Lo que empezó como un incidente local en Minnesota se ha convertido en la campaña coordinada contra infraestructura crítica más seria del año en Estados Unidos. Los ataques contra los sistemas de agua potable y saneamiento ya no afectan a un solo estado: al menos siete están implicados, y la primera respuesta política con dinero encima de la mesa acaba de llegar desde Nueva York, con más de 9 millones de dólares repartidos entre 153 sistemas de agua.
Treinta depuradoras atacadas en cuarenta y ocho horas
El punto de partida está fechado: los días 26 y 27 de julio, atacantes golpearon la tecnología operacional (OT) de más de 30 sistemas comunitarios de agua en Minnesota. Los Servicios Informáticos del estado activaron el protocolo de respuesta a incidentes de ámbito estatal, algo que no se hace por una avería cualquiera.
Entre las localidades afectadas figuran Braham, Plymouth, South St. Paul y Maple Plain. El caso más grave fue el de Braham: los atacantes apagaron los controles de operación, lo que detuvo el pozo y la planta de tratamiento, y el municipio tuvo que sacar la instalación de servicio temporalmente. En el resto, las funciones de control automático se vieron interrumpidas y hubo que recurrir a procedimientos manuales de contingencia.
El mensaje oficial ha sido insistente en un punto: la potabilidad del agua nunca estuvo comprometida. Es cierto, y conviene repetirlo. Pero también es cierto que ese matiz no consuela demasiado cuando un tercero remoto es capaz de parar una planta de tratamiento desde el otro lado del mundo.
De un estado a siete
La campaña no se quedó en Minnesota, como era previsible. Michigan ha confirmado oficialmente actividad maliciosa en «un pequeño número» de comunidades, insistiendo en que todos los sistemas siguieron funcionando con seguridad. Rapid City, en Dakota del Sur, comunicó un incidente en una de sus estaciones de bombeo de aguas residuales. Y según ABC News, Georgia también está en la lista. Los nombres de los demás estados afectados siguen sin hacerse públicos.
Por qué todos los dedos apuntan a Irán
El Gobierno estadounidense no ha atribuido formalmente los ataques, pero la sospecha es unánime en el sector. Los investigadores federales llevan días examinando la posible implicación iraní, y un informe del Centro de Fusión de Minnesota —distribuido por WaterISAC con marca TLP:Amber, es decir, no destinado a difusión pública— concluye que la actividad está «alineada» con campañas previamente vinculadas por Washington a Irán.
No sería la primera vez. Los grupos iraníes tienen un historial largo de ataques contra sistemas de control industrial, incluidas instalaciones de agua en Israel comprometidas a través de routers celulares vulnerables. Y ahí está la pista técnica más reveladora de esta campaña: uno de los municipios de Minnesota precisó que el incidente se limitó a «equipos conectados mediante comunicaciones celulares».
El agujero: autómatas colgados directamente de internet
El 30 de julio, CISA publicó una alerta que describe el patrón con crudeza. La agencia observa «un aumento significativo» de actores que atacan autómatas programables (PLC) en el sector del agua. El método no es sofisticado: cambian las contraseñas para dejar fuera a los operadores y desconectan los PLC modificando su dirección IP. El resultado ha sido avisos de hervir el agua y operación manual sostenida durante días.
La firma Censys calcula que hay unos 10.000 autómatas de Rockwell, Siemens y Schneider expuestos a internet. Y CISA añade un detalle incómodo para las organizaciones que se creen a salvo: buena parte de esas conexiones son módems celulares instalados por operadores, proveedores o integradores que jamás llegaron al inventario de activos ni aparecen en los escaneos rutinarios de superficie de ataque.
Las tres medidas que pide CISA
- Desconectar el PLC de internet. El acceso remoto debe pasar por VPN o pasarela, nunca directamente al autómata.
- Activar contraseñas y cambiar las de fábrica. Sigue siendo, en 2026, el consejo más repetido y más ignorado.
- Limitar el acceso por lista blanca de IP, restringido a portátiles de ingeniería conocidos y otros activos OT críticos.
La agencia recomienda además asegurarse de tener una copia limpia de la imagen del PLC antes de desconectarlo, precisamente por si alguien ya cambió la contraseña.
Nueva York paga por adelantado
La gobernadora Kathy Hochul anunció el lunes el reparto de más de 9 millones de dólares a través del programa SECURE, destinados a evaluaciones de ciberseguridad y a implantar mejoras en 153 sistemas de agua potable y saneamiento. Las cuantías llegan hasta 50.000 dólares por evaluación y 100.000 por implantación, con asistencia técnica gratuita añadida.
El dinero sirve para que las empresas municipales cumplan las normas mínimas que el estado introdujo en marzo: formación obligatoria para operadores certificados, notificación de incidentes, protecciones basadas en riesgo y la designación de un responsable de ciberseguridad en los sistemas más grandes. «Estas amenazas son reales y van a más», dijo Hochul. Ninguna instalación neoyorquina ha sido vinculada públicamente a la campaña; el gasto es preventivo.
La lectura para este lado del Atlántico
Conviene no leer esto como un problema estadounidense. El perfil de la víctima —una empresa municipal pequeña, con OT gestionada mediante herramientas de acceso remoto de consumo o interfaces de controlador expuestas— se repite en toda Europa, y desde luego en España, donde miles de abastecimientos dependen de ayuntamientos con presupuestos ajustados y sin personal de seguridad dedicado.
La directiva NIS2 obliga ya a estas entidades a elevar su nivel, pero el cumplimiento sobre el papel no desconecta un autómata de internet. La lección de Minnesota es que un objetivo blando puede tener consecuencias públicas enormes, y que el inventario de activos —saber qué módem instaló hace seis años un integrador externo— es hoy una medida de seguridad de primer orden.
