Entre el 26 y el 27 de julio de 2026, un incidente cibernético coordinado afectó a más de 30 sistemas de agua municipales y comunitarios en todo Minnesota. Los municipios afectados, incluidos Plymouth, South St. Paul, Maple Plain y Braham, informaron sobre la interrupción de las comunicaciones automáticas de SCADA, la desactivación de controladores de telemetría celular y el compromiso de los sistemas de control de tratamiento/cabezal de pozo. En Braham, los operadores perdieron el control de las bombas de los pozos, lo que obligó al cierre temporal de las instalaciones de tratamiento y a la emisión inmediata de avisos de conservación de agua para los residentes antes de que las anulaciones manuales restablecieran la funcionalidad en un plazo de 90 minutos. Algunos otros municipios cambiaron de inmediato a inspecciones físicas presenciales y soluciones manuales (según las declaraciones municipales disponibles) en las estaciones de bombeo y torres de agua. Las autoridades estatales de TI (MNIT), el Departamento de Salud de Minnesota y las agencias federales de aplicación de la ley (FBI/CISA) activaron un protocolo estatal de respuesta a incidentes.

Al momento de redactar este informe, la salud pública y la pureza del agua siguen sin verse comprometidas en todos los sistemas afectados.

Incidente sin precedentes

Esta actividad marca una escalada significativa a escala operativa en los ataques dirigidos al sector del agua en América del Norte. Se encuentra entre las mayores interrupciones coordinadas reveladas públicamente que afectan a las empresas de servicios de agua municipales en los Estados Unidos. En lugar de una brecha aislada de una única interfaz hombre-máquina (HMI) o controlador lógico programable (PLC) vulnerable, esta campaña logró un impacto simultáneo en más de 30 entidades de infraestructura local independientes en un corto período de 48 horas. La naturaleza sistemática y sincronizada de la interrupción es consistente con la explotación de una dependencia compartida (como proveedores de servicios gestionados [MSP] comprometidos, pasarelas de telemetría celular o software de acceso remoto centralizado), en lugar de intrusiones manuales independientes en más de 30 redes separadas.

Importancia estratégica para la infraestructura crítica

Los ataques dirigidos a sistemas de agua y aguas residuales (WWS) resaltan las vulnerabilidades estructurales persistentes en las empresas de servicios públicos de tamaño pequeño a mediano: automatización heredada, módems celulares no segmentados, dependencia de la integración de terceros y perímetros de OT expuestos. La capacidad de provocar caídas simultáneas de comunicación o bloqueos de control en una región geográfica demuestra la recopilación de inteligencia a nivel de campaña y la preparación operativa por parte de los actores de amenazas, lo que sienta un precedente peligroso para la interrupción de la infraestructura crítica en múltiples instalaciones.

Línea de tiempo del evento

Análisis de brechas e incógnitas

• Acceso previo al 26 de julio: Fecha de intrusión inicial desconocida. Es probable que los atacantes pasaran días o semanas realizando reconocimientos en la infraestructura común de acceso remoto o celular antes de ejecutar las acciones de interrupción.

• Ventana de ejecución de comando y control: No está claro si la interrupción se ejecutó mediante una secuencia de comandos automatizada/difusión de comandos o mediante la interacción manual de un operador por cada entidad.

• Tiempo de permanencia: El tiempo preciso de permanencia del atacante en los más de 30 entornos de las víctimas sigue sin confirmarse.

Hechos confirmados  

Para garantizar una atribución de inteligencia clara y una clasificación de evidencia precisa, todas las declaraciones se clasifican por niveles de confianza:

Análisis técnico y de la ruta de ataque

Posibilidades de acceso inicial

• Compromiso de sistemas compartidos de MSP/integradores: Los integradores de sistemas externos gestionan el software SCADA, las unidades de telemetría remota (RTU) y los routers celulares en múltiples empresas de servicios públicos municipales pequeñas. El compromiso del portal de gestión central de un MSP permite enviar comandos masivos a los endpoints de los clientes.

