EE.UU. agua: campaña OT y respuesta de NY

Timeline de la operación

Cadena de ataque y TTPs

La campaña de Minnesota, según el material disponible, siguió una secuencia relativamente simple pero eficaz: accesos expuestos a internet, alteración de credenciales o de parámetros de red, pérdida de visibilidad para los operadores y degradación de la capacidad de control en OT. No aparece una intrusión larga de espionaje ni un movimiento lateral complejo dentro de redes de oficina. El centro de gravedad está en la tecnología de operación industrial.

El vector inicial más consistente, de acuerdo con Rescana, es T0883, Internet Accessible Device. Esa clasificación encaja con varios datos del paquete. Shieldworkz habló de módems y routers celulares industriales, incluidos equipos de Sierra Wireless, Cradlepoint o Moxa, con credenciales por defecto, fallas de ejecución remota no autenticada o túneles VPN débiles. LevelBlue, en la misma línea, sostuvo que la evidencia pública apunta a PLCs, interfaces HMI, módems celulares insuficientemente protegidos, servicios de acceso remoto y configuraciones de terceros en entornos OT. CISA, por su parte, describió casos en los que los atacantes cambiaron contraseñas para bloquear el acceso de operadores y modificaron direcciones IP para aislar los PLC de la red.

Ese patrón permite inferir una táctica de denegación operacional más que de destrucción física inmediata. Cuando el atacante logra cambiar credenciales, forzar desconexiones o desactivar alarmas, el efecto práctico es dejar ciego al operador. ES News, citando al FBI, dijo justamente que los atacantes pueden dejar sin visibilidad a los operadores al cambiar contraseñas o desactivar alarmas. Eso explica por qué varias utilities tuvieron que volver al control manual. También explica por qué, en algunos casos, se emitieron avisos de hervir el agua pese a que no existía evidencia de contaminación. El problema operativo no era químico, sino de confianza en el estado del proceso y en la capacidad de monitoreo remoto.

La telemetría celular aparece como un punto de apoyo recurrente. Shieldworkz mencionó que se comprometieron controladores de telemetría celular y comunicaciones automatizadas de SCADA. Ese tipo de infraestructura suele mediar entre el mundo de la planta y el operador central. Si se corta esa capa, el sistema sigue existiendo, pero la operación queda degradada. Los técnicos pierden telemetría, alarmas y capacidad de actuar con rapidez. De allí la migración a manual y la necesidad de inspección física local, algo que también recogen Quadratín, NBC News y ABC News.

En cuanto a familias de equipos, el material cita una línea clara. CISA habló primero de PLC Unitronics con HMI. Luego, Tenable y CastleRockSky ampliaron el foco hacia Schneider Electric, Siemens y Rockwell Automation, y la nota de CastleRockSky enfatizó CVE-2021-22681 en controladores Rockwell Automation Logix. DeNexus, de forma más concreta, identificó los dispositivos afectados públicamente como Rockwell Automation/Allen-Bradley MicroLogix 1100 y 1400. Esa convergencia sugiere que la campaña no se limitó a una sola marca, sino a un ecosistema de activos OT expuestos, con puntos de explotación y manejo operativo relativamente parecidos.

En el plano de TTPs, la historia del caso puede reconstruirse así: reconocimiento de activos expuestos, acceso a través de dispositivos accesibles desde internet, interferencia sobre autenticación y direccionamiento, pérdida de control remoto, interrupción de comunicaciones OT y paso a operación manual. No hay en el material indicadores públicos de exfiltración de datos dentro de la campaña contra agua en Estados Unidos. Tampoco hay pagos de rescate ni nota de ransomware. Ese punto es relevante porque evita confundir este episodio con el caso Oldelval, donde sí hay referencias a ransomware o a leak sites, aunque la atribución concreta no esté cerrada y la compañía haya aclarado que la operación física del oleoducto no fue impactada.

