Atacan 30 sistemas de agua en 7 estados y EE. UU. apunta a Irán

Minnesota IT Services dijo que el estado «activó de inmediato la respuesta del estado ante incidentes de ciberseguridad» después de detectar la ola de ataques.⁠8 Lo que vino después convirtió una emergencia de Minnesota en una advertencia nacional, cuando el FBI y la EPA alertaron a los servicios públicos de todo el país tras reportarse ataques en al menos siete estados.⁠3⁠8⁠10 Michigan pronto se sumó a Minnesota al informar de ataques a sistemas de agua, lo que confirmó que el Medio Oeste no era un caso aislado.⁠11

La escala es lo que diferencia esto del goteo habitual de ataques de ransomware e intrusiones. Siete estados significan que distintos grupos de operadores, proveedores y responsables de emergencias se preguntan de repente lo mismo: ¿cómo lograron los intrusos entrar en sistemas que, en teoría, están aislados de internet, supervisados y diseñados para ser rutinarios?⁠3 Los investigadores federales aún no han publicado una lista completa de víctimas ni una evaluación de daños, pero el panorama inicial apunta a una amplia operación oportunista contra uno de los sectores más vulnerables de la infraestructura crítica estadounidense.⁠10

La atribución llegó pronto y señaló al otro lado del océano. Las agencias de espionaje de Estados Unidos evaluaron que probablemente Teherán estaba detrás del ataque coordinado contra los más de 30 sistemas de Minnesota.⁠4 Estados Unidos investiga si Irán estuvo detrás de ciberataques contra sistemas de agua en siete estados, entre ellos Minnesota y Michigan.⁠2 Según se informa, ahora las autoridades federales «creen que Irán es el probable responsable» de la ola más amplia de ataques.⁠10 Si esa evaluación se confirma, significaría que una potencia extranjera sondeó o castigó a gran escala la infraestructura civil estadounidense, no con misiles, sino con código.

Pero el panorama de inteligencia es menos sólido de lo que sugiere el titular, y la honestidad exige decirlo. Un memorando de CISA dirigido al sector del agua mencionó a Irán, pero «no presenta directamente pruebas que atribuyan al país el incidente más reciente en Minnesota».⁠5 Esa brecha entre las sospechas de las agencias de espionaje y las pruebas públicas es habitual en las investigaciones cibernéticas, en las que hay que analizar registros, muestras de malware e infraestructura. También es peligrosa, porque se dice a los operadores, gobernadores y al público que se defiendan de un adversario identificado sin explicar por qué se eligió ese nombre.⁠5

Lo que está más claro es cómo entraron los hackers. CBS informó de preocupaciones por brechas de seguridad y de que los hackers explotaron una computadora industrial vulnerable.⁠9 Reuters informó que CISA advirtió de un aumento en los ataques de hackers contra los servicios de agua.⁠6 CISA instó a los servicios de agua a desconectar los sistemas expuestos después de los ataques informáticos en Minnesota.⁠5 En otras palabras: demasiados sistemas de control que gestionan la presión, los productos químicos y el flujo siguen siendo accesibles desde internet, a menudo mediante herramientas de acceso remoto instaladas por comodidad y nunca protegidas. Para una pequeña localidad con un solo operador a tiempo parcial, desconectar un sistema no es una solución técnica. Significa conducir hasta la planta y operarla manualmente.

Esa es la verdad poco glamurosa que se esconde tras la expresión infraestructura crítica. El sector del agua de Estados Unidos no está compuesto por un puñado de grandes servicios públicos bien protegidos. Lo integran unos 150,000 sistemas públicos, muchos de los cuales abastecen a unos pocos miles de personas y funcionan con presupuestos ajustados y controladores industriales obsoletos. CBS resumió lo que está en juego con una frase de su cobertura sobre las brechas: «Nadie protege estos sistemas».⁠9 Cuando esos sistemas están expuestos, un atacante no necesita una vulnerabilidad de día cero para causar temor. Basta con entrar, mostrar una pantalla alterada o hacer funcionar una bomba de forma intermitente para obligar a cerrar una instalación y erosionar la confianza.

CISA, la agencia que ahora les dice a esas localidades que desconecten sus sistemas, también está bajo presión. CISA está recortando el sueldo de sus expertos; su director interino, Nick Andersen, escribió al personal: «Sabemos que estos cambios pueden ocasionar dificultades económicas a algunas personas», semanas después de que el Departamento de Seguridad Nacional dijera al Congreso que la agencia necesita 600 personas más.⁠7 Ese contraste —menos compensación para quienes defienden los sistemas y más trabajo por hacer— está documentado en las fuentes y socava cualquier afirmación de que se estén intensificando las defensas cibernéticas para responder a la situación.⁠7 Lo que las fuentes no respaldan plenamente es una afirmación más amplia sobre recortes presupuestarios legislados en el Departamento de Seguridad Nacional y CISA; lo que muestran son reducciones salariales y una escasez de personal expuesta ante el Congreso.⁠7

Hasta ahora, la reacción política ha sido desviar la atención, no presentar un plan. Al preguntarle por el ataque durante una reunión televisada del gabinete en Camp David, el presidente Trump «culpó a un gobernador demócrata».⁠7 Esa respuesta consta en el registro y revela el lugar que ocupa esta historia en Washington: un presunto ataque extranjero contra servicios civiles recibe primero una respuesta como argumento partidista, no una actualización operativa sobre qué fue atacado, qué sigue expuesto o qué deberían hacer las localidades el lunes por la mañana.⁠7

Quienes vieron nuestra transmisión habrán escuchado dos afirmaciones más amplias superpuestas a este núcleo confirmado: que un miembro del Comité de Inteligencia de la Cámara de Representantes dijo que el comité no había recibido información sobre una intrusión en un servicio de agua, y que Rusia había causado recientemente miles de millones en daños en un ciberataque contra la industria privada del Reino Unido. Esas afirmaciones no pueden verificarse a partir del expediente de investigación proporcionado para este artículo. Ninguna de las fuentes web de ese expediente menciona el estado de las sesiones informativas del Comité de Inteligencia de la Cámara de Representantes, una declaración del representante Raja Krishnamoorthi ni un ataque ruso contra la industria británica. Eso no significa que esas declaraciones no se hayan hecho en otro lugar. Significa que las pruebas disponibles confirman los ataques contra el agua y la cepa de CISA, pero no prueban nada sobre la disputa por la sesión informativa ni sobre la comparación con el Reino Unido.

Esa distinción importa porque, después de cualquier operación iraní sospechada, existe la tentación de vincular todas las advertencias en una sola narrativa de guerra y abandono. Los hechos que sí tenemos son suficientemente graves sin adornos. Un adversario extranjero probablemente puso a prueba los controles del agua potable de Estados Unidos a través de las fronteras estatales. Quienes tienen la orden de solucionar el problema están sufriendo recortes salariales mientras se les dice que faltan 600 personas. Y la explicación pública de la máxima autoridad fue culpar a un gobernador.⁠4⁠7⁠10 No hace falta un drama en una sala de sesiones informativas ni una analogía extranjera para ver esa vulnerabilidad.