• Explotación de pasarelas celulares perimetrales: Exposición directa a internet de módems/routers celulares (como Sierra Wireless, Cradlepoint, Moxa) con credenciales predeterminadas, fallas de ejecución de comandos remotos (RCE) no autenticados o túneles VPN débiles.

• Explotación de HMI/portales web expuestos: Sesiones VNC/RDP orientadas a internet o paneles web HMI expuestos sin autenticación multifactor (MFA).

Mapeo de la ruta de ataque de ICS/OT

• Pivote de Enterprise a OT: Acceso obtenido en la capa de gestión perimetral remota, eludiendo los perímetros tradicionales de la red de TI debido a la conectividad directa de celular a PLC.

• Compromiso de identidad: Robo o uso indebido de credenciales de administrador compartidas utilizadas por contratistas de mantenimiento externos.

• Implicaciones en PLC/HMI: Los atacantes alteraron los estados de configuración, reiniciaron los enlaces celulares o cambiaron los interruptores de modo (los mecanismos potenciales incluyen poner los PLC en modo STOP o revocar la ejecución de la lógica automatizada).

Mapeo potencial de MITRE ATT&CK

MITRE ATT&CK para Enterprise

• T1195.002 (Compromiso de la cadena de suministro): Compromiso de un proveedor de servicios o software de terceros.

• T1133 (Servicios remotos externos): Explotación de VPN expuestas, módems celulares o protocolos de escritorio remoto.

• T1078 (Cuentas válidas): Uso de credenciales comprometidas en software de gestión remota externa.

MITRE ATT&CK para ICS

• T0822 (Servicios remotos externos): Acceso directo a redes de campo de OT mediante interfaz celular.

• T0836 (Modificar parámetro): Cambio de la lógica de control operativo o de los puntos de consigna que controlan las bombas de los pozos.

• T0806 (Pérdida de control): Interrupción temporal de las secuencias automáticas de comandos del PLC, lo que obliga a la operación manual.

• T0826 (Pérdida de disponibilidad): Interrupción de la telemetría SCADA a PLC a través de enlaces celulares.

Cabe señalar que mientras Braham experimentó una pérdida temporal de control (T0806), muchas de las otras más de 30 empresas de servicios públicos sufrieron principalmente pérdida de disponibilidad/vista (T0826) debido a la interrupción de los enlaces de telemetría.

Escenarios de ataque más probables

Escenario 1: Compromiso de acceso remoto de integrador externo / MSP compartido

• Nivel de confianza: ALTO

• Evidencia de respaldo: Impacto simultáneo en más de 30 empresas de servicios públicos municipales independientes en un plazo de 48 horas. Los pequeños departamentos municipales de agua en Minnesota suelen subcontratar el mantenimiento de SCADA y telemetría a unos pocos proveedores de ingeniería regionales.

• Evidencia contradictoria: Falta de declaraciones públicas de proveedores específicos que confirmen una brecha (típico durante las primeras etapas de las investigaciones de CTI).

• Objetivo potencial: Interrupción estratégica, probar los tiempos de respuesta de la defensa, demostrar capacidad.

Escenario 2: Explotación a nivel de campaña de módems celulares expuestos a internet

• Nivel de confianza: MEDIO-ALTO

• Evidencia de respaldo: La ciudad de Plymouth atribuyó específicamente la interrupción a equipos conectados mediante comunicaciones celulares. Los actores de amenazas conocidos suelen ejecutar escaneos Shodan/Censys para explotar masivamente pasarelas celulares conectadas a hardware industrial.

• Evidencia contradictoria: El escaneo masivo generalmente produce resultados asimétricos a lo largo de días o semanas en lugar de un evento estrechamente sincronizado de 48 horas, a menos que se automatice mediante una botnet o secuencia de comandos personalizada.

• Objetivo potencial: Interrupción oportunista de amplio espectro y posicionamiento previo.

Escenario 3: Sabotaje disruptivo patrocinado por el Estado / Hacktivista

• Nivel de confianza: MEDIO

• Evidencia de respaldo: El CISO estatal declaró explícitamente que el objetivo era "la interrupción, no el beneficio financiero". Coincide con los patrones operativos observados en intrusiones alineadas con estados que atacan los perímetros de OT de infraestructuras críticas.