Matriz técnica de TTPs

Impacto regional

Panorama regional

El material no se limita a describir incidentes aislados. También muestra cómo la campaña de Estados Unidos reordena la conversación regulatoria y de inversión en la región. El caso americano funciona como demostración de una amenaza OT muy concreta, mientras los casos latinoamericanos sirven para medir la capacidad institucional de absorber incidentes parecidos. En ese contraste, Chile aparece con el mayor nivel de madurez normativa, Argentina con brechas de gobernanza todavía visibles, Uruguay con un ecosistema de monitoreo y equipos nacionales de respuesta, y Perú, Colombia y Brasil como mercados que replican cobertura periodística sobre la campaña, sin aportar en el research datos locales adicionales de impacto físico sobre su propia infraestructura hídrica.

En Estados Unidos, la combinación de alerta federal, discusión sobre atribución, y respuesta presupuestaria de Nueva York muestra que el impacto no es solo técnico. También es regulatorio. El estado que no sufrió el ataque eligió financiar 153 utilities para cerrar brechas en seguridad operacional, con topes de 50.000 dólares para evaluaciones y 100.000 dólares para mejoras, más asistencia técnica de la EFC. Esa arquitectura de subvenciones se apoya en estándares mínimos ya vigentes. El efecto práctico es doble. Por un lado, refuerza la higiene básica. Por otro, institucionaliza un proceso de cumplimiento que obliga a inventariar activos, corregir configuraciones y reportar incidentes.

El detalle técnico importa porque el ataque mostró que las utilities no fueron golpeadas en su periferia administrativa sino en la capa que mueve agua. El material insiste en que la calidad del agua no se vio comprometida. Esa precisión no reduce la gravedad. Un sistema puede seguir entregando agua segura y aun así perder telemetría, control remoto y capacidad de respuesta rápida. El efecto de negocio, la presión operativa y el costo de recuperación son reales. Además, la necesidad de pasar a operación manual durante horas o días aumenta la carga de personal y amplifica el riesgo de error humano.

Argentina

El caso Oldelval es la pieza más útil del bloque argentino porque mezcla incidentes verificables, respuesta corporativa y vacío normativo. Oldelval comunicó a la CNV un incidente de ciberseguridad en sus sistemas administrativos. La compañía sostuvo que el transporte de crudo no se vio afectado, que activó su protocolo interno, recuperó los sistemas y retomó la operatoria normal. Varias coberturas reproducen esa línea y resaltan que el SCADA que controla bombeo y transporte no fue alcanzado.

Aun así, la forma en que el material trata el caso es reveladora. Datatrends Latam lo clasifica como ransomware RaaS y lo usa como ejemplo de fragilidad de gobernanza en infraestructura energética. Ransomware.live, Dexpose, Darkfield y otros rastreadores recogen la aparición de Oldelval en leak sites asociados a TheGentlemen o Incransom, pero esas entradas no equivalen a una validación oficial de atribución. Lo que sí queda firme es que Argentina no cuenta con una ley integral de ciberseguridad específica para infraestructura crítica energética. La Ley 26.388 tipifica delitos informáticos, pero no fija obligaciones de protección, notificación ni estándares mínimos para operadores privados. La Decisión Administrativa 641/2021 crea un comité y lineamientos para el sector público, pero no resuelve la capa privada de infraestructura crítica.

Ese vacío normativo importa más allá de Oldelval. Masindustrias describe un nivel de madurez OT desigual, con tecnologías heredadas y escasa visibilidad en tiempo real. LACNIC, por el contrario, muestra que sí existen múltiples CSIRTs y CERTs en Argentina, incluida capacidad especializada para sectores críticos. El problema no es ausencia absoluta de respuesta, sino dispersión de responsabilidades y falta de un marco sectorial vinculante que obligue a prevenir, reportar y remediar con criterios homogéneos.

