Hackers extranjeros vulneraron los sistemas operativos de dos pequeñas empresas de agua en Colorado y manipularon equipos utilizados para gestionar su infraestructura. Funcionarios estatales afirman que los incidentes se contuvieron sin afectar la calidad del agua potable, el tratamiento del agua ni la seguridad pública.
Los ataques ocurrieron a finales de agosto e involucraron a dos proveedores privados de agua, cada uno atendiendo a menos de 200 personas. Las autoridades de Colorado no han identificado las compañías ni han revelado su ubicación, pero confirmaron que actores no autorizados accedieron a los sistemas implicados en sus operaciones.
Según la oficina del gobernador de Colorado, Jared Polis, los atacantes cambiaron la configuración del equipo, desactivaron el acceso remoto y las alarmas, y modificaron los ciclos de bombeo. A pesar de estas acciones, las autoridades dijeron que los clientes no experimentaron interrupciones en los servicios de agua y que los proveedores afectados pudieron resolver los problemas rápidamente.
Cómo entraron inicialmente los atacantes en los sistemas sigue siendo desconocido públicamente. Las autoridades no han identificado el equipo o software afectado, y no se ha relacionado ninguna vulnerabilidad específica a las intrusiones.
Las autoridades de Colorado han descrito a los responsables como actores extranjeros, pero no han atribuido los incidentes a un país o grupo de hackers en particular. La oficina del gobernador señaló que las autoridades conocen hackers respaldados por Irán que atacan infraestructuras de agua potable y aguas residuales en otras partes de Estados Unidos, pero no ha confirmado ninguna conexión entre esas campañas y los ataques de Colorado.
Las brechas ponen de manifiesto los riesgos que rodean a la tecnología operativa, que se utiliza para controlar equipos físicos en lugar de limitarse a almacenar información. En las instalaciones de agua, estos sistemas pueden gestionar bombas, válvulas, presión y otros procesos necesarios para suministrar agua.
El equipo industrial accesible por Internet ha atraído cada vez más la atención de los atacantes porque las conexiones remotas mal aseguradas pueden proporcionar una vía de acceso a entornos operativos. Las autoridades federales de ciberseguridad han aconsejado repetidamente a los proveedores de agua identificar controladores expuestos directamente a internet y restringir el acceso remoto innecesario.
Las compañías eléctricas más pequeñas pueden enfrentarse a dificultades adicionales porque a menudo operan con personal y presupuestos limitados en ciberseguridad, dependiendo de equipos industriales conectados. Por tanto, incluso una instalación que atiende a un número reducido de clientes puede ser un objetivo atractivo cuando sus sistemas operativos son accesibles de forma remota.
Las autoridades de Colorado están comunicándose con otros proveedores de agua tras los incidentes y animando a los operadores a revisar sus defensas, aplicar las actualizaciones de seguridad disponibles y reducir la exposición innecesaria a internet.
Los investigadores no han identificado públicamente a los hackers, su país de origen ni la técnica utilizada para obtener el acceso inicial. Por ahora, las autoridades afirman que las dos intrusiones fueron detectadas y abordadas antes de que los atacantes pudieran interrumpir el suministro de agua, alterar procesos de tratamiento o crear una amenaza conocida para la seguridad del agua potable.