Lo que se sabe sobre los presuntos ciberataques iraníes contra servicios de agua en EE. UU.

Una ola de ciberataques ha golpeado a proveedores de agua en todo EE. UU. desde finales de julio, generando alarma pese a que los sistemas de agua y otras infraestructuras críticas llevan tiempo siendo blanco de hackers, ya sea respaldados por gobiernos o no. Lo que hace especialmente preocupante esta campaña —presuntamente llevada a cabo por Irán— es su amplitud, con blancos en cerca de una docena de estados. Los expertos en ciberseguridad han sostenido durante mucho tiempo que los hackers iraníes suelen atacar objetivos fáciles en ataques oportunistas y aislados, por lo que una campaña tan coordinada podría representar una escalada significativa.

El 28 de julio, las autoridades de Minnesota informaron que plantas de tratamiento de agua en más de 30 comunidades habían sido atacadas mediante ciberataques coordinados. Dos días después, el FBI dijo que servicios de agua y aguas residuales en al menos siete estados habían reportado incidentes, algunos de los cuales degradaron las operaciones de agua, incluida una pérdida de presión que podría potencialmente permitir que agua subterránea sin tratar se filtrara en las tuberías, además de inundaciones. Más allá de Minnesota, desde entonces se han reportado ataques contra instalaciones de agua en Arkansas, Georgia, Nueva Jersey y Michigan; la localidad de Braham, en Minnesota, sacó de servicio su planta de agua durante unas horas y pidió a sus cerca de 1700 residentes que ahorraran agua, mientras que un condado cercano a Atlanta, en Georgia, pidió a sus residentes que hirvieran el agua como medida de precaución.

Nadie ha señalado oficialmente a un responsable, pero el principal sospechoso es el gobierno iraní. Los primeros incidentes en Minnesota se produjeron días después de que la Agencia de Ciberseguridad e Infraestructura de EE. UU. actualizara una advertencia de abril sobre hackers iraníes que estaban atacando dispositivos conectados a internet en sistemas de agua y en el sector energético. Tras los ataques, el presidente Trump dijo que no creía que “hubiera habido un ciberataque iraní” y en su lugar culpó al estado —un día después de que Wired reportara que el Centro de Intercambio y Análisis de Información sobre el Agua había dicho a sus miembros que los ataques coincidían con la advertencia de la CISA—. Esta semana, The Washington Post reportó que agencias de inteligencia de EE. UU. confían en que Irán, específicamente el Cuerpo de la Guardia Revolucionaria Islámica, es el responsable, aunque la atribución aún no es pública porque los funcionarios no están seguros de qué unidad específica del Cuerpo estuvo involucrada, y podrían mostrarse reacios a contradecir a Trump.

La firma de ciberseguridad Forescout reportó haber hallado más de 2800 controladores de sistemas de agua expuestos a internet a principios de este mes, de un total de más de 150 000 sistemas de agua en todo el país —una exposición que no garantiza que los hackers puedan tomar el control, aunque eso ha ocurrido en algunos casos recientes. Quizás el efecto más significativo hasta ahora ha sido psicológico: los ataques, ampliamente cubiertos por los medios, han dejado a la gente preocupada por la seguridad de una necesidad básica, que podría ser exactamente lo que buscaban los hackers.

Por qué importa

La campaña deja en evidencia lo expuesta que está la infraestructura de agua de EE. UU., fragmentada y con recursos limitados, ante atacantes que históricamente han recurrido a blancos fáciles —y muestra cómo, en medio de un conflicto geopolítico activo, la atribución puede convertirse tanto en una cuestión política como técnica.