• Evidencia contradictoria: Falta de reclamos de desfiguración pública o mensajes políticos abiertos en HMI comprometidos (a diferencia de las operaciones hacktivistas típicas como CyberAv3ngers).

• Objetivo potencial: Interrupción operativa, señalización de capacidad, prueba de resiliencia de infraestructura crítica.

Evaluación de actores de amenazas

¿Qué actor de amenazas podría estar detrás de esto?

Actores alineados con el estado iraní (como CyberAv3ngers) — COMPATIBILIDAD MEDIA-ALTA

• TTP históricos: A finales de 2023 y en 2024, CyberAv3ngers atacó empresas de servicios de agua en los EE. UU. (por ejemplo, Aliquippa, PA) mediante la explotación masiva de PLC Unitronics Vision Series de fabricación israelí expuestos a internet a través de contraseñas predeterminadas en redes celulares.

• Motivación: Interrupción de bajo costo y alta publicidad dirigida a la infraestructura municipal de los EE. UU.

• Capacidades: Se centra en la exposición del perímetro de OT (routers celulares, HMI, PLC expuestos) en lugar de malware de OT complejo y personalizado. Se ajusta al perfil de Minnesota de interrupción celular perimetral.

Actores patrocinados por el estado ruso (Sandworm / GRU) — COMPATIBILIDAD ALTA

• TTP históricos: Historial demostrado de interrupción profunda de OT (Industroyer, BlackEnergy, FrostyGoop). Observado recientemente atacando empresas de servicios de agua en Texas y Polonia a través de reconfiguraciones de HMI expuestas.

• Motivación: Posicionamiento previo estratégico, operaciones psicológicas, prueba de capacidades operativas.

• Capacidades: Altamente sofisticado. Aunque capaz de realizar este ataque, dirigirse a más de 30 pequeños sistemas municipales de agua sin desplegar limpiadores destructivos o modificación de carga útil sugiere una campaña en etapa temprana o un actor proxy de menor nivel.

Operadores de cibercrimen / ransomware — COMPATIBILIDAD BAJA

• Justificación: No se han reportado demandas de extorsión, notas de rescate o cifrado de sistemas. Los funcionarios estatales de TI señalaron específicamente la ausencia de motivos financieros.

Mientras que CyberAv3ngers, alineado con Irán, históricamente explotó PLC de Unitronics expuestos directamente a través del puerto 20256, un compromiso de MSP compartido apunta hacia una mayor madurez operativa, como Cotton Sandstorm (IRGC) o Sandworm (Unidad GRU 74455), utilizando credenciales de gestión remota legítimas.

Oportunidades de ingeniería de detección

Aunque el vector de intrusión preciso sigue siendo desconocido, los patrones de interrupción observados proporcionan valiosas oportunidades para la ingeniería de detección proactiva. Las organizaciones que operan infraestructura de agua distribuida deben priorizar la telemetría, la autenticación, el acceso remoto y las detecciones de anomalías de red capaces de identificar actividad coordinada en múltiples instalaciones.

Oportunidades de detección de Sigma

Regla 1 – Múltiples inicios de sesión administrativos remotos

• Detectar una única cuenta privilegiada que se autentica en múltiples pasarelas SCADA o estaciones de trabajo de ingeniería dentro de una ventana de tiempo corta.

• Alertar sobre sesiones simultáneas de VPN o RDP que se originen en direcciones IP geográficamente distantes.

Regla 2 – Creación de nuevas cuentas administrativas

• Monitorear la creación de cuentas locales o de dominio privilegiadas en servidores de salto de OT, estaciones de trabajo de ingeniería y pasarelas de acceso remoto.

Regla 3 – Ejecución de software de ingeniería de PLC

• Detectar la ejecución de herramientas de ingeniería (por ejemplo, Studio 5000, EcoStruxure Control Expert, TIA Portal, CODESYS, Ignition Designer) fuera de las ventanas de mantenimiento aprobadas.

