En los últimos meses, los sistemas de agua en varios estados de EE.UU. han sido blanco de ataques cibernéticos. Estos incidentes han puesto de manifiesto la vulnerabilidad de las redes de suministro de agua y la necesidad urgente de mejorar las medidas de seguridad. Los hackers están explotando las debilidades en los controladores lógicos programables (PLCs) dispositivos esenciales para el funcionamiento de los sistemas de agua.
El 6 de agosto de 2026, Forescout reveló que había encontrado 22 controladores Rockwell Automation accesibles desde internet en ciudades afectadas por recientes ataques cibernéticos a sistemas de agua en EE.UU. De estos, 19 utilizaban la misma red de operadores móviles. Un escaneo realizado el 3 de agosto contó 4,407 controladores expuestos en todo el mundo, de los cuales 2,844 estaban en Estados Unidos. Aunque no se ha confirmado que estos controladores hayan sido comprometidos, la situación es alarmante.
Cómo los hackers están accediendo a los sistemas de agua
Los hackers no están intentando infiltrarse en las computadoras de las oficinas de las empresas de agua. En su lugar, están tratando de tomar el control de pequeños ordenadores en equipos como bombas y válvulas que suministran agua potable a millones de personas. Estos dispositivos, conocidos como controladores lógicos programables (PLCs) son esenciales para el funcionamiento de los sistemas de agua.
Los PLCs leen sensores que miden condiciones como la presión del agua, la química del agua, los niveles de los tanques y el estado del equipo, y operan automáticamente bombas, válvulas y alarmas. También transmiten datos operativos al sistema central de la empresa de agua. Los trabajadores utilizan paneles de control para monitorear la información y enviar comandos de regreso a los controladores. Estas comunicaciones bidireccionales pueden viajar a través de redes cableadas, enlaces de radio o celulares, o conexiones a internet.
Vulnerabilidades en los controladores industriales
Los controladores que utilizan internet pueden acceder a ella directamente o a través de firewalls, pasarelas seguras o redes privadas virtuales (VPN). El acceso directo es más vulnerable porque hay menos barreras defensivas. Un hacker puede encontrar un controlador escaneando internet y encontrando su dirección IP, luego intentar un contraseña débil o robada o explotar una vulnerabilidad conocida.
Para llegar a un controlador a través de una pasarela segura o un servicio encriptado, un hacker tendría que robar credenciales de acceso remoto, o romper en la pasarela o red privada, o tomar el control de una estación de trabajo del operador. El hacker podría luego utilizar ese punto de apoyo para llegar al controlador.
Medidas de defensa para las empresas de agua
La medida más inmediata que las empresas de agua pueden tomar para protegerse es retirar los controladores y los paneles de control humanos de la conexión directa a internet. Tras los ataques en Minnesota, la Agencia de ciberseguridad y Seguridad de Infraestructura (CISA) instó a las empresas de agua a colocar este equipo detrás de firewalls y otras salvaguardas debidamente configurados.
Cuando el acceso remoto es necesario, las empresas deben enrutar las comunicaciones a través de una pasarela segura o VPN, requerir múltiples niveles de autenticación y limitar cuánto acceso tiene cada usuario. Las empresas deben cambiar las contraseñas predeterminadas, desactivar los servicios de acceso remoto no utilizados y instalar actualizaciones aprobadas por el fabricante en el equipo conectado.
En su orientación sobre paneles de control expuestos a internet, la agencia de ciberseguridad también recomienda separar las redes operativas de los sistemas de correo electrónico y otros sistemas empresariales. Esta medida dificulta que los atacantes se muevan entre los dos sistemas.
Finalmente, las empresas deben hacer copias de seguridad de los programas de controladores, registrar la actividad de acceso remoto y practicar la restauración de sistemas y la operación manual.
La situación actual subraya la necesidad crítica de mejorar la ciberseguridad en los sistemas de agua. Las empresas de agua, especialmente las más pequeñas con recursos limitados, deben recibir el apoyo necesario para proteger sus sistemas y garantizar la seguridad del suministro de agua para todos.
