Más de 30 comunidades de Minnesota vieron sus servicios de agua y aguas residuales interrumpidos por un ciberataque coordinado el domingo y lunes, anunció el martes la oficina de tecnología del estado.

Entre ellas se encontraba la ciudad de Braham, una comunidad de 1.700 personas que se autodenomina la “Capital del pastel casero de Minnesota”. Los funcionarios de Braham anunciaron el lunes por la mañana en el sitio web de la ciudad que su planta de agua estaba “fuera de servicio por una razón desconocida” y pidieron a sus residentes que minimizaran el uso de agua porque la torre de agua de la ciudad solo contenía una “cantidad limitada”. Un segundo aviso más tarde ese día señalaba que la planta estaba nuevamente en funcionamiento, explicando que la interrupción había sido el resultado de “un ciberataque malicioso a sistemas operativos computarizados por parte de actores desconocidos”.

Un portavoz de Plymouth, un suburbio de Minneapolis de unos 80.000 habitantes, explicó en un correo electrónico que la división de TI de la ciudad «desconectó el equipo afectado de la red para detener el ciberataque y evitar cualquier posible redireccionamiento mientras se reconfigura el equipo». En el caso de Plymouth, el ataque se limitó a “equipos conectados mediante comunicaciones celulares” en dos torres de agua de la ciudad y “múltiples” estaciones de bombeo. Como en otras comunidades, el funcionario dijo que la calidad del agua no se vio afectada: «el agua es segura y no hay necesidad de que el público ajuste el consumo».

Minnesota Information Technology Services, la agencia estatal de tecnología, dijo que sus esfuerzos de respuesta han incluido «compartir inteligencia sobre amenazas, brindar orientación sobre los esfuerzos de respuesta y mejores prácticas, y ayudar a las empresas de servicios públicos afectadas a contener, investigar y remediar los daños del ataque». La agencia dijo que está trabajando con muchas otras agencias, incluidos sus propios departamentos de salud y seguridad pública, y un centro de fusión estatal, junto con agencias federales como la Agencia de Seguridad de Infraestructura y Ciberseguridad, la Agencia de Protección Ambiental y el FBI. John Israel, director de seguridad de la información de Minnesota, se cita en un comunicado de prensa diciendo que la “respuesta de todo el gobierno” funcionó según lo previsto, ayudando a “prevenir impactos más graves en servicios críticos”.

El gobierno del estado de Minnesota y varios gobiernos locales contactados para esta historia se negaron a comentar quién atacó las empresas de agua del estado, aunque Irán es una suposición razonable. CISA y una cohorte de otras agencias federales actualizadas la semana pasada un aviso Advirtiendo “urgentemente” a la nación sobre los continuos intentos de grupos de piratas informáticos iraníes, como CyberAv3ngers, de atacar dispositivos de tecnología operativa conectados a Internet, incluidos controladores lógicos programables. Esa advertencia “debería dar a todos combustible para la pesadilla”, dijo Joshua Corman, ejecutivo residente en el Instituto de Seguridad y Tecnología, un grupo de expertos sin fines de lucro centrado en cuestiones de seguridad nacional y estabilidad global.

También estaban los Huelgas estadounidenses este mes a lo largo de la costa sur de Irán, cerca del Estrecho de Ormuz, que destruyó una instalación de agua y cortó el acceso al agua a más de 20.000 personas cuando las temperaturas subieron por encima de los 100 grados Fahrenheit. Al día siguiente, el grupo de hackers Hanzala afirmó que tenía Violó los sistemas de servicios públicos de agua en varias ciudades de California, incluidas Bakersfield, Chico, Salinas y Stockton, como advertencia a Washington. El grupo dijo que esta vez se había abstenido de interrumpir el suministro de agua de las comunidades de California.

“Tenemos al menos dos [adversaries] cuya motivación no es robar información o monetizar su acceso, sino más bien perturbar y destruir en el momento y lugar que elijan”, Corman, que dirige una iniciativa en IST llamada Ininterrumpible27cuyo objetivo es ayudar a las empresas de agua a mejorar su preparación, dijo en una entrevista. «Estamos en un lugar nuevo donde siempre fuimos propensos, siempre fuimos presas, pero ahora tienen apetito por alterar y destruir». Corman dijo que es poco probable que el otro adversario clave, China, ordene a su ejército envenenar a los estadounidenses pirateando plantas acuáticas, “pero un depredador diferente sí podría hacerlo”.

TJ Sayers, director senior de inteligencia de amenazas en el Centro para la Seguridad de Internet, una organización sin fines de lucro, afirmó que los ataques de Minnesota aún no se han atribuido a ninguna parte en particular y que “no está claro” si los ataques involucraron a los controladores lógicos programables sobre los que advirtió CISA. “Se espera que la actividad cibernética ofensiva de esta naturaleza se acelere enormemente en el corto plazo con el lanzamiento continuo de modelos de inteligencia artificial de vanguardia, y se espera una meseta en el mediano y largo plazo a medida que esos mismos modelos se utilicen para reforzar el código de infraestructura nuevo y existente”, escribió Sayers en un comunicado enviado por correo electrónico. Sayers también señaló que, de los numerosos ataques de Estados-nación a instalaciones de agua estadounidenses en los últimos años, ninguno ha documentado «impactos importantes para la salud aguas abajo».

Las empresas de agua de Estados Unidos son una red altamente distribuida de entre 150.000 y 170.000 sistemas, muchos de ellos pequeños, rurales y con pocos recursos para defenderse contra ataques cibernéticos u otras perturbaciones. En 2024, la EPA advirtió que más del 70% de los sistemas de agua no cumplían con una disposición de una ley de 2018 que les exigía desarrollar o actualizar evaluaciones de riesgos y planes de respuesta a emergencias, y certificarlos ante la agencia ambiental. Una auditoría de 1.000 sistemas de agua que abastecen a 193 millones de personas encontró 97 sistemas con vulnerabilidades críticas o de alto riesgo.

El simulacro cibernético nacional, un evento anual organizado por la Oficina de Respuesta a Emergencias Hídricas y Ciberseguridad de la EPA, que está diseñado para impulsar la preparación para emergencias, registró este mes «una tasa de participación realmente pequeña», dijo Corman, el ejecutivo de IST. Dijo que el evento preguntó a los participantes quiénes podrían operar sus instalaciones durante un día sin sus sistemas de Supervisión, Control y Adquisición de Datos, o SCADA, los sistemas utilizados para monitorear y controlar remotamente sus plantas. La respuesta, dijo, fue «no tantos».

Como muchas empresas de agua siguen sin estar preparadas, los atacantes se están equipando con herramientas más poderosas. Corman dijo que los modelos fronterizos de IA están permitiendo a grupos malévolos diseñar planes de ataque sorprendentemente plausibles que podrían llevarse a cabo contra empresas de servicios públicos que, para empezar, habían sido superadas. Instó al público y a los formuladores de políticas a actualizar sus modelos mentales de lo que es posible: «Tenemos la suposición poco saludable y errónea de que nuestras cosas no están conectadas a Internet. Y no es simplemente agua. El agua es vida». Corman dijo que está especialmente preocupado por cómo un ataque contra una empresa de agua podría afectar a los hospitales comunitarios, grandes consumidores de agua que podrían quedarse sin reservas en “dos a cuatro horas”: “Muchas personas podrían morir muy rápidamente en los hospitales que dependen de esa agua”.