Chile

Chile es el contrapunto más ordenado del material. La Biblioteca del Congreso Nacional y Zynap resumen una ley de ciberseguridad que cubre electricidad, combustibles, agua potable y saneamiento, además de telecomunicaciones e infraestructura digital. La definición de operador de importancia vital incluye explícitamente instituciones que prestan servicios de agua potable y saneamiento. La Resolución 187 Exenta refuerza esa lectura y asocia la calificación a la dependencia funcional del servicio y a la posible afectación de operaciones físicas o de información crítica.

El eje operativo está en los plazos. La alerta temprana al CSIRT Nacional debe cursarse dentro de tres horas. La actualización inicial, dentro de 72 horas, o 24 horas si se trata de un operador de importancia vital con compromiso de servicios esenciales. El informe final debe presentarse en 15 días corridos. Ley21663.info agrega que el efecto significativo, criterio que activa el deber de notificación, cubre continuidad del servicio esencial, integridad física o salud de las personas y tratamiento de datos personales. En otras palabras, Chile ya tiene una mecánica de reporte compatible con la dinámica de incidentes OT, donde cada hora cuenta.

Growmktech y Mister-IT Tech completan el cuadro con medidas técnicas. Segmentación de OT en zonas de seguridad, separación lógica, monitoreo de anomalías en SCADA y PLC, gestión documentada de riesgos, continuidad y recuperación. En Chile, el tema no queda solo en declaración de principio. Hay un marco, una clasificación de operadores y una ruta de notificación ya descrita en materiales técnicos y legales.

Uruguay

Uruguay aparece en el research menos por un incidente y más por su arquitectura institucional. CERTuy figura como el equipo nacional de respuesta a incidentes, con estadísticas públicas sobre incidentes de seguridad de la información. TIUruguay presenta a las plantas potabilizadoras de agua dentro del conjunto de infraestructuras de alta prioridad y bajo monitoreo constante, junto con energía, telecomunicaciones, transporte, finanzas y salud. Convergint, por su parte, detalla servicios específicos para agua y aguas residuales, incluyendo acceso seguro, monitoreo ambiental y detección de amenazas ciberfísicas.

Eso no significa inmunidad. Significa que existe una conversación institucional y de mercado alrededor de la infraestructura crítica. La visibilidad es mejor que en otros países del bloque, pero el material no aporta un incidente uruguayo comparable a Minnesota o Oldelval dentro de esta investigación. Lo que sí aporta es estructura: un CERT nacional, estadísticas semestrales, y un mercado que ya vende monitoreo para servicios de agua y aguas residuales.

Brasil

Brasil no aparece por un caso propio, sino como un amplificador regional de la noticia estadounidense. Tecmundo y CNN Brasil difundieron la campaña de Minnesota como un ataque coordinado a más de 30 sistemas de agua. O Globo añadió que no había indicios de alteración del agua o de riesgo para el consumo. El valor de estas coberturas es contextual. Reflejan que el incidente se leyó en la región como un evento OT de alcance internacional, no como una noticia local estadounidense más.

Colombia

En Colombia, el material usa dos planos. Primero, la cobertura del ataque a Estados Unidos por parte de El Colombiano y otros medios, con énfasis en que no hay indicios de agua alterada ni riesgo para la población. Segundo, la lectura regulatoria de Datatrends Latam, que señala la existencia de la Ley 1581 de Protección de Datos Personales y la SIC como autoridad de datos, pero ausencia de una regulación específica de ciberseguridad para infraestructura energética comparable a NIS2. El contraste es útil porque muestra que, aun con regulación de datos personales, un país puede carecer de un marco específico para proteger OT crítica.

Perú

Perú aparece como otro país donde el caso circuló a través de medios. El Comercio recogió la alerta conjunta del FBI y la EPA, y reportó que algunas plantas cambiaron a operaciones manuales sin interrupción del servicio. WWWhatsNew, MarketScreener, Reuters y otros medios citados por el research reforzaron el mismo encuadre. El aporte peruano al dossier no es un caso local, sino la manera en que la cobertura regional transmitió la escala del incidente.

