Están explotando controladores industriales conectados a internet para interrumpir los servicios de agua y otras infraestructuras críticas en Estados Unidos. Diversos incidentes revelan que el equipo mal protegido permite a los atacantes acceder directamente a las operaciones físicas, provocando consecuencias que van desde la pérdida de monitoreo hasta inundaciones y reducción de la presión del agua. Se trata de varias campañas coordinadas en lugar de una sola familia de malware.

Incidentes recientes muestran que el equipo mal protegido puede dar a los atacantes acceso directo a las operaciones físicas, con consecuencias que van desde la pérdida de monitoreo hasta inundaciones y reducción de la presión del agua.

La amenaza involucra varias campañas en lugar de una sola familia de malware recién descubierta. Los atacantes explotan dispositivos expuestos, contraseñas débiles, acceso remoto inseguro y funciones de ingeniería legítimas.

Estas debilidades pueden permitir que los intrusos cambien la forma en que opera el equipo sin necesidad de desplegar malware industrial sofisticado. Analistas de PolySwarm señalaron este riesgo creciente en una evaluación publicada el 5 de octubre de 2026.

PolySwarm dijo en un informe que los compromisos de la infraestructura civil también pueden afectar las operaciones militares cuando las bases dependen de servicios y proveedores externos.

El informe separa los ataques confirmados a controladores del reconocimiento y los preparativos para posibles interrupciones futuras.

Esa distinción es importante: algunas intrusiones ya han afectado procesos físicos, mientras que otras establecen un acceso que podría volverse peligroso durante una crisis o un conflicto.

Explotan controladores industriales expuestos

A partir del 27 de julio de 2026, los servicios de agua y aguas residuales en al menos siete estados informaron ataques contra controladores Rockwell Automation/Allen-Bradley MicroLogix 1100 y 1400 orientados a internet.

Informes previos sobre controladores industriales Rockwell expuestos ilustran por qué el equipo accesible desde redes públicas representa una preocupación tan persistente.

Los atacantes cambiaron contraseñas y direcciones de red, interfiriendo con la capacidad de los operadores para monitorear o controlar el equipo.

Al menos una organización afectada descubrió archivos de proyecto de controladores modificados y discrepancias en la lógica de programación utilizada para gestionar los procesos físicos.

Las consecuencias reportadas incluyeron inundaciones y pérdida de presión de agua. El FBI advirtió que una presión suficientemente reducida podría permitir potencialmente la entrada de agua subterránea no tratada en las tuberías de distribución.

Esta fue una advertencia sobre una posible contaminación, no una confirmación de que la contaminación ocurriera durante los incidentes reportados. Las autoridades no han atribuido públicamente la campaña de julio a Irán, Rusia u otro grupo nombrado.

PolySwarm advirtió contra la posibilidad de fusionar esto con actividades separadas afiliadas a Irán simplemente porque ambas involucraron controladores industriales expuestos y cambios disruptivos.

Ataques anteriores contra controladores Unitronics demuestran cómo los fallos básicos de seguridad pueden producir consecuencias graves. Entre noviembre de 2023 y enero de 2024, CyberAv3ngers comprometió al menos 75 dispositivos, incluyendo al menos 34 en el sector de agua y aguas residuales de EE. UU., utilizando contraseñas predeterminadas o dispositivos sin protección de contraseña.

Los atacantes borraron la lógica de control original, instalaron programación de reemplazo, renombraron dispositivos y alteraron configuraciones y puertos.

Una campaña separada afiliada a Irán reportada en abril de 2026 interrumpió las operaciones de los controladores y manipuló la información mostrada a los operadores, pero los funcionarios no han atribuido explícitamente esa campaña a CyberAv3ngers.

Protección de la infraestructura

La preocupación general se extiende más allá de las empresas de servicios individuales. Las agencias de EE. UU. evalúan que las intrusiones en la infraestructura de Volt Typhoon tienen la intención de establecer un acceso que podría permitir interrupciones durante una crisis futura.

El grupo a menudo depende de herramientas administrativas legítimas y credenciales robadas en lugar de malware distintivo. Las instalaciones militares dependen de electricidad, agua, comunicaciones, transporte, combustible y proveedores industriales civiles.

Interrumpir esos servicios podría obstaculizar las misiones sin necesidad de vulnerar las redes militares. El informe no establece que los ataques al agua de julio hayan tenido como objetivo específicamente las operaciones militares.

Mientras tanto, grupos pro-rusos han estado secuestrando conexiones VNC expuestas para llegar a interfaces industriales. Las autoridades advierten que estos actores a veces exageran sus logros, aunque también han causado daños reales. Una habilidad técnica limitada no elimina los riesgos de manipular equipo desconocido.

PolySwarm recomienda eliminar la exposición innecesaria a internet, eliminar las credenciales predeterminadas, restringir el acceso remoto a usuarios autorizados y monitorear las sesiones remotas.

Tú, como operador, también deberías separar las redes empresariales de los entornos industriales y vigilar las rutas de intrusión que podrían unir ambas.

La planificación de la recuperación debe preservar las configuraciones de controladores confiables, archivos de proyecto, lógica de programación, detalles de firmware y configuraciones de red. Los equipos necesitan procedimientos operativos manuales probados para cuando el control remoto no esté disponible o sea poco confiable.

Los planificadores militares y de servicios públicos deberían mapear las dependencias compartidas y ensayar cortes en cascada, coordinando la ciberseguridad, la ingeniería, las operaciones y la gestión de emergencias antes de que ocurra la interrupción.

El informe también enumera hashes de muestras de malware asociados con cuatro actores de amenazas destacados. Estos indicadores se reproducen a continuación exactamente como fueron suministrados; su inclusión no establece que las muestras fueran desplegadas en los ataques al agua de julio o en cada campaña discutida aquí.