las pantallas y privar al personal de la capacidad de observar o dirigir el proceso.
La técnica no requiere necesariamente herramientas muy sofisticadas. La Agencia de Ciberseguridad y Seguridad de las Infraestructuras, CISA, ha pedido a las empresas que desconecten de internet los controladores expuestos, sustituyan las contraseñas predeterminadas, instalen cortafuegos, limiten las conexiones a equipos autorizados y se preparen para operar manualmente. Son precauciones elementales, pero difíciles de aplicar en plantas que apenas disponen de personal técnico.
Implicación iraní
La atribución continúa siendo deliberadamente cautelosa. Las agencias federales no han responsabilizado oficialmente a Teherán del conjunto de la campaña, aunque los servicios de inteligencia consideran probable la participación iraní en los ataques de Minnesota. Un documento publicado por Wired señalaba que la actividad coincidía con operaciones descritas previamente por CISA como vinculadas a Irán. Los investigadores dudan entre grupos como CyberAv3ngers, relacionado con el La Guardia Revolucionaria iraní, y con Handala, otra identidad digital asociada por distintos especialistas con los servicios iraníes.
CyberAv3ngers ya utilizó esta fórmula en 2023. El grupo entró en controladores fabricados por la empresa israelí Unitronics que seguían accesibles desde internet y conservaban sus credenciales predeterminadas. Entre las víctimas estuvo una estación de bombeo de Aliquippa, en Pensilvania. Los atacantes bloquearon la pantalla con un mensaje contra Israel, modificaron la programación de los dispositivos e impidieron que algunos operadores recuperaran el control remoto. La alerta conjunta de CISA, el FBI la NSA y la EPA advirtió posteriormente de que ese acceso podía utilizarse para producir consecuencias físicas mucho más graves.
El propósito inmediato de la actual campaña parece combinar interrupción, intimidación y propaganda. Atacar pequeñas localidades permite obtener resultados visibles con pocos recursos, demostrar que el territorio estadounidense está al alcance de Teherán y erosionar la confianza en la capacidad del Gobierno para garantizar servicios esenciales. También ofrece la posibilidad de estudiar la respuesta de las autoridades antes de intentar operaciones más ambiciosas. Las redes municipales de agua, además, sostienen instalaciones militares, hospitales, fábricas y centros de datos: un fallo local puede propagarse mucho más allá del número de hogares afectados.
Debilidad estructural del sector
La debilidad del sector es estructural. Estados Unidos tiene más de 144.000 sistemas públicos de abastecimiento, entre ellos alrededor de 50.000 sistemas comunitarios que suministran agua durante todo el año, de acuerdo con datos de la EPA. El 91% de esos sistemas comunitarios atiende a menos de 10.000 personas. Muchas empresas rurales funcionan como pequeños negocios municipales: cuentan con uno o dos trabajadores, presupuestos limitados y equipos antiguos, mientras compiten por recursos para sustituir tuberías, cumplir las normas sanitarias y afrontar sequías, inundaciones y otros fenómenos extremos.
Los datos federales muestran que las deficiencias no se limitan a los pueblos pequeños. Una evaluación de la oficina del inspector general de la EPA encontró vulnerabilidades críticas o de alto riesgo en 97 sistemas que, juntos, abastecían a 26,6 millones de personas. Más del 70% de las instalaciones inspeccionadas incumplía requisitos relacionados con sus evaluaciones de riesgos y planes de emergencia. Entre las prácticas observadas figuraban contraseñas predeterminadas, una misma cuenta para varios empleados y accesos que seguían abiertos después de que los trabajadores abandonaran la organización.
La regulación tampoco ha seguido el ritmo de la amenaza. Una ley de 2018 obliga a los sistemas comunitarios que sirven a más de 3.300 personas a preparar evaluaciones de riesgos y planes de respuesta, pero la EPA recibe fundamentalmente una certificación de que esos documentos existen y no siempre examina su calidad. En 2023, la agencia intentó incluir la ciberseguridad en las inspecciones sanitarias periódicas, pero retiró la medida después de que Misuri, Arkansas e Iowa presentaran una demanda y un tribunal suspendiera su aplicación. Las inversiones continúan siendo en gran medida voluntarias y la EPA carece de autoridad suficiente para corregir algunas de las principales lagunas, especialmente en las instalaciones pequeñas y en el tratamiento de aguas residuales.
