CISA pide retirar PLCs de internet inmediatamente

• La CISA (Agencia de Seguridad de Infraestructura y Ciberseguridad) ha emitido una advertencia urgente dirigida a las organizaciones de agua y aguas residuales debido al incremento de ciberataques contra los controladores lógicos programables (PLC) expuestos a internet. Estos dispositivos industriales son críticos ya que controlan procesos como el tratamiento de agua, el bombeo y la dosificación de químicos.

Los PLC son dispositivos industriales que controlan procesos físicos críticos como el tratamiento del agua, el bombeo, la dosificación de productos químicos y la gestión de aguas residuales.

Cuando estos sistemas son accesibles desde internet, los atacantes pueden intentar alterar sus configuraciones, interrumpir las operaciones o bloquear el acceso del personal autorizado a equipos esenciales.

La CISA informó que los actores de amenazas han atacado a entidades hídricas de todos los tamaños, incluidas aquellas que cuentan con programas de ciberseguridad establecidos. En incidentes recientes, los atacantes han modificado las contraseñas de los PLC para evitar que los operadores accedan a los dispositivos.

También han cambiado las direcciones IP de los dispositivos, desconectando efectivamente los PLC de las organizaciones que los gestionan. Estas acciones han provocado interrupciones operativas, incluyendo avisos de hervir el agua y la operación manual prolongada de los sistemas hídricos.

Aunque el control manual puede ayudar a mantener el servicio durante un incidente, aumenta la presión sobre el personal. Esto puede plantear riesgos de seguridad y fiabilidad si las interrupciones persisten.

CISA Insta a las Empresas de Agua

La agencia advirtió que la exposición pública a vulnerabilidades no siempre es obvia. Algunos activos de tecnología operativa pueden estar conectados a través de módems celulares instalados por proveedores de equipos, integradores u operadores.

Es posible que estas conexiones no aparezcan en los escaneos estándar de la superficie de ataque externa o en los inventarios de activos, haciendo que las organizaciones ignoren que un PLC es accesible en línea. La CISA insta a los propietarios, operadores e integradores de sistemas a desconectar los PLC de internet inmediatamente.

El acceso remoto no debe conectarse directamente a un PLC; en su lugar, debes utilizar una red privada virtual (VPN) debidamente asegurada o un dispositivo de puerta de enlace que proporcione autenticación, monitoreo y control de acceso.

Las empresas de agua también deben aplicar la protección por contraseña, reemplazando las credenciales predeterminadas y utilizando contraseñas únicas y fuertes para cada dispositivo.

Debes restringir la conectividad remota mediante listas blancas de IP, permitiendo el acceso solo desde computadoras portátiles de ingeniería aprobadas y otros sistemas de tecnología operativa autorizados.

Después de eliminar la exposición externa, las empresas deben asegurarse de tener una copia de seguridad limpia de la imagen y la configuración del PLC. Esto es crucial en caso de que un atacante cambie una contraseña o modifique la configuración del dispositivo. Una copia de seguridad verificada puede ayudarte a restaurar el acceso y devolver el equipo a un estado seguro y conocido.

La CISA aconsejó específicamente a los operadores de PLC Rockwell Automation MicroLogix 1400 que consulten la guía de Rockwell Automation sobre cómo restaurar el acceso cuando se desconoce la contraseña del controlador.

Esta alerta subraya la creciente amenaza para la tecnología operativa en el sector del agua. Los dispositivos de tecnología operativa expuestos a internet enfrentan riesgos que van desde la alteración de sitios web y cambios de configuración no autorizados hasta interrupciones del servicio y posibles daños físicos.

Debes examinar todas las conexiones externas, incluido cualquier equipo celular instalado por proveedores que no esté documentado, para asegurar que ningún PLC crítico esté directamente expuesto al internet público.

La CISA recomienda seguir su guía de mitigación de tecnología operativa. Al mismo tiempo, el Programa de Asistencia Técnica de Ciberseguridad de la Agencia de Protección Ambiental puede ofrecer apoyo adicional para el sector del agua. Si detectas actividad maliciosa, debes informarlo a la CISA, al FBI o al Centro de Denuncias de Delitos Informáticos.