Regla 4 – Cambios en la configuración del servicio remoto

• Alertar sobre modificaciones en las configuraciones de VPN, reglas de firewall, configuraciones de pasarelas celulares o servicios de escritorio remoto.

Oportunidades de detección de Suricata

Desarrollar firmas para detectar:

• Códigos de función Modbus emitidos desde direcciones IP inesperadas.

• Solicitudes de escritura DNP3 fuera de los períodos de mantenimiento.

• Comandos de control IEC 104 originados en estaciones de trabajo que no son de ingeniería.

• Nuevas comunicaciones salientes desde RTU o pasarelas celulares hacia IP externas no vistas previamente.

• Conexiones VPN a destinos inusuales.

• Comportamiento de balizamiento (beaconing) desde dispositivos de telemetría remota.

Detección de red de ICS

Monitorear para identificar:

• Transiciones de modo del PLC (RUN → STOP → PROGRAM).

• Descargas de lógica inesperadas.

• Cargas de configuración.

• Actualizaciones de firmware del controlador.

• Reinicios de RTU.

• Pérdida de sondeo de SCADA.

• Fallas de comunicación simultáneas en múltiples sitios.

• Cambios repentinos en el intervalo de sondeo.

• Conexiones inesperadas de estaciones de trabajo de ingeniería.

• Comandos de escritura no autorizados.

Implicaciones para OT e infraestructura crítica

Desglose del impacto operativo

• Impacto real: Pérdida de enlaces de telemetría SCADA a través de redes celulares. Pérdida de comandos automatizados de arranque/parada para las bombas de los pozos en Braham, Minnesota. Municipios obligados a desplegar operaciones de campo manuales para monitorear las estaciones de bombeo y las torres de agua.

• Impacto potencial: Pérdida prolongada de los controles automatizados de las bombas, lo que provocaría el agotamiento de las torres, pérdida de presión localizada, reflujos en las tuberías o distribución de agua no tratada si se retrasaba la intervención manual.

• Peor escenario posible: Manipulación maliciosa de los puntos de consigna de dosificación química (por ejemplo, hidróxido de sodio, cloro) o destrucción deliberada de bombas mediante ciclos rápidos de encendido (martilleo) eludiendo los enclavamientos físicos.

Brechas de inteligencia

• Certeza del vector inicial: El punto de entrada exacto (MSP comprometido frente a firmware de router celular explotado frente a relleno de credenciales) sigue sin verificarse.

• Mecanismos de persistencia: No está claro si los actores de amenazas colocaron puertas traseras persistentes dentro de las redes de campo o si el reinicio de los módems cortó el acceso de forma permanente.

• Alcance del reconocimiento: Se desconoce si los actores exfiltraron diagramas de red, esquemas lógicos de SCADA o registros de bases de datos de clientes antes de ejecutar comandos disruptivos.

• Integridad del firmware: Falta de confirmación sobre si los controladores de campo (PLC/RTU) sufrieron un reemplazo de lógica maliciosa o corrupción de la misma.

Perspectivas únicas y poco discutidas

Planificación de campañas frente a explotación oportunista

Una interrupción simultánea en más de 30 sistemas de agua municipales independientes no puede descartarse como un escaneo oportunista, aislado y aleatorio. Refleja una planificación de campaña deliberada. Los actores de amenazas crearon un inventario de credenciales/dispositivos de infraestructura de agua vulnerables a lo largo de meses o apuntaron a un punto de estrangulamiento central, como un único proveedor de servicios gestionados o una infraestructura de APN (nombre de punto de acceso) celular compartida, para ejecutar un ataque de comandos por lotes.

Punto único de falla (SPOF) en la cadena de suministro

Las pequeñas empresas de servicios de agua se enfrentan a graves limitaciones de recursos y con frecuencia dependen de los mismos integradores regionales de ingeniería y SCADA. Este incidente subraya que un adversario no necesita vulnerar 30 empresas de servicios públicos individuales; solo necesita vulnerar a un proveedor regional con acceso administrativo a esas 30 entidades.

