La guerra entre Estados Unidos e Irán tiene un nuevo frente, y pasa por las tuberías. En las últimas semanas, hackers que se cree están vinculados a los Guardianes de la Revolución de Irán han atacado sistemas de tratamiento y distribución de agua en aproximadamente una docena de estados estadounidenses, según reportajes franceses que coinciden con lo que han descrito funcionarios de EE. UU. e investigadores de seguridad. Las intrusiones han sido torpes y en su mayoría no han causado daños duraderos. Pero ese no es el punto. El punto, dicen los analistas, es la presión que generan y las elecciones que podrían estar tratando de influir.
El incidente más visible ocurrió la semana pasada en Georgia, en el condado de Clayton, donde un ciberataque provocó una caída de presión en la red de agua. Como precaución, las autoridades pidieron a los residentes hervir el agua antes de beberla. Después resultó que no había peligro y la interrupción fue descrita como mínima. Pero el episodio mostró cómo una pequeña intrusión en un sistema pequeño puede generar un gran susto, y cómo el miedo mismo se convierte en parte del ataque. Periodistas en Atlanta describieron el detalle técnico: los hackers parecen haber llegado a los controladores programables, las pequeñas computadoras que encienden y apagan las bombas y regulan el cloro en el agua. Cuando esos dispositivos están conectados a internet, se convierten en blancos.
Georgia no estuvo sola. Minnesota fue atacada primero, a fines de julio, con más de 30 sistemas comunitarios de agua que reportaron intrusiones en un solo fin de semana, el mayor ataque de este tipo en la historia del estado. Le siguió Michigan, con nueve sistemas que reportaron actividad hostil. El FBI ha dicho que las empresas de agua de al menos siete estados reportaron incidentes y que parte de la actividad degradó las operaciones. Las firmas de seguridad fueron las primeras en señalar a un grupo vinculado a Irán conocido como CyberAv3ngers, que tiene un historial de ataques a instalaciones de agua en EE. UU., incluida una autoridad de agua de Pensilvania en 2023, y que el Departamento de Estado ha vinculado con funcionarios militares iraníes mediante una recompensa de diez millones de dólares.
La respuesta en Washington no fue la que esperaba la comunidad de seguridad. El presidente Trump rechazó la teoría de Irán sin ofrecer pruebas y culpó en cambio al gobernador de Minnesota, a quien calificó de incompetente, sugiriendo que estaba detrás de los ataques. El gobernador, Tim Walz, demócrata, respondió que el presidente sabe quién es el responsable, que otros estados también fueron atacados y que los recortes a la agencia de ciberseguridad habían dejado expuesto al país. El intercambio convirtió una historia técnica en una política, lo que quizá sea exactamente lo que querían los atacantes.
La alarma más profunda viene de los investigadores que vieron venir esto. Hace dos años, un profesor del Georgia Tech advirtió a las empresas de agua del estado que sus sistemas eran vulnerables, después de que su equipo penetrara en 7.000 controladores programables con contraseñas débiles. El hecho de que un ataque tan rudimentario pudiera degradar el servicio, dijo, muestra lo poco protegido que está el sector del agua. Sostuvo que los hackers no buscan causar una catástrofe sanitaria, sino desestabilizar: si la calidad del agua se degrada y las redes se interrumpen antes de las elecciones presidenciales, el gobierno podría enfrentar dificultades, y eso podría influir en la elección del próximo presidente. Eso, dijo, es lo que intentan hacer los iraníes. Los ataques pueden ser primitivos. La estrategia detrás de ellos no lo es.
El patrón no es nuevo, solo la escala. En 2021, un hacker accedió de forma remota a una planta de tratamiento de agua en Oldsmar, Florida, y cambió brevemente la configuración química antes de que un operador interviniera. En 2023, un grupo vinculado a Irán vandalizó los sistemas de una autoridad de agua de Pensilvania después de explotar un dispositivo que estaba expuesto en internet con credenciales de acceso predeterminadas. Esos fueron incidentes aislados, tratados como advertencias. La campaña actual ha golpeado a decenas de municipios en al menos siete estados. El aviso federal menciona el hardware bajo ataque, controladores programables fabricados por Rockwell Automation y otros fabricantes, y advierte que las mismas técnicas podrían usarse contra otros sistemas industriales conectados a internet. El sector del agua está aprendiendo, estado por estado, lo que los investigadores vienen diciendo desde hace años: las tuberías nunca fueron diseñadas para ser defendidas, y la guerra las ha encontrado.
Traducido por Alessandra