DEF CON Franklin
Es en ese vacío donde pretende actuar DEF CON Franklin, un proyecto surgido de la comunidad de la conferencia de ciberseguridad DEF CON. Su nombre alude a Benjamin Franklin y a la primera compañía de bomberos voluntarios de Filadelfia: la idea es crear una forma de defensa civil capaz de apagar incendios digitales antes de que se propaguen.
El proyecto comenzó en 2024 con un programa piloto que emparejó a expertos voluntarios con empresas de agua de varios estados. Los especialistas ayudaron a elaborar inventarios de equipos, segmentar redes, sustituir contraseñas inseguras, buscar vulnerabilidades y redactar planes de respuesta. La iniciativa ha reunido a cerca de 450 profesionales; según su cofundador, Jake Braun, no se ha enviado a instalaciones a voluntarios con menos de diez años de experiencia, y muchos proceden de agencias gubernamentales o de equipos de seguridad de grandes compañías.
La experiencia confirmó que el modelo funcionaba, pero también que enviar especialistas planta por planta no podía cubrir decenas de miles de instalaciones. Para intentar superar ese límite, DEF CON Franklin y la National Rural Water Association presentaron el 7 de agosto el Water Watch Center. La nueva estructura ofrecerá gratuitamente servicios continuos de detección y respuesta a empresas que abastezcan a menos de 10.000 habitantes.
Cinco compañías (Defendify, Legato Security, L1 Secure, Rapid7 y Sentinel Technologies) instalarán sistemas de vigilancia, detectarán comportamientos anómalos y compartirán información sobre amenazas. La asociación rural actuará como centro nacional. Cuando aparezca una vulnerabilidad o un posible ataque, el proveedor avisará al operador; si este no puede corregir el problema, podrá pedir la ayuda de uno de los voluntarios de Franklin. El proyecto aspira así a combinar sensores comerciales, conocimiento compartido y una red humana capaz de ejecutar las recomendaciones que las pequeñas plantas reciben pero no siempre tienen personal para aplicar.
El Water Watch Center ha comenzado a incorporar instalaciones rurales de Maryland, con especial atención a las que prestan servicio a bases militares y centros de inteligencia. Además, trabaja con la Universidad Vanderbilt en la creación de réplicas digitales de plantas de tratamiento. En esos entornos virtuales, agentes ofensivos y defensivos basados en inteligencia artificial podrán ensayar ataques y respuestas sin poner en peligro una instalación real. El objetivo a largo plazo es automatizar parte de la protección ante la escasez de profesionales especializados.
Financiación federal
La iniciativa, sin embargo, depende de donaciones y subvenciones. Craig Newmark, fundador de Craigslist, aportó la financiación inicial, pero extender la vigilancia a decenas de miles de empresas exigirá recursos públicos. El propio Braun admite que una red de voluntarios no puede convertirse en la defensa permanente de una infraestructura nacional y reclama que el Gobierno federal termine financiando el servicio.
Washington ha empezado a reaccionar. Los senadores demócratas Amy Klobuchar y Adam Schiff presentaron el 13 de agosto la Water Cyber Shield Act, que concedería a la EPA autoridad expresa para evaluar instalaciones y exigir correcciones, establecería estándares proporcionales al tamaño de cada operador, ampliaría las obligaciones de notificar incidentes y reservaría 300 millones de dólares anuales para mejoras de ciberseguridad. La propuesta todavía debe superar su tramitación en el Congreso.
La Administración de Donald Trump lanzó también el 31 de agosto el proyecto piloto Watershed 250. Durante seis meses, empresas como Microsoft, Google, Amazon Web Services, Cloudflare, Palo Alto Networks, Fortinet, Tenable y Dragos ofrecerán herramientas y asistencia a operadores de Texas bajo la coordinación del Texas Cyber Command y con la participación de la EPA y CISA. Las conclusiones servirán para decidir si el programa se extiende a otros estados.
Los ataques de este verano no han envenenado el agua de millones de estadounidenses, pero han demostrado que un adversario puede alcanzar equipos que controlan procesos físicos, obligar a municipios a trabajar manualmente y sembrar dudas sobre la seguridad de un servicio esencial. La vuelta a los controles manuales, los depósitos de reserva y la rápida reacción de los trabajadores evitaron consecuencias mayores. Es una señal de resiliencia, aunque también una advertencia: la próxima operación puede dirigirse contra una instalación menos preparada, utilizar técnicas más destructivas o coincidir con una emergencia que deje menos margen para improvisar.