Estados Unidos

Aquí está el núcleo operativo. Minnesota fue el epicentro inicial y el estado con mayor visibilidad pública. Luego aparecieron reportes en Michigan, Nueva Jersey, Dakota del Sur, Georgia y otros estados, con un total que CBS News llevó a al menos una docena. Los efectos documentados incluyen caída de presión, emisión de avisos de hervir el agua, paradas temporales de pozos y plantas, pérdida de funcionalidad de monitoreo y control, y necesidad de operación manual. La calidad del agua no se vio comprometida, pero la infraestructura sí quedó degradada.

Georgia, según CBS News, registró una caída de presión en Clayton County y un aviso de hervir el agua para aproximadamente 300.000 clientes en el área de Atlanta. Michigan reportó un pequeño número de comunidades afectadas. Nueva Jersey tuvo al menos dos comunidades comprometidas. Dakota del Sur sufrió un ataque a una planta de aguas residuales en Rapid City. Wisconsin aparece como posible afectado en algunas coberturas, aunque sin confirmación estatal. La distribución geográfica confirma que el problema no es local, sino sectorial.

Indicadores técnicos

No se publicaron IOCs clásicos en el material consolidado, como hashes, dominios de infraestructura maliciosa, IPs, certificados o nombres de malware específicos. Sí hubo referencias técnicas observables que funcionan como indicadores de explotación y hardening. Se listan a continuación porque pueden ser útiles para priorización defensiva, aunque no constituyen IOCs tradicionales.

Análisis para equipos de seguridad

La lección operativa más clara es que la exposición directa de OT a internet sigue siendo el punto de falla más barato para un atacante y el más caro para el operador. El material muestra que el atacante no necesitó una cadena sofisticada de explotación ni una intrusión de larga duración. Le bastó con encontrar PLC, módems celulares, gateways remotos o interfaces HMI expuestas o mal protegidas. Cuando eso sucede, el impacto puede no reflejarse en una caída completa del servicio, pero sí en pérdida de monitoreo, de control remoto y de capacidad de reacción.

Para equipos de seguridad y OT, la primera prioridad es inventariar toda la exposición pública. CISA y Nozomi Networks lo dijeron de forma explícita. Hay que identificar PLC, HMI, routers industriales, módems celulares, VPNs y gateways accesibles desde internet, y cerrar aquello que no tenga una justificación operacional documentada. La simple existencia de un dispositivo con interfaz web o de telemetría no implica que deba quedar publicado. Si debe existir acceso remoto, ese acceso tiene que pasar por gateway seguro, MFA y listas blancas de IP, con registro y supervisión.

La segunda prioridad es revisar credenciales y configuraciones de fábrica. La campaña mostró abuso de contraseñas por defecto, cambios de credenciales por parte de atacantes y secuestro de la visibilidad operacional. En plantas donde los PLC permanecen con contraseñas estáticas o compartidas, la barrera entre un incidente menor y una interrupción de servicio se vuelve muy delgada. Los respaldos limpios de imágenes de PLC, también recomendados por CISA, no son un lujo. Son la diferencia entre recuperar y reconstruir bajo presión.

La tercera prioridad es la segmentación OT/IT. Growmktech la propone para Chile, pero la recomendación vale para cualquier jurisdicción. La capa de control industrial no puede quedar pegada a redes administrativas, accesos de integradores externos y plataformas de monitoreo sin controles estrictos. El caso Minnesota sugiere además que la dependencia compartida, como un MSP o una plataforma centralizada de acceso remoto, puede amplificar el alcance de una intrusión. Eso exige revisar terceros, acuerdos de soporte, túneles VPN y gateways celulares con el mismo rigor que se aplica a un activo interno.

