Malware que roba contraseñas deja expuestos a 1,787 proveedores de agua en EE. UU.

Los hallazgos subrayan cuán fácilmente pueden ser comprometidos los proveedores de agua y otra infraestructura crítica, en medio de una ola de hackeos dirigidos a los suministros de agua en decenas de comunidades de Estados Unidos. Aunque el malware que roba contraseñas no es nuevo, la investigación muestra cómo las credenciales robadas les dan a los hackers una vía fácil hacia la red de una organización sin necesidad de usar herramientas de IA. SpyCloud construyó una base de datos de más de 66,000 sistemas de cara al público registrados ante la Agencia de Protección Ambiental de Estados Unidos (EPA), que abarcan 10,000 organizaciones. La firma encontró que un malware ladrón de contraseñas había sustraído contraseñas y credenciales de 1,787 de esas organizaciones, casi 2 de cada 10 proveedores revisados. La firma señaló que al menos 250 organizaciones tenían credenciales expuestas que parecían permitir acceso a sus redes operativas y sistemas de acceso remoto, los cuales controlan bombas físicas y flujos de agua.

El análisis incluyó a un proveedor de tecnología de medición no identificado que tenía un dispositivo en su red infectado con malware ladrón de contraseñas. Ese malware robó grandes cantidades de credenciales, incluidas contraseñas de 167 empresas de servicios públicos de EE. UU. que dependen del proveedor de tecnología de medición. El director de investigaciones de SpyCloud, Jason Lancaster, dijo que esa única brecha les entregó a los delincuentes “las llaves de acceso a un centenar de organizaciones que de otro modo no tendrían relación entre sí”. El malware de tipo infostealer permite a los hackers robar las contraseñas almacenadas de una persona, así como los tokens de sesión que la mantienen conectada, tokens que pueden permitir a un hacker iniciar sesión como si fuera el usuario legítimo y, a menudo, sortear la autenticación multifactor. Los hackers suelen intercambiar credenciales robadas para obtener acceso a organizaciones específicas.

La investigación llega semanas después de una serie de hackeos dirigidos a proveedores de agua en EE. UU. que el gobierno estadounidense ha vinculado de forma extraoficial a hackers respaldados por Irán. SpyCloud dijo que no encontró evidencia de que esos hackeos vinculados a Irán se apoyaran en contraseñas robadas; en cambio, los indicios apuntan a debilidades de seguridad, como contraseñas predeterminadas de fábrica en los interruptores mecánicos y controladores físicos que usa la infraestructura crítica, lo que coincide con hallazgos previos de la agencia de ciberseguridad estadounidense CISA. Más bien, los investigadores afirman que las contraseñas robadas son una fuente de acceso distinta y considerable, disponible para “quien quiera comprarlas o encontrarlas”. Lancaster dijo que el sector del agua “tiene que sostener las dos historias a la vez”.

Por qué importa

Los hallazgos muestran dos debilidades distintas pero superpuestas —el robo masivo de credenciales y las configuraciones predeterminadas de hardware obsoleto— que dejan expuesta a la infraestructura del agua, lo que significa que una sola solución, como corregir las contraseñas predeterminadas, no cerrará la brecha.