CISA alerta por PLC Siemens S7 activos

Actualización 30 de agosto de 2026: CISA y la cobertura periodística ampliaron el alcance de la campaña a más de 100 sistemas de agua y aguas residuales atacados en julio. También se sumaron detalles sobre impactos operativos limitados, una ampliación del advisory a más modelos de PLC y una investigación separada por una brecha en Micro-Comm.

CISA publicó el 20 de agosto de 2026 un aviso industrial sobre una amenaza activa contra controladores lógicos programables Siemens S7 usados en múltiples sectores de infraestructura crítica de Estados Unidos, entre ellos energía, agua y aguas residuales, manufactura, química, alimentos y agricultura. El alerta fue acompañado por un advisory conjunto de agencias federales y por boletines sectoriales que pidieron medidas inmediatas de endurecimiento para entornos OT.

¿Qué dijo el advisory federal sobre Siemens S7?

El advisory AA26-231A, emitido por NSA, CISA, FBI, DOE y EPA, identificó como afectados a los modelos Siemens S7-200, S7-300, S7-400, S7-1200 y S7-1500, incluyendo controladores de seguridad F-series, y remarcó que el riesgo aplica a todos los propietarios de PLC, sin importar el tipo de instalación ICS/OT. Boletines estatales y de asociaciones del sector agua replicaron el aviso con líneas directas de contacto con CISA, como el 1-844-Say-CISA, y con resúmenes de mitigaciones prioritarias para utilities de agua y aguas residuales.

¿Qué técnicas están usando los atacantes?

Las agencias y la cobertura técnica describen una cadena que combina reconocimiento público y automatización con IA. Según el advisory y los análisis citados, los actores usan servicios de escaneo de Internet como Censys y ZoomEye para localizar PLC Siemens S7 con el puerto 102 expuesto, y luego generan scripts de explotación en Python con herramientas de inteligencia artificial. TechTimes señaló además que esos exploits se apoyan en librerías open source como snap7 y python-snap7, y que el aviso federal incluye como indicio de compromiso la utilización no autorizada de snap7.dll fuera de sistemas aprobados.

La misma cobertura sostiene que este es el primer aviso oficial estadounidense que reconoce explícitamente el uso de código generado por IA para escribir exploits contra Siemens S7 PLCs desplegados en plantas de agua, energía, química y manufactura. TechCrunch también informó que las agencias advierten sobre scripts basados en información pública de Siemens S7, con foco en equipos desactualizados o mal protegidos.

¿Cómo cambió el alcance en los sistemas de agua?

CISA y medios como TechCrunch, SecureWorld y TechRadar Pro informaron que la campaña alcanzó más de 100 sistemas de agua y aguas residuales en julio, aunque hasta la fecha no provocó interrupciones significativas. Las consecuencias observadas incluyeron cambios no autorizados de contraseñas en PLC, reasignación de direcciones IP, avisos de hervir el agua y la necesidad de operar manualmente algunas plantas para mantener el servicio.

Según TechCrunch, el advisory de CISA indicó que los atacantes no causaron daños significativos, pero sí alteraron parámetros en equipos expuestos y obligaron a algunas utilities a pasar temporalmente a operación manual. SecureWorld añadió que CISA publicó una guía específica para reducir la exposición de PLC a Internet mediante inventario de activos, eliminación de accesos innecesarios, cambio de credenciales por defecto, aplicación de parches y uso de MFA.

TechRadar Pro precisó que entre los impactos reportados hubo cambios no autorizados de contraseñas en PLC, modificación de direcciones IP, boil water notices y operación manual temporal. El medio también sostuvo que la atribución sigue siendo incierta, aunque algunas investigaciones apuntan a un posible grupo iraní.

¿Qué pasó en Clayton County Water Authority?

El caso del 27 de julio en Clayton County Water Authority dejó un impacto visible pero acotado para los usuarios. Facilities Dive reportó que los responsables emitieron un aviso de hervir el agua mientras verificaban la calidad del suministro y que el servicio normal fue restaurado en pocas horas, una vez confirmado que el agua era segura.

¿Qué cambió en el advisory de julio?

El advisory conjunto inicial de CISA y FBI sobre ataques a PLC Rockwell fue actualizado el 22 de julio para extender el alcance a PLC Siemens S7-1200 y Schneider Electric Modicon M340. WaterOnline señaló además que los atacantes empezaron a usar software legítimo de ingeniería de los fabricantes para robar archivos de proyecto y manipular la lógica de control, una escalada técnica frente al mero escaneo de dispositivos expