La "guerra invisible" que apunta a la infraestructura del agua: el impacto del ciberataque que se extendió a 7 estados de EE.UU. - ¿La sombra de Irán detrás?

Al girar el grifo, sale agua. Para muchos residentes de Estados Unidos, eso era una rutina diaria que no requería duda.

Sin embargo, a finales de julio de 2026, se reveló que las computadoras de las instalaciones de agua que sustentan esa normalidad estaban siendo atacadas simultáneamente desde el exterior.

El primer lugar donde se anunció el ataque fue el estado de Minnesota. Según las autoridades estatales, entre el 26 y el 27 de julio, se confirmó acceso malicioso en los sistemas de agua de más de 30 áreas. Posteriormente, se descubrió que 9 sistemas de agua en Michigan también se vieron afectados. Se informa que los daños y actividades sospechosas relacionadas se han extendido al menos a siete estados.

Hasta el momento, no se han encontrado pruebas de que sustancias nocivas se hayan mezclado en el agua o de que los residentes hayan bebido agua peligrosa. Muchas de las instalaciones afectadas continuaron operando de manera segura.

Aun así, el impacto de este incidente en la sociedad estadounidense no es pequeño.

No solo se apuntó a la información de los clientes o los correos electrónicos del personal. Fue la "tecnología operativa" que mueve las bombas, ajusta la presión del agua y supervisa los equipos utilizados para el tratamiento del agua.

Más de 30 sistemas de agua fueron blanco simultáneamente

El departamento de TI de Minnesota describe el incidente como un "ataque cibernético coordinado".

No todos los sistemas de agua afectados experimentaron cortes de agua o anomalías en la calidad del agua. La expresión "afectado" significa que se confirmó acceso no autorizado a la tecnología operativa de las instalaciones o rastros de operaciones maliciosas.

Sin embargo, en algunas municipalidades, la operación real se vio obstaculizada.

En Braham, Minnesota, con una población de aproximadamente 1,700 personas, las funciones de control de las instalaciones de agua se detuvieron, y los pozos y las instalaciones de tratamiento de agua no pudieron operar temporalmente. La ciudad pidió a los residentes que limitaran el uso de agua. Hasta que se restauraron las instalaciones, se mantuvo el suministro utilizando el agua restante en la torre de agua.

En Plymouth, cerca de Minneapolis, también se produjo una falla en los equipos de comunicación relacionados con las instalaciones de agua. El personal en el lugar respondió con operación manual y luego restauró la función de comunicación.

En Michigan, después de que el gobierno federal emitiera una advertencia sobre ataques a instalaciones de agua, se informaron actividades sospechosas similares por parte de municipalidades en el estado. Las autoridades estatales afirman que los nueve sistemas afectados operan de manera segura y no se han confirmado problemas de salud pública.

En otras palabras, aunque el incidente no resultó en una contaminación masiva del agua o cortes prolongados, mostró la posibilidad de que los atacantes pudieran acceder a los sistemas de control que sustentan la vida ciudadana.

¿Qué es la "tecnología operativa" que los atacantes apuntaron?

En las instalaciones de agua, existe un sistema separado de las computadoras y redes comerciales utilizadas en las empresas generales, para mover máquinas físicas.

Son equipos responsables de iniciar y detener bombas, ajustar la presión del agua, monitorear el volumen de almacenamiento, gestionar la cantidad de productos químicos y abrir y cerrar válvulas. Este tipo de sistema se llama OT, es decir, tecnología operativa.

Uno de los dispositivos centrales es el PLC, un controlador pequeño que recibe información de los sensores y da instrucciones a las máquinas según un programa preestablecido.

Se utiliza en varios lugares de la sociedad moderna, como fábricas, instalaciones de agua, plantas de energía y equipos de transporte.

Si los atacantes ingresan al PLC o a los sistemas de gestión remota circundantes, no solo pueden robar datos de la pantalla, sino también cambiar el funcionamiento de los equipos.

Detener las bombas. Desestabilizar la presión del agua. Desactivar las alarmas. Confundir los procesos de tratamiento. Reescribir el historial de operaciones y retrasar el descubrimiento de anomalías.

Hasta qué punto se realizaron operaciones reales, aún se necesita esperar a futuras investigaciones. Sin embargo, está claro que los ataques a instalaciones de agua son una amenaza de naturaleza diferente a las filtraciones de información habituales.

Las anomalías en las computadoras pueden llevar a cortes de agua en el mundo real, daños en los equipos y peligros para la salud pública.

¿Por qué se apuntan las instalaciones de agua locales?

La infraestructura de agua de Estados Unidos no es gestionada por una sola organización gigantesca a nivel nacional. Numerosas organizaciones, como ciudades, condados, pequeñas municipalidades y operadores regionales, operan sus propias instalaciones.

