Tras los ciberataques dirigidos a más de 30 sistemas municipales de agua en Minnesota, el FBI y la EPA han emitido una advertencia a los propietarios y operadores de infraestructuras críticas: actores maliciosos están atacando dispositivos de tecnología operativa utilizados en instalaciones de agua y aguas residuales.

Desde el 27 de julio, empresas de agua y aguas residuales de siete estados han reportado incidentes al FBI; algunos de ellos provocaron una degradación del servicio, según informaron las agencias en un comunicado de servicio público.

Los efectos operativos comunicados al FBI incluyen pérdida de presión e inundaciones, añadió el anuncio. La pérdida de presión en los sistemas de agua podría permitir que aguas subterráneas no tratadas se filtren en las tuberías, explicaron las agencias.

Uno de los objetivos principales son los controladores lógicos programables (PLC) de Rockwell Automation/Allen-Bradley, particularmente las series MicroLogix 1100 y 1400. Cuando estos PLC están expuestos a Internet, los atacantes pueden alterar remotamente la configuración de los dispositivos.

Una vez que los atacantes obtienen acceso a un PLC, pueden modificar su dirección IP y su contraseña, lo que resulta en la pérdida de visibilidad y, en algunos casos, de la funcionalidad de los equipos conectados en las instalaciones afectadas. El FBI también informó que una organización descubrió archivos de proyecto de PLC modificados tras detectar discrepancias en la lógica de escalera (*ladder logic*) en múltiples ubicaciones.

Una tendencia creciente.

Los ataques a instalaciones de agua y aguas residuales parecen ser una tendencia creciente. «El público estadounidense debe ser consciente de los ciberataques que pueden afectar su vida cotidiana, sin necesidad de sentir temor ante ellos», señaló Andrew Chipman, director de GRC e ISO en ProCircular, una firma de consultoría de ciberseguridad con sede en Coralville, Iowa.

«El agua, la electricidad, Internet… estos servicios son objeto de ataques cada vez más frecuentes por parte de naciones extranjeras, ciberdelincuentes con afinidades ideológicas y activistas», declaró. «La razón es que son objetivos fáciles —rara vez protegidos adecuadamente— y generan un gran impacto en las ciudades afectadas».

Además, señaló que «los PLC son notoriamente difíciles de actualizar con parches y los fabricantes no ofrecen actualizaciones con la frecuencia necesaria».

Los PLC atraen a los atacantes porque controlan directamente procesos físicos, lo que permite que los ciberataques tengan consecuencias en el mundo real, como interrupciones del servicio o daños en los equipos, explicó David Kertai, asistente de investigación de la Information Technology & Innovation Foundation (ITIF), un centro de estudios sobre ciencia y tecnología con sede en Washington D. C.

«Muchas instalaciones de agua y aguas residuales todavía dependen de PLC antiguos diseñados para garantizar la fiabilidad más que la ciberseguridad», declaró. «A menudo, estos sistemas carecen de mecanismos sólidos de autenticación, cifrado y controles de acceso modernos, lo que los convierte en puntos de entrada atractivos para los adversarios».

Cambio de tácticas.

Kertai señaló que los ataques dirigidos a infraestructuras críticas han aumentado a medida que los adversarios perciben que muchos sistemas de agua y aguas residuales siguen dependiendo de tecnología obsoleta y, con frecuencia, cuentan con recursos limitados de ciberseguridad.

«Las empresas de servicios públicos han adoptado herramientas digitales para la supervisión remota, la automatización y la eficiencia operativa, mejorando así el rendimiento pero ampliando también el número de sistemas que requieren protección», explicó. «Muchas instalaciones siguen utilizando equipos antiguos que no fueron diseñados para resistir las ciberamenazas actuales, lo que genera oportunidades tanto para actores estatales como para ciberdelincuentes».

El panorama de amenazas para los entornos de tecnología operativa (OT) y sistemas de control industrial (ICS) ha superado un umbral crítico, sostuvo James Maude, director de tecnología (CTO) de campo en BeyondTrust, empresa con sede en Carlsbad (California) que desarrolla soluciones de gestión de cuentas privilegiadas y de vulnerabilidades.

«El año pasado, varios grupos de amenazas pasaron de la fase de reconocimiento a mapear activamente los sistemas de control industrial para comprender cómo provocar efectos físicos», comentó. «También estamos observando que los grupos de *ransomware* muestran un gran interés en los entornos OT y comienzan a especializarse en ellos».

«No solo está aumentando el número de actores de amenazas», afirmó, «sino que también se está incrementando la sofisticación de los ataques».

«Los servicios públicos municipales con recursos limitados se han convertido en objetivos recurrentes para los ciberadversarios, ya que ofrecen la oportunidad de interrumpir servicios esenciales y exponer vulnerabilidades sistémicas», añadió Matthew Hartman, director de estrategia de Merlin Group, una red de empresas afiliadas con sede en Tysons Corner (Virginia) que invierte en empresas de cibertecnología, las impulsa y las ayuda a escalar.

