El FBI ha advertido que los ciberataques dirigidos a servicios públicos de agua y aguas residuales están afectando a comunidades en al menos siete estados de EE. UU., lo que indica que una reciente oleada de incidentes va mucho más allá de los ataques coordinados reportados en Minnesota. Las autoridades federales afirman que la campaña ha interrumpido las operaciones en múltiples instalaciones y se centra en equipos de control industrial conectados a internet.
La alerta, emitida conjuntamente con la Agencia de Protección Ambiental de EE. UU. (EPA), sigue a los informes de que más de 30 empresas de agua en Minnesota experimentaron incidentes cibernéticos a partir de finales de julio. Aunque el FBI no identificó a los estados afectados ni atribuyó formalmente la actividad a un actor amenazante específico, la advertencia se alinea con las recientes directrices de la Agencia de Seguridad de Ciberseguridad e Infraestructuras (CISA), que vincula ataques similares con CyberAv3ngers, un grupo de hackers que las autoridades estadounidenses han asociado previamente con el Cuerpo de Guardianes de la Revolución Islámica (IRGC) de Irán.
Según el FBI, las compañías eléctricas comenzaron a informar de incidentes el 27 de julio, con varias organizaciones sufriendo interrupciones tras atacantes que atacaran controladores lógicos programables (PLC) orientados a internet. Estos dispositivos automatizan procesos industriales y se utilizan ampliamente para controlar sistemas de tratamiento y distribución de agua.
Investigadores federales dijeron que algunos atacantes cambiaron las contraseñas del PLC y la configuración de red, impidiendo que los operadores gestionaran remotamente los equipos y obligando a las compañías eléctricas a cambiar a operaciones manuales. En al menos un caso reportado, los investigadores encontraron modificaciones no autorizadas en archivos de proyectos PLC tras identificar discrepancias en la lógica de escalera, el lenguaje de programación comúnmente utilizado para controlar sistemas de automatización industrial.
El impacto operativo varió entre las compañías eléctricas. En Minnesota, las autoridades locales informaron de fallos temporales en la comunicación, pérdida de presión e inundaciones en algunas instalaciones tras los ataques. En Braham, funcionarios municipales dijeron que los atacantes desactivaron remotamente los controles conectados a un pozo de la ciudad, interrumpiendo temporalmente las operaciones normales hasta que el personal restableciera el sistema. El FBI advirtió que la pérdida de presión en los sistemas de distribución de agua puede aumentar el riesgo de que el agua subterránea no tratada entre en las tuberías.
El aviso enfatiza que las pequeñas compañías eléctricas siguen siendo especialmente vulnerables porque muchas siguen operando sistemas de control industrial antiguos que son directamente accesibles desde internet y que a menudo cuentan con recursos limitados de ciberseguridad.
Para reducir el riesgo de compromiso, el FBI y la EPA instaron a los operadores a desconectar los PLC conectados a internet siempre que sea posible, reemplazar contraseñas predeterminadas, restringir el acceso a la red a los sistemas de control, mantener la capacidad de operar manualmente las instalaciones y revisar periódicamente la programación de los PLC en busca de cambios no autorizados. Las agencias también recomiendan planificar la sustitución de equipos envejecidos que ya no reciben actualizaciones de seguridad.
La advertencia sigue a un aviso actualizado de CISA emitido en julio, que amplió la lista de dispositivos de control industrial que se cree han sido objetivo en campañas recientes. Además de los controladores Unitronics previamente identificados, la agencia indicó que los atacantes también han mostrado interés en equipos fabricados por Rockwell Automation, Schneider Electric y Siemens. CISA ha declarado que las intrusiones observadas explotan principalmente dispositivos expuestos a internet y configuraciones de seguridad débiles, más que vulnerabilidades de software recién descubiertas.
El FBI afirmó que la investigación sobre la campaña multiestatal sigue en curso mientras las autoridades federales continúan trabajando con las compañías eléctricas afectadas para evaluar el alcance total de los ataques y reforzar las protecciones de infraestructuras hídricas críticas.