Han atacado a los responsables del agua potable de doce estados de EE. UU. entrando por la puerta que nadie cerró

· Ciberseguridad

Ilustración de una gota de agua sobre fondo oscuro, ilustrando los ciberataques a sistemas de agua potable en Estados Unidos
Imagen generada con inteligencia artificial

Actualizado el 13 de agosto de 2026: la oleada no ha parado desde que publicamos esto. Hemos actualizado el número de estados afectados, añadido lo que se ha sabido después —que los atacantes bloquearon a los propios operarios— y la recomendación oficial que emitieron CISA, el FBI y la EPA.

Desde el 27 de julio, las empresas de agua y aguas residuales de Estados Unidos vienen sufriendo incidentes de ciberseguridad que llegaron a degradar sus operaciones. Minnesota fue el epicentro: más de treinta instalaciones municipales comprometidas en una sola semana. Y desde entonces la lista no ha dejado de crecer.

Conviene distinguir dos cifras, porque no dicen lo mismo. El FBI confirmó oficialmente siete estados. Los recuentos posteriores de varios medios, basados en fuentes estatales y federales, elevan la cuenta a al menos doce, con Nueva Jersey y Alabama entre los últimos en aparecer. Esa segunda cifra no tiene confirmación oficial cerrada, así que tómala como lo que es: un recuento periodístico, no un dato del FBI.

Algunos incidentes obligaron a emitir avisos de hervir el agua antes de consumirla. Otros forzaron a pasar las plantas a funcionamiento manual, con operarios abriendo y cerrando válvulas a mano. Eso sí: no hay indicios de que el agua de consumo llegara a contaminarse en ningún caso.

Lo que sí se ha sabido después es más incómodo. En varias instalaciones los atacantes cambiaron las contraseñas de los equipos y modificaron sus direcciones IP, dejando fuera a los propios operarios de la planta. No es solo que entraran: es que echaron a quien tenía que estar dentro. Por eso algunas plantas estuvieron trabajando a mano durante días, no durante horas.

Y lo que más llama la atención de todo esto no es quién está detrás, sino lo poco sofisticado que fue entrar.

Cómo se entra en una depuradora

La técnica fue la misma en todos los casos: acceder de forma remota a los PLC, los controladores lógicos programables. Son las cajas que gobiernan físicamente una instalación — abren válvulas, arrancan bombas, dosifican el cloro.

Ya se sabe incluso qué modelos concretos buscaban: sobre todo los MicroLogix 1100 y 1400 de Rockwell Automation —la marca Allen-Bradley—, aunque también hay equipos de Siemens y Schneider Electric entre los afectados. No es casualidad: son modelos veteranos, muy extendidos en instalaciones municipales pequeñas.

¿Y cómo se llega hasta ellos desde el otro lado del mundo? Porque estaban conectados directamente a internet, accesibles desde cualquier sitio, muchos con configuraciones de fábrica.

No hubo un ataque brillante. Hubo una puerta abierta.

Las autoridades apuntan a actores vinculados al Gobierno iraní, aunque no hay atribución oficial cerrada y las propias autoridades locales insisten en que todavía no hay pruebas concluyentes. CISA, el FBI, la EPA y la NSA ya habían advertido en abril de una «amenaza urgente y continua» contra este tipo de infraestructuras. El aviso estaba dado.

Qué han pedido que se haga

El 30 de julio, CISA, el FBI y la EPA emitieron una alerta conjunta con una instrucción muy concreta: desconectar de internet cualquier PLC accesible y, si hace falta acceso remoto, hacerlo a través de una VPN o de una pasarela con autenticación de por medio.

Fíjate en que la recomendación no es «poned un antivirus mejor» ni «comprad un cortafuegos más caro». Es quitar de internet lo que no tiene por qué estar en internet. Que es, exactamente, lo mismo que puedes hacer tú en tu casa.

Por qué pasa esto en instalaciones críticas

Cuesta de creer que el agua de una ciudad dependa de un aparato expuesto a internet. Pero hay motivos, y ninguno es la maldad ni la estupidez:

  • Son sistemas viejos. Muchos PLC se instalaron cuando conectarlos a internet no estaba en la ecuación. Se diseñaron para redes aisladas.
  • La comodidad ganó. Poder revisar la planta desde casa un domingo es muy práctico. Y cada vez que alguien abre un acceso remoto «temporal», suele quedarse.
  • Son ayuntamientos pequeños. Una depuradora municipal no tiene departamento de seguridad informática. Tiene un técnico que hace de todo.
  • Y actualizar da miedo. Parchear un servidor es rutina; parchear el sistema que controla el suministro de agua de veinte mil personas, si se cuelga, es un problema serio. Así que se pospone.

Ese último punto no es exclusivo de las depuradoras. Es el mismo motivo por el que tanta gente aplaza las actualizaciones de su ordenador, y lo contamos con números en el artículo sobre los más de 400 fallos que acaba de tapar Windows: el fallo grave suele estar parcheado desde hace semanas, y aun así sigue funcionando.

Lo mismo, en tu casa

Cambia «PLC de una depuradora» por «cámara del salón» y tienes exactamente el mismo problema a otra escala.

Cuando un aparato de tu casa es accesible desde internet —para verlo desde el móvil cuando estás fuera— deja de estar protegido por tu router y pasa a estar expuesto al mundo entero. Y hay buscadores dedicados a catalogar dispositivos abiertos: no hace falta que nadie te elija como objetivo, basta con aparecer en una lista.

Los sospechosos habituales en una vivienda son las cámaras de vigilancia, los videoporteros, los discos en red, los sistemas de domótica y, cada vez más, los robots aspiradores con cámara.

Cómo saber si tienes algo expuesto

  1. Mira si abriste puertos en el router. Busca «apertura de puertos», «port forwarding» o «servidor virtual». Si hay reglas que no recuerdas haber creado, ahí tienes aparatos accesibles desde fuera.
  2. Desactiva el UPnP si no lo necesitas. Es una función que permite a los propios aparatos abrirse puertos solos, sin preguntarte. Cómoda y peligrosa a partes iguales.
  3. Usa la aplicación del fabricante en vez de acceso directo. Ver la cámara a través de su nube es menos arriesgado que exponerla a internet, aunque te fíes menos del fabricante.
  4. Cambia las contraseñas de fábrica de todo lo que tenga panel de configuración. Lo contamos en detalle en el artículo sobre el fallo de Cisco, que va exactamente de esto.
  5. Y si un aparato ya no recibe actualizaciones, plantéate jubilarlo. Una cámara de 2018 sin soporte es una puerta que nadie va a volver a cerrar.

Lo que este caso demuestra

Se habla de los ciberataques como si fueran una película: encapuchados, código verde cayendo por la pantalla, contrarreloj. La realidad de estos incidentes es mucho más aburrida y bastante más inquietante.

Nadie forzó nada. Buscaron aparatos accesibles, los encontraron, y entraron. El trabajo difícil lo había hecho ya quien dejó esos equipos conectados y sin tocar durante años.

Y dos semanas después la cuenta sigue subiendo, que es la parte que de verdad cuesta digerir: no es un incidente que ocurrió, es uno que todavía está ocurriendo.

Es la misma razón por la que merece la pena dedicar veinte minutos al router de casa. No porque alguien vaya a por ti, sino porque los ataques automáticos no eligen: recorren, encuentran y entran.

Fuentes