FBI alerta sobre ciberataques a sistemas de agua en 7 estados

El FBI ha emitido una advertencia urgente tras ciberataques que afectaron a servicios públicos de agua potable y aguas residuales en al menos siete estados de EE. UU., interrumpiendo operaciones y provocando avisos de hervir el agua en algunas comunidades. Según un Anuncio de Servicio Público publicado el 30 de julio de 2026, los ataques comenzaron el 27 de julio y ya han degradado las operaciones de agua, aumentando las alarmas sobre la vulnerabilidad de la infraestructura crítica estadounidense.

Alcance e impacto de los ataques

El FBI no reveló qué estados fueron afectados, pero confirmó que los incidentes involucraron acceso no autorizado a controladores lógicos programables (PLC) y otros dispositivos de tecnología operativa (OT) expuestos a Internet. En varios casos, las intrusiones fueron lo suficientemente graves como para activar avisos de hervir el agua, lo que significa que se instó a los residentes a hervir el agua del grifo antes de beber o cocinar. La ciberseguridad de infraestructuras críticas se ha convertido en una prioridad de seguridad nacional a medida que los actores de amenazas apuntan cada vez más a los servicios públicos.

NBC News informó que el mismo día que se hizo pública la advertencia del FBI, Minnesota sufrió ciberataques en más de 30 sistemas municipales de agua. Funcionarios anónimos dijeron que los ataques tenían "las huellas de la participación iraní", señalando una campaña sofisticada y coordinada.

Conexión iraní y consecuencias políticas

El FBI ya había advertido una semana antes que grupos de piratas informáticos respaldados por Irán estaban investigando activamente la infraestructura crítica de EE. UU., incluidos los sistemas de agua. Un aviso conjunto del FBI, CISA, EPA y otras agencias vinculó la actividad al Comando Cibernético y Electrónico del Cuerpo de la Guardia Revolucionaria Islámica de Irán (IRGC-CEC), en particular al grupo CyberAv3ngers/Shahid Kaveh. Estos actores han estado explotando PLC de fabricantes como Rockwell Automation, Schneider Electric y Siemens para manipular pantallas operativas e interrumpir procesos.

El presidente Trump, sin embargo, desestimó públicamente la inteligencia, negando la participación iraní y culpando al gobernador de Minnesota, Tim Walz, un destacado demócrata. Esta división entre la Casa Blanca y las agencias federales de seguridad profundizó las preocupaciones sobre la capacidad del gobierno para montar una respuesta unificada. Amenaza cibernética iraní a la infraestructura de EE. UU. ha sido un tema recurrente en las evaluaciones de inteligencia, pero la falta de cohesión política podría obstaculizar los esfuerzos de mitigación.

Cómo operaron los atacantes

Los ciberactores apuntaron a PLC conectados directamente a Internet sin la autenticación adecuada. Una vez dentro, ellos:

• Descargaron y reemplazaron archivos de proyecto legítimos con versiones maliciosas
• Manipularon las pantallas de interfaz hombre-máquina (HMI) y SCADA para mostrar lecturas falsas
• Causaron que bombas, válvulas y sistemas de dosificación química se comportaran erráticamente
• Activaron alarmas y paradas de emergencia, abrumando a los operadores de la planta

Estas técnicas, detalladas en un aviso de CISA (AA26-097A), destacan cómo el acceso remoto inseguro puede permitir que adversarios de estados-nación inflijan daños físicos sin poner un pie dentro de una instalación.

Respuesta del gobierno y la industria

El FBI instó a todos los servicios públicos de agua a desconectar inmediatamente cualquier equipo OT expuesto a Internet, incluidos PLC, HMI y sistemas SCADA, e implementar autenticación multifactor y segmentación de red. La Agencia de Protección Ambiental (EPA) también ha comenzado a coordinar con los reguladores estatales para evaluar el cumplimiento de las mejores prácticas de ciberseguridad.

Grupos industriales como el Centro de Análisis e Intercambio de Información sobre el Agua (WaterISAC) han emitido alertas y están compartiendo indicadores de compromiso (IOC) para ayudar a los operadores a detectar intrusiones. Varias empresas afectadas han contratado equipos de respuesta a incidentes y forense para investigar el alcance total del compromiso.

Preguntas frecuentes: Lo que necesita saber

¿Qué estados fueron afectados por los ciberataques al agua?

El FBI no ha nombrado públicamente los siete estados, pero NBC confirmó que Minnesota fue uno de ellos. Es probable que otros estados incluyan aquellos con sistemas de agua rurales más pequeños que a menudo carecen de ciberseguridad robusta.

¿Es segura el agua del grifo para beber?

Si vive en un área afectada, siga los avisos oficiales de hervir el agua. Los ataques interrumpieron principalmente los controles operativos, pero en algunos casos pueden haber afectado la calidad del agua. Siempre verifique los anuncios de la empresa de agua local.

¿Quién está detrás de los ataques?

La inteligencia de EE. UU. apunta a grupos afiliados a Irán, específicamente CyberAv3ngers del IRGC-CEC, aunque la Casa Blanca lo ha disputado. Las investigaciones están en curso.

¿Qué deben hacer los servicios de agua para protegerse?

El FBI y CISA recomiendan desconectar los PLC expuestos a Internet, usar VPN con MFA, monitorear puertos de red OT (44818, 2222, 102, 502) y aplicar parches. Hay recursos gratuitos disponibles en el sitio Stop Ransomware de CISA.

¿Ha sucedido esto antes?

Sí. En 2021, un hacker intentó envenenar una planta de tratamiento de agua de Florida alterando los niveles químicos. Desde entonces, los ataques a los sistemas de agua han aumentado, con actores iraníes apuntando cada vez más a los activos OT.