Contraseñas robadas ponen en riesgo a proveedores de agua en EE. UU. ante hackers

Un reciente estudio de la firma de ciberseguridad SpyCloud reveló que más de 1,700 proveedores de agua y aguas residuales en Estados Unidos se encuentran en riesgo de ciberataques debido a malware capaz de robar contraseñas de sus empleados y sesiones activas. Este hallazgo subraya la vulnerabilidad de las infraestructuras críticas en medio de un aumento de ataques cibernéticos.

La investigación de SpyCloud identificó una base de datos con más de 66,000 sistemas de acceso público registrados ante la Agencia de Protección Ambiental de EE. UU., que abarca aproximadamente 10,000 organizaciones. Se descubrió que el malware había robado contraseñas de 1,787 organizaciones, lo que representa casi el 20% de los proveedores analizados. Al menos 250 de estas organizaciones tenían credenciales expuestas que podrían permitir acceso a sus redes operativas y sistemas de acceso remoto, que controlan las bombas y flujos de agua.

Entre los casos analizados, se encontró que un proveedor de tecnología de medición tenía un dispositivo en su red infectado con malware que robó credenciales, incluyendo contraseñas de 167 empresas de servicios públicos de EE. UU. que dependen de este proveedor.

El director de investigaciones de SpyCloud, Jason Lancaster, destacó que este solo incidente otorgó a los criminales acceso a "cien organizaciones que, de otro modo, no estarían relacionadas".

El malware que roba contraseñas, conocido como infostealers, permite a los hackers sustraer contraseñas almacenadas y tokens de sesión que mantienen a los usuarios conectados. Estos tokens pueden permitir a un hacker iniciar sesión como si fuera el usuario legítimo, a menudo eludiendo sistemas de autenticación de múltiples factores. Los hackers suelen intercambiar credenciales robadas para obtener acceso a organizaciones específicas.

Este análisis se produce semanas después de una serie de ciberataques dirigidos a proveedores de agua en EE. UU., que el gobierno ha vinculado en privado a hackers respaldados por Irán. Sin embargo, SpyCloud no encontró evidencia de que estos ataques estuvieran relacionados con contraseñas robadas. En esos casos, los signos apuntan a debilidades de seguridad, como contraseñas predeterminadas establecidas por el fabricante en los interruptores mecánicos y controladores físicos utilizados por infraestructuras críticas.

Los investigadores señalan que las contraseñas robadas son una fuente importante de acceso para aquellos que buscan comprar o encontrar información, en paralelo a los riesgos de seguridad conocidos asociados con la tecnología de infraestructura crítica. Lancaster subrayó que el sector del agua "debe considerar ambas historias al mismo tiempo".