«Cada interrupción de este tipo erosiona la confianza pública; por eso es fundamental que la resiliencia operativa llegue a las comunidades que más la necesitan», declaró.

Un cambio en las tácticas de los actores maliciosos también contribuye al aumento de los ataques contra infraestructuras críticas. «Los ataques se están volviendo replicables», señaló Harry Thomas, director de tecnología (CTO) y cofundador de Frenos, una empresa con sede en Charlotte (Carolina del Norte) que ofrece una plataforma de evaluación de seguridad y pruebas de penetración para infraestructuras críticas y entornos industriales.

«Los PLC conectados a Internet, los módems celulares y las configuraciones estandarizadas de terceros proporcionan a los atacantes vías de acceso similares a múltiples servicios públicos», explicó. «Un método eficaz puede reutilizarse sin necesidad de desarrollar un ataque específico para cada instalación».

Consejos de protección.

El FBI y la EPA recomendaron varias medidas para proteger los sistemas de agua y aguas residuales frente a ciberataques. Entre ellas se incluyen:

• Desconectar los PLC de la red pública de Internet.

• Asegurarse de que las contraseñas de los dispositivos sean combinaciones complejas y únicas de letras, números y símbolos.

• Controlar estrictamente el acceso a la red de los dispositivos PLC.

• Colocar los interruptores de llave (físicos y de software) en posición de funcionamiento (*run*) para impedir cambios no autorizados en la lógica, la configuración y el firmware.

• Practicar y mantener la capacidad de operar manualmente los sistemas de tecnología operativa (OT).

• Revisar los archivos de proyecto que se ejecutan en los PLC en busca de cambios no autorizados.

• Planificar la sustitución de equipos al final de su vida útil siempre que sea posible.

Una base sólida.

Kertai, del ITIF, señaló que las recomendaciones del FBI y la EPA constituyen una base sólida para mejorar la ciberseguridad en los sistemas de agua y aguas residuales. «Reforzar las políticas de contraseñas, segmentar las redes, restringir el acceso remoto y capacitar a los operadores para mantener las operaciones manuales son medidas que reducen el riesgo y mejoran la resiliencia», afirmó.

«Las directrices también hacen hincapié en la sustitución de hardware obsoleto, que sigue siendo una de las mayores vulnerabilidades del sector», añadió. «Combinadas con una inversión sostenida en modernización, estas recomendaciones ofrecen a las empresas de servicios públicos una hoja de ruta práctica y basada en riesgos para fortalecer la ciberseguridad».

«Plantearon algunas buenas recomendaciones, pero se quedaron muy cortos», afirmó Bill Moore, director ejecutivo y fundador de Xona, proveedor de soluciones de acceso remoto seguro para infraestructuras críticas con sede en Hanover, Maryland.

«No dictan normas estrictas sobre qué es lo que más se necesita», declaró. «Por ejemplo, los protocolos de comunicación como la web y VNC no deberían establecer túneles hacia el exterior de la red crítica».

«Todo lo que se plantea como recomendación ha sido aconsejado por profesionales de la seguridad durante años, si no décadas», añadió Dahvid Schloss, director de operaciones (COO) de Suzu Labs, un proveedor de servicios de ciberseguridad basados ​​en inteligencia artificial con sede en Las Vegas.

«Si esto es lo que hace que las organizaciones presten atención, que así sea», dijo, «pero hay una razón por la que muchos de nosotros llevamos tanto tiempo insistiendo en ello».

Fundamental para la resiliencia de las infraestructuras.

«Dicho esto», continuó, «estos ataques no son nada nuevo y han sido un foco de interés habitual para los Estados-nación que intentan posicionarse en el gran tablero de la geopolítica».

Schloss sostuvo que el público debería estar muy preocupado por este tipo de ciberataques.

«La razón por la que el público debería preocuparse es que la interrupción de servicios públicos como el agua, la electricidad, el gas u otros suministros puede causar daños mucho mayores y más duraderos que las formas típicas de agresión cinética», afirmó, «al tiempo que ofrece la posibilidad de una atribución errónea o incluso la ausencia de atribución del actor responsable».

Una conclusión clave es que la seguridad de los PLC (controladores lógicos programables) ya no es solo una preocupación operativa, añadió Kertai, del ITIF.

«Es un componente fundamental de la resiliencia de las infraestructuras», aseguró. «Los sistemas de agua sustentan servicios públicos esenciales y la actividad económica, por lo que las interrupciones pueden tener consecuencias que van mucho más allá de una sola empresa de servicios públicos».

«Muchos operadores necesitan inversiones sostenidas, desarrollo de personal y modernización tecnológica para seguir el ritmo de las ciberamenazas en constante evolución», continuó. «Reforzar la colaboración entre las empresas de servicios públicos, los proveedores de tecnología y las agencias federales será tan importante como implementar nuevas herramientas de ciberseguridad».

«Considerar la ciberseguridad como una parte esencial de la modernización de las infraestructuras, en lugar de como una mejora opcional, permitirá al sector estar mejor preparado para afrontar futuras amenazas», señaló.