Entre ellas, hay muchas instalaciones pequeñas que sostienen áreas con solo unos pocos miles de residentes.

En estas instalaciones, es difícil emplear profesionales de ciberseguridad de manera continua. El presupuesto limitado se utiliza prioritariamente para reemplazar tuberías de agua envejecidas, reparar bombas, gestionar la calidad del agua y asegurar personal.

Como resultado, se utilizan dispositivos de control antiguos durante largos períodos, y hay casos en los que las contraseñas predeterminadas no se han cambiado o las funciones de gestión remota están conectadas directamente a Internet.

También hay razones por las que no se pueden detener las instalaciones.

En una computadora general, no es difícil reiniciar para actualizaciones. Sin embargo, en las instalaciones que suministran agua las 24 horas, no se puede detener fácilmente la operación para actualizaciones de software o reemplazo de equipos.

Agregar nuevas funciones de seguridad puede resultar en la pérdida de compatibilidad con equipos antiguos.

Para los atacantes, a veces es más fácil apuntar a dispositivos de control remoto de instalaciones públicas pequeñas que a redes altamente defendidas de empresas globales.

Además, un ataque al agua puede infundir un fuerte temor en los ciudadanos, incluso si el daño real es limitado.

Solo con extender la preocupación de "¿Es seguro beber el agua?" o "¿Habrá un corte de agua repentino?", se puede sacudir la confianza en la sociedad y la administración. Este efecto psicológico también se considera una de las razones por las que se apunta a la infraestructura crítica.

Posible implicación de Irán, aunque aún no se ha confirmado oficialmente

En cuanto a este ataque, las autoridades estadounidenses y los expertos están investigando la posible implicación de atacantes relacionados con Irán.

Una de las razones es que en el pasado, se ha señalado que grupos relacionados con Irán han apuntado a instalaciones de agua y equipos de control industrial en Estados Unidos.

En abril de 2026, las agencias gubernamentales de EE.UU. emitieron una advertencia de que atacantes relacionados con Irán estaban apuntando a PLC conectados a Internet. En julio, se actualizó el contenido de la advertencia, mostrando que se había ampliado el alcance de los fabricantes de equipos objetivo y los métodos de ataque.

En este ataque, se ha señalado que las características comunes con actividades relacionadas con Irán en el pasado incluyen los equipos objetivo, los métodos de intrusión y el momento del incidente.

El hecho de que no se haya confirmado una demanda de dinero también lo distingue de los crímenes típicos de ransomware. Si los atacantes no buscan un rescate, se pueden considerar motivaciones como intimidación política, represalias, recopilación de información o inducción de caos social.

Por otro lado, las agencias involucradas, incluido el FBI, no han determinado públicamente al autor del crimen.

En los ataques cibernéticos, es posible pasar por dispositivos de terceros o imitar los métodos de otros grupos. No es fácil identificar de inmediato al estado o la organización detrás solo por el programa utilizado en el ataque o el destino de la comunicación.

Aunque hay razones racionales para sospechar una relación con Irán, en esta etapa no se debe tratar como un hecho confirmado que "Irán lo llevó a cabo".

Esta precaución no es solo una cuestión de palabras. La determinación de la pertenencia a un estado puede llevar a la diplomacia, sanciones, medidas de represalia e incluso acciones militares.

El comentario del presidente Trump convierte el asunto en un problema político

Mientras continúa la investigación técnica, el incidente rápidamente se ha convertido en un problema político.

Cuando se le preguntó al presidente Trump sobre la implicación de Irán, negó esa perspectiva y sugirió que la responsabilidad recaía en el estado de Minnesota. Criticó la capacidad de respuesta del estado afectado por el ataque y al gobernador Tim Walz, pero no presentó pruebas que respaldaran su afirmación.

En respuesta, el gobernador Walz publicó en X que el presidente debería saber quién es responsable del ataque y que otros estados también deberían estar al tanto de los daños. Argumentó que "esta es la cara de la guerra moderna" y criticó a la administración por debilitar el sistema de defensa cibernética federal.

En circunstancias normales, la interrupción de las rutas de ataque, la restauración de las instalaciones dañadas y el intercambio de información con los operadores de agua a nivel nacional deberían ser la prioridad.

Sin embargo, con la atención centrada en el enfrentamiento entre el presidente y el gobernador, el debate ha comenzado a centrarse no solo en "quién atacó", sino también en "quién tiene la responsabilidad política".

En la respuesta a los ataques cibernéticos, culpar a la organización que ha hecho pública la afectación puede llevar a nuevos peligros.