Reconocimiento asimétrico para la escalada geopolítica

La interrupción simultánea de sistemas municipales de bajo nivel sirve como una prueba de fuego real para medir la velocidad de respuesta ante incidentes a nivel estatal y federal. Al provocar interrupciones operativas de bajo nivel, los actores de amenazas miden qué tan rápido CISA, el departamento de TI estatal y los operadores locales detectan, contienen y se recuperan de las anomalías de OT, lo que proporciona inteligencia valiosa para futuras operaciones en infraestructuras críticas de mayor importancia.

El extremo conectado por celular como la nueva superficie de vulnerabilidad

Los modelos tradicionales de seguridad de OT enfatizan el aislamiento de la red Enterprise de la red de la planta (Niveles 3 frente a 2 del Modelo Purdue). Sin embargo, los nodos de telemetría remota (estaciones de bombeo, cabezales de pozos distantes, monitores de tanques) suelen eludir por completo la red corporativa central, conectándose directamente a los PLC de campo a través de módems celulares. Esto crea un perímetro de OT distribuido y no monitoreado que elude los firewalls corporativos.

Riesgos futuros y pronóstico para todo el sector

• Probabilidad de campaña de seguimiento: ALTA. Los adversarios que utilizan vectores de acceso compartido a menudo atacan objetivos adicionales en estados vecinos (por ejemplo, Wisconsin, Iowa) antes de que se solucionen los mecanismos de acceso.

• Operaciones de imitación (Copycat): ALTA. Los ataques de baja complejidad a las empresas de servicios públicos generan una cobertura informativa desproporcionada y pánico regulatorio, lo que los hace atractivos para grupos hacktivistas que buscan visibilidad.

• Riesgos intersectoriales: Las aguas residuales, los pequeños distribuidores municipales de gas y las cooperativas eléctricas rurales comparten la misma dependencia de módems celulares, PLC heredados e integradores externos, enfrentando riesgos operativos idénticos.

Recomendaciones prácticas

Liderazgo ejecutivo

• Auditar el acceso de terceros: Exigir de inmediato un inventario de todos los integradores externos, MSP y proveedores con acceso remoto a entornos de OT.

• Hacer cumplir mínimos de seguridad contractuales: Requerir autenticación multifactor (MFA) y registro de acceso dedicado para todos los contratos de acceso de proveedores.

Equipos del Centro de Operaciones de Seguridad (SOC)

• Monitorear el tráfico de las pasarelas celulares: Configurar alertas para conexiones entrantes/salientes inesperadas a módems celulares, especialmente el tráfico originado fuera del territorio estadounidense o de proveedores de VPN desconocidos.

• Búsqueda de amenazas de cuentas válidas: Revisar los registros de autenticación remota (VPN, VNC, RDP, SSH) para detectar horas de inicio de sesión anómalas o inicios de sesión simultáneos en múltiples clientes de servicios públicos.

Ingenieros de OT y operadores de planta

• Aislar los módems celulares: Aplicar reglas estrictas de firewall en los routers celulares. Bloquear la exposición directa a internet de portales web, Telnet, SSH y protocolos SCADA (Modbus, DNP3, EtherNet/IP).

• Verificar las anulaciones manuales: Probar regularmente las anulaciones manuales físicas y los enclavamientos mecánicos (por ejemplo, interruptores de flotador de alto nivel cableados) para garantizar que las operaciones puedan continuar si fallan los controles digitales.

Personal de respuesta a incidentes

• Preservar los registros de los routers celulares: Antes de reiniciar los módems o los PLC, capturar la memoria volátil, las tablas de conexión y los registros del sistema para ayudar en el análisis forense.

• Aislar los enlaces de integración comprometidos: Cortar las conexiones de gestión de terceros hasta que se confirme que los entornos de los proveedores están limpios.

Directores de Seguridad de la Información (CISO)

• Arquitectura perimetral de confianza cero (Zero Trust Edge): Implementar APN privados o acceso a la red de confianza cero (ZTNA) perimetral centralizado para la telemetría SCADA remota.

• Segmentación de red: Aplicar una microsegmentación estricta entre las redes de TI, los módems de telemetría remota y las placas de conexiones de los controladores locales.