La cuarta prioridad es la detección de cambios no autorizados en configuraciones OT. El advisory de CISA y la lectura de Tenable mencionan manipulación de módulos reutilizables, exfiltración de archivos de proyectos PLC y cambios en configuraciones. Los equipos de defensa deben buscar anomalías en programas de PLC, diferencias entre baseline y configuración activa, cambios de IP, alteraciones de alarma, eventos de login fallido, apagado de telemetría, y cualquier transición inesperada a operación manual. La observabilidad tiene que llegar al proceso, no quedarse en la red.

La quinta prioridad es el gobierno de incidentes. Una utility de agua no puede improvisar qué reporta, a quién y en cuánto tiempo. Chile ofrece un modelo claro de plazos y plantillas, y Nueva York usa el presupuesto para bajar a tierra estándares mínimos y asistencia técnica. En cambio, los marcos débiles terminan dependiendo de la buena voluntad del operador o del ruido mediático. Para infraestructura crítica, el tiempo de notificación es parte del control. No sirve si el regulador se entera cuando el incidente ya se resolvió o cuando el operador ya volvió a manual sin dejar trazabilidad.

A nivel táctico, el caso sugiere revisar de inmediato cinco puntos:

1. Exposición pública de PLC, HMI, gateways y módems celulares.
2. Contraseñas por defecto o compartidas.
3. Acceso remoto de terceros y MSP sin MFA fuerte.
4. Baselines de configuración para detectar cambios en PLC y SCADA.
5. Capacidad de pasar a modo manual con procedimientos documentados y pruebas periódicas.

El caso Oldelval añade una lección distinta. Aunque la operación de transporte no se interrumpió, el impacto sobre sistemas administrativos fue suficiente para activar protocolos, notificación a la CNV y recuperación posterior. Para empresas de energía, agua y saneamiento, eso significa que la segmentación entre administración y operación debe ser real, no declarativa. Si el incidente administrativo puede crecer hasta tocar SCADA o telemetría, el problema deja de ser de TI y pasa a ser de continuidad de servicio.

Limitaciones del material

El material consolida una gran cantidad de coberturas periodísticas y análisis técnicos, pero no contiene una atribución oficial definitiva sobre la autoría de la campaña contra sistemas de agua en Estados Unidos. Varias fuentes mencionan sospechas o probabilidades vinculadas a Irán o a CyberAv3ngers, pero esas referencias están formuladas como hipótesis o evaluaciones preliminares, no como conclusión cerrada.

Tampoco hay IOCs clásicos publicados en el paquete, como hashes, dominios maliciosos, direcciones IP, certificados o nombres de malware específico para la campaña de Minnesota. La investigación técnica disponible se apoya en comportamiento, familias de PLC, puertos industriales y patrones operacionales observados. Eso limita la posibilidad de producir un listado de indicadores explotable por threat hunting tradicional.

El alcance exacto de los estados afectados también varía según la fuente y la fecha de publicación. El material pasa de siete estados a al menos una docena. Esa diferencia no necesariamente es contradictoria, pero sí refleja una campaña en evolución, con reportes escalonados y confirmaciones parciales. Algunas menciones a Wisconsin aparecen como posibles afectaciones sin confirmación estatal.

En el caso Oldelval, la confirmación de ransomware y la atribución a grupos como TheGentlemen o Incransom no están cerradas de forma uniforme. La empresa confirmó un incidente informático que afectó sistemas administrativos y no la operación de transporte, pero las lecturas sobre ransomware provienen en parte de sitios de filtración y rastreadores de incidentes. Por eso el episodio sirve mejor como caso de gobernanza y exposición regional que como atribución técnica definitiva.

Finalmente, la cobertura regional sobre Chile, Uruguay, Colombia, Brasil y Perú tiene densidades distintas. Chile ofrece material normativo y técnico muy sólido. Uruguay aporta estructura institucional. Colombia, Brasil y Perú aparecen sobre todo como mercados de cobertura y recepción de la noticia estadounidense, con menos evidencia local propia dentro del research. No se incluyeron países sin hechos verificables adicionales porque el paquete no aportó material suficiente para desarrollarlos sin especulación.