Si se extiende la percepción de que informar sobre daños resulta en ataques políticos, las municipalidades y empresas pueden comenzar a ocultar las intrusiones. Si se retrasa el intercambio de información, los ataques con el mismo método pueden expandirse a otras instalaciones.

La información de Minnesota, que detectó y publicó la anomalía primero, pudo haber llevado a la inspección y descubrimiento de daños en otros estados.

Tres reacciones que se extendieron en las redes sociales

El incidente se compartió ampliamente en X, Bluesky, Facebook, Reddit, entre otros. Sin embargo, las publicaciones en redes sociales no representan a toda la opinión pública y deben verse como tendencias verificables a partir de publicaciones individuales.

La primera reacción notable fue la preocupación por el ataque a la infraestructura vital.

La palabra "ataque a instalaciones de agua" provocó una serie de publicaciones preocupadas por la contaminación del agua o la mezcla de venenos. Por otro lado, hubo voces que advirtieron contra el miedo excesivo y la difusión de información no confirmada, señalando que "la intrusión en el sistema" no es lo mismo que "la contaminación del agua potable".

Hasta ahora, no hay evidencia de que el agua se haya vuelto peligrosa, y cada municipalidad está emitiendo información a los residentes según sea necesario. En emergencias, es importante verificar los anuncios oficiales de las municipalidades y los operadores de agua en lugar de las especulaciones en redes sociales.

La segunda reacción fue la demanda de inversión en infraestructura crítica.

En publicaciones de personas relacionadas con la seguridad y el Congreso, el ataque se posicionó como una "advertencia", y se expresó la opinión de que se deben avanzar rápidamente medidas como la restricción de conexiones remotas, la implementación de autenticación multifactor, el cambio de contraseñas predeterminadas, la separación de redes y el entrenamiento del personal.

Algunos expertos señalaron que, en lugar de centrarse solo en los dispositivos de ciertos fabricantes, se debe mejorar la operación que deja expuestos dispositivos de control en Internet o conexiones remotas no utilizadas.

La tercera reacción fue la intensa disputa política en torno a los comentarios del presidente Trump.

Desde el lado crítico del gobierno, se levantaron voces diciendo que es inapropiado culpar al estado afectado mientras las agencias federales investigan la posible implicación de fuerzas extranjeras.

Por otro lado, entre los partidarios del gobierno, también se expresó la opinión de que, antes del ataque extranjero, las municipalidades deberían haber asegurado la gestión segura de las instalaciones.

También hay publicaciones que piden precaución ante las fuertes afirmaciones del lado del gobernador Walz, argumentando que no hay suficiente evidencia para determinar la pertenencia.

En las redes sociales, es fácil que el debate se convierta en una elección binaria entre "ataque de Irán" o "falta de gestión estatal". Sin embargo, en realidad, la posibilidad de un ataque por fuerzas extranjeras y la vulnerabilidad del lado de las instalaciones pueden coexistir.

El hecho de que la responsabilidad principal recaiga en el lado que realizó la intrusión y la necesidad de mejorar la postura defensiva no son contradictorios.

El mayor problema no es "un solo ataque"

Es importante que no surgieron problemas graves de seguridad en el agua en esta ocasión. Sin embargo, eso no significa que el incidente deba evaluarse como de pequeña escala.

Aún no se sabe si los atacantes no lograron su objetivo, si desde el principio apuntaban a un caos limitado, o si fue un reconocimiento para un ataque mayor.

En una intrusión en el sistema de control, los atacantes no necesariamente detendrán los equipos de inmediato. También pueden investigar la estructura interna, recopilar información de autenticación y dejar rutas de conexión que se puedan utilizar en el futuro.

Se puede suponer una táctica de asegurar rutas de intrusión en tiempos de paz y utilizarlas simultáneamente cuando aumenten las tensiones entre naciones.

No solo el agua es el problema.

Los mismos dispositivos de control remoto se utilizan en electricidad, petróleo, gas, transporte, manufactura, alimentos e instalaciones médicas. Un método de ataque que fue efectivo en una industria puede ser transferido a otra.

Lo importante no es solo perseguir la nacionalidad de los atacantes, sino crear un sistema que pueda mantener los servicios ciudadanos incluso si hay una intrusión.

Desconectar los dispositivos de control remoto de las redes externas. Implementar una autenticación sólida. Cambiar a operación manual si ocurre una anomalía. Compartir información sobre amenazas entre instalaciones. Proporcionar técnicos y fondos a las pequeñas municipalidades.

Además, es necesario comprender qué equipos están conectados a qué redes y quién tiene acceso. Sorprendentemente, no es raro que la propia organización no pueda comprender la imagen completa de los dispositivos conectados.