La evolución de los ataques dirigidos a OT

Este incidente en múltiples instalaciones de la infraestructura de agua de Minnesota señala un cambio crítico en la forma en que los adversarios abordan los ataques dirigidos a la tecnología operativa. Históricamente, los incidentes cibernéticos de OT se dividían en dos categorías distintas: ataques de malware personalizados y altamente sofisticados contra objetivos de alto valor (por ejemplo, Stuxnet, Industroyer) o intrusiones oportunistas y aisladas contra activos individuales no protegidos (por ejemplo, paneles VNC expuestos).

Lo ocurrido en Minnesota representa una convergencia peligrosa: el uso de puntos de estrangulamiento de la cadena de suministro y la explotación automatizada del perímetro para lograr una interrupción regional en múltiples objetivos. Los adversarios ya no necesitan desarrollar malware industrial complejo y personalizado para causar un impacto operativo. Al explotar mecanismos débiles de acceso remoto, módems celulares no segmentados o integradores de terceros comprometidos, los actores de amenazas pueden lograr una parálisis operativa generalizada utilizando herramientas administrativas básicas y comandos nativos.

La vulnerabilidad del sector del agua

El sector del agua y de las aguas residuales sigue siendo singularmente vulnerable dentro de la infraestructura crítica. A diferencia de la red de energía eléctrica a granel, que opera bajo normas de ciberseguridad estrictas y obligatorias de NERC CIP, el sector del agua comprende más de 50,000 empresas de servicios públicos locales altamente descentralizadas y con fondos insuficientes en los Estados Unidos. Muchos de estos sistemas dependen de un único miembro del personal de TI/OT, hardware de control heredado y contratistas externos que utilizan credenciales compartidas en docenas de clientes municipales. Los actores de amenazas reconocen este equilibrio asimétrico: vulnerar una pequeña empresa de servicios de agua produce un alto impacto psicológico y cobertura informativa con una fricción operativa mínima.

Lecciones globales para la defensa y la gobernanza

Las empresas de servicios de agua de todo el mundo deben ver este evento no como una anomalía aislada, sino como un modelo para el acoso moderno a las infraestructuras críticas. Operar bajo el supuesto de que las redes de OT están aisladas físicamente (air-gapped) ya no es válido; la conectividad celular, los sensores de IoT y el acceso remoto de proveedores han disuelto el perímetro tradicional.

Los gobiernos y los operadores de infraestructura deben actuar con decisión:

• Establecer normas de seguridad obligatorias para el acceso remoto a OT: Los reguladores deben ir más allá de las directrices voluntarias para hacer cumplir controles de seguridad básicos obligatorios, específicamente eliminando los PLC/HMI orientados directamente a internet y exigiendo MFA con token de hardware para todas las conexiones de proveedores.

• Asegurar la cadena de proveedores de servicios: Los integradores externos deben recibir el tratamiento de entornos de alto riesgo. Una brecha en una empresa de ingeniería no debe otorgar a un adversario acceso automatizado a docenas de sistemas de control municipales.

• Priorizar la resiliencia física y mecánica: La postura defensiva debe ir más allá del software. La salvaguarda definitiva para la infraestructura crítica es la retención de operadores humanos capacitados, soluciones manuales y enclavamientos de seguridad mecánicos cableados que eviten daños físicos catastróficos independientemente del compromiso del sistema digital.

En última instancia, en Shieldworkz creemos que la resiliencia radica en la capacidad de mantener operaciones seguras continuas cuando la infraestructura digital falla bajo todo tipo de circunstancias. La rápida respuesta de los operadores locales en Minnesota demostró que una sólida planificación de la continuidad operativa puede mitigar la interrupción cibernética. Sin embargo, confiar en la vigilancia de los operadores para contrarrestar la explotación sistemática de la cadena de suministro es una estrategia de defensa insostenible. La seguridad de la infraestructura crítica debe evolucionar para proteger el perímetro antes de que se pierda el control.

Conozca su riesgo de seguridad de OT

Gobernanza de IA para la seguridad de OT