WORLD NEWS
Hackearon el ‘mando’ de plantas de agua en al menos siete estados de EE. UU.
El FBI y la EPA informaron de ataques a controladores de servicios de agua y saneamiento en al menos siete estados desde el 27 de julio. Algunos incidentes provocaron problemas reales, como pérdida de presión e inundaciones.
Esto no significa que el agua potable de siete estados se contaminara. La alerta del 30 de julio no identificó al atacante ni afirmó que todas las plantas se detuvieran o que hubiera contaminación confirmada.
Qué es el ‘mando’ de una planta de agua
El objetivo era un pequeño ordenador industrial que mueve automáticamente bombas y válvulas. Su nombre formal es controlador lógico programable, o PLC.
El FBI observó la actividad en equipos MicroLogix 1100 y 1400 de Rockwell Automation. Eso no implica que se comprometieran todas las unidades, incluidas las aisladas de internet o protegidas.
Los atacantes cambiaron direcciones y contraseñas
Los intrusos entraron a distancia en controladores accesibles desde internet y cambiaron direcciones IP y contraseñas. Los operadores podían perder la visión y el control del equipo conectado.
Una organización también halló archivos de control modificados en varios sitios. El FBI advirtió que una configuración de red repetida por un proveedor puede extender la misma debilidad a distintos clientes.
Por qué importan la presión y las inundaciones
Entre los efectos comunicados al FBI hubo pérdida de presión e inundaciones. El daño dependió de la función de cada controlador y de la rapidez con que la planta pudo pasar al manejo manual.
Una caída fuerte de presión podría permitir que agua subterránea sin tratar entre en las tuberías. Es un riesgo posible, no una confirmación de contaminación en estos incidentes.
¿Basta con cambiar la contraseña?
La primera recomendación del FBI y la EPA es retirar los controladores de la exposición directa a internet. Si el acceso remoto es imprescindible, debe pasar por una puerta segura y un cortafuegos y limitarse a equipos autorizados.
Rockwell Automation también recomienda no conectar sus controladores directamente a internet. Contraseñas únicas, registros de acceso, listas permitidas y copias verificadas añaden protección.
La última barrera es saber operar a mano
Las agencias subrayan que una planta debe poder seguir funcionando manualmente si falla la automatización. Los cambios de emergencia, equipos de reserva y copias deben probarse de verdad.
No se hackeó el agua, sino los ordenadores que la mueven. Por eso perder una pantalla puede afectar bombas, válvulas y presión.
Fuentes primarias oficiales
Fuente primaria: FBI and EPA public service announcement, July 30, 2026
Fuente primaria: Rockwell Automation controller security advisory SD1771
Fuente primaria: EPA, FBI, CISA and NSA joint water-sector advisory