Ciberataques iraníes a plantas de agua en EE.UU.: lo que se sabe hasta ahora

Desde finales de julio, diversas plantas de agua en los Estados Unidos fueron objeto de ciberataques, lo que ha causado alarma en el país. Durante años, los sistemas de agua y otras infraestructuras críticas han sido blanco de hackers, tanto de grupos respaldados por gobiernos como de individuos. Sin embargo, lo que distingue a estos ataques recientes, supuestamente perpetrados por Irán, es su amplitud, afectando a instalaciones en aproximadamente una docena de estados.

El país cuenta con más de 150,000 sistemas de agua, muchos de los cuales son operados por empresas locales. En teoría, esto debería dificultar que los hackers ataquen varias instalaciones al mismo tiempo. No obstante, las empresas que gestionan estos sistemas pueden carecer de los recursos o la experiencia en ciberseguridad necesarios para protegerse adecuadamente.

Expertos en ciberseguridad han sostenido que los hackers iraníes tienden a atacar objetivos vulnerables de forma aislada, por lo que esta campaña de hacking podría representar una escalada significativa.

A lo largo de las últimas semanas, se han producido importantes desarrollos en torno a estos ataques. Por ello, se decidió hacer un recuento de lo que se conoce hasta el momento.

¿Dónde se han producido los ataques?

El 28 de julio, las autoridades de Minnesota anunciaron que más de 30 comunidades sufrieron ciberataques coordinados en sus plantas de tratamiento de agua. Dos días después, el FBI informó que empresas de servicios de agua y aguas residuales en "al menos siete estados" reportaron incidentes, que en algunos casos "degradaron las operaciones del agua". Desde entonces, además de Minnesota, se han reportado ataques en instalaciones de agua en Arkansas, Georgia, New Jersey y Michigan.

¿Quién está detrás de los ataques?

La respuesta corta es: aún no se sabe, pero el principal sospechoso es el gobierno iraní. Hasta ahora, el gobierno de EE.UU. no ha nombrado oficialmente al culpable de esta ola coordinada de ataques.

Sin embargo, los primeros incidentes en Minnesota ocurrieron días después de que la Cybersecurity and Infrastructure Security Agency (CISA) advirtiera que hackers iraníes estaban apuntando a dispositivos conectados a Internet en sistemas de agua y el sector energético. CISA había publicado originalmente esta advertencia en abril y la actualizó antes de los ataques en Minnesota.

Después de que se descubrieron los primeros ataques en Minnesota, el expresidente Donald Trump afirmó que no creía que se tratara de un ciberataque iraní. En su lugar, culpó al estado, posiblemente porque está dirigido por el gobernador demócrata Tim Walz, quien fue elegido como candidato a vicepresidente de Kamala Harris en las elecciones de 2024.

La afirmación de Trump se produjo un día después de que Wired informara que el Water Information Sharing and Analysis Center, un grupo sin fines de lucro que distribuye información sobre ciberseguridad en el sector del agua, había comunicado a sus miembros que los ataques recientes "se alineaban" con la campaña de hacking que CISA había advertido, acusando efectivamente al gobierno iraní.

Recientemente, The Washington Post reportó que las agencias de inteligencia de EE.UU. están "seguras" de que Irán, y en particular el Cuerpo de la Guardia Revolucionaria Islámica (IRGC), son responsables de estos ataques. Sin embargo, esta atribución no se ha hecho pública, ya que las agencias no están seguras de qué unidad específica dentro del IRGC fue la responsable.

Los hackers del gobierno iraní tienen un historial de atacar infraestructuras críticas en EE.UU., y es posible que estos ataques sean parte de su estrategia de represalia contra el país debido a la guerra de seis meses.

Hasta ahora, los hackers iraníes solo habían tenido un éxito limitado en sus ciberataques contra objetivos estadounidenses. En marzo, un grupo de hacktivistas llamado Handala interrumpió las operaciones de la gigante tecnológica médica Stryker. Posteriormente, el gobierno de EE.UU. acusó a Handala de ser operado por el Ministerio de Inteligencia y Seguridad de Irán (MOIS).

¿Qué efectos han tenido los ataques?

La realidad es que algunos sistemas dentro de las instalaciones de infraestructura crítica están expuestos a Internet y son relativamente fáciles de encontrar. A principios de este mes, la firma de ciberseguridad Forescout reportó haber encontrado más de 2,800 controladores en sistemas de agua de EE.UU. expuestos en línea. Si un sistema está expuesto, no significa automáticamente que los hackers puedan tomar el control y causar efectos en el mundo real. Sin embargo, esto ha sucedido en algunos casos aislados en ataques recientes.

El FBI indicó que algunos de los ciberataques en todo el país causaron pérdida de presión, lo que "podría permitir que agua subterránea sin tratar se filtrara en las tuberías" y provocara inundaciones.

La ciudad de Braham en Minnesota, una de las primeras en reportar un incidente, tuvo que desconectar su planta de agua durante varias horas, instando a sus aproximadamente 1,700 residentes a conservar agua. La ciudad de Maple Plain, también en Minnesota, declaró brevemente un estado de emergencia. En un condado fuera de Atlanta, Georgia, las autoridades locales aconsejaron brevemente a los residentes hervir el agua antes de usarla como medida de precaución.

Sin embargo, el peor efecto puede ser psicológico. Estos ataques han sido ampliamente cubiertos en la prensa nacional y local, lo que ha generado preocupación en la población sobre la seguridad de una necesidad básica como el agua. Esto puede ser parte de los objetivos de los hackers: sembrar el pánico y el miedo.