EE.UU. lucha por defender sus infraestructuras de agua ante ataques cibernéticos iraníes

A finales de julio, mientras el calor del verano apretaba en Estados Unidos, dos ciudades estadounidenses enfrentaron crisis de agua casi simultáneamente. El 27 de julio, Maple Plain, cerca de Mineápolis, declaró estado de emergencia. Ese mismo día, la Autoridad del Agua del condado de Clayton en Georgia —que abastece a 300.000 personas al sur de Atlanta— pidió a sus usuarios que hirvieran el agua tras una caída de presión que interrumpió el suministro. Lo que parecían ser incidentes aislados era en realidad parte de una campaña coordinada. Los hackers se infiltraron en sistemas de agua y aguas residuales en al menos siete estados estadounidenses, aunque algunos reportes sugieren que fueron más de doce. Minnesota resultó ser el estado más golpeado, con treinta sistemas comunitarios de abastecimiento comprometidos. Las autoridades estadounidenses apuntan a grupos alineados con Irán como responsables de los ataques.

Los ataques cibernéticos contra infraestructuras de agua pueden interrumpir el suministro e inutilizar el agua para el consumo, aunque en estos casos recientes no se cree que hayan llegado a ese extremo. Lo que sí revelaron fue una vulnerabilidad sistémica que ha permanecido sin resolver durante años. A diferencia de la red eléctrica, que opera bajo normas de ciberseguridad supervisadas por la Comisión Federal Reguladora de la Energía, el sector del agua carece completamente de requisitos federales de seguridad informática. Las empresas de electricidad, grandes y bien financiadas, pueden invertir recursos significativos en defensa. El agua, en cambio, es pesada y costosa de transportar, lo que la convierte en un recurso fundamentalmente local. Aproximadamente el noventa por ciento de las empresas de agua, la mayoría de propiedad municipal, sirven a menos de diez mil personas cada una. Esto significa que operan con presupuestos limitados y sistemas informáticos frecuentemente obsoletos.

La historia de vulnerabilidades en agua no comienza con estos ataques de julio. En 2013, hackers iraníes se infiltraron en los sistemas de control de una pequeña presa en Nueva York, un incidente que no fue reportado hasta casi tres años después. En 2023, tomaron control de una bomba en una planta de agua de Pensilvania. Pero los atacantes sofisticados no son los únicos que pueden entrar. En 2019, un antiguo empleado del distrito de aguas de Kansas utilizó sus credenciales expiradas para acceder a una aplicación y desactivar procedimientos de limpieza, alegando que estaba borracho. Dos años después, hackers tomaron control de una instalación en Oldsmar, Florida, e intentaron envenenar a los residentes aumentando los niveles de hidróxido de sodio. El intento fracasó, pero el acceso fue trivial: el operador ejecutaba TeamViewer, una herramienta corporativa común que permite acceso remoto. Los ataques de julio fueron igualmente simples. Los hackers violaron sistemas de tecnología operativa —la interfaz entre redes informáticas y sistemas físicos— que típicamente están conectados a Internet a través de redes móviles y utilizan credenciales débiles o ninguna en absoluto.

Los intentos previos de imponer regulación han fracasado. Durante la administración Biden, la EPA intentó obligar a los estados a revisar y reportar ciberamenazas a sistemas de agua. Fiscales generales republicanos de Misuri, Arkansas e Iowa, junto con grupos de la industria como la Asociación Americana de Obras Hidráulicas y la Asociación Nacional de Agua Rural, presentaron una demanda alegando invasión de competencias. Un tribunal federal suspendió la iniciativa, y la EPA se echó atrás. Cuando el Congreso ha legislado, los resultados han sido lentos. La Ley de notificación de incidentes cibernéticos en infraestructuras críticas, aprobada en 2022, obliga a reportar ataques graves en setenta y dos horas, pero sus normas no se finalizarán hasta septiembre, más de cuatro años después.

Ahora hay señales de movimiento legislativo. El 13 de agosto, los senadores demócratas Amy Klobuchar y Adam Schiff presentaron la Ley para dotar al agua de un escudo cibernético, que otorgaría más competencias a la EPA. El 5 de agosto, la AWWA —que se había opuesto a propuestas anteriores— respaldó la Ley de creación de la organización para el riesgo y la resiliencia del agua, auspiciada por el congresista republicano Rick Crawford de Arkansas. Este proyecto crearía un organismo independiente para elaborar normas mínimas de ciberseguridad bajo supervisión de la EPA, similar a los requisitos para empresas eléctricas. El mismo día, el senador republicano Tom Cotton escribió al secretario del Tesoro instándolo a introducir cambios fiscales para alentar inversión en seguridad. Además, DEF CON Franklin, un grupo de hackers con conciencia cívica, se asoció con la Asociación Nacional de Agua Rural para lanzar el Water Watch Centre, destinado a proporcionar apoyo en ciberseguridad a pequeñas empresas de agua.

Pero la velocidad de respuesta depende en gran medida de la administración Trump. El presupuesto presidencial propuesto, que el Senado debatirá en septiembre, aumentaría la partida del Departamento de Defensa en un cuarenta y cuatro por ciento hasta alcanzar 1,5 billones de dólares, incluyendo fondos para guerra contra Irán y una "Cúpula dorada" de defensa antimisiles. Simultáneamente, recortaría en casi noventa por ciento la mayor fuente de financiación de la EPA destinada a ciberseguridad del agua. En julio, Trump sugirió que el ataque a Minnesota era culpa del gobernador Tim Walz y que en realidad no había habido ningún ataque iraní, afirmando que "Irán tiene problemas más graves que preocuparse por Minnesota". La Agencia de Ciberseguridad y Seguridad de las Infraestructuras, el principal organismo federal de ciberdefensa, enfrenta caos interno con cambios en la dirección, baja moral y un recorte de un tercio de su personal desde que Trump regresó a la Casa Blanca. Es posible que el Senado presione para más acción cuando regrese de vacaciones. Los hackers, mientras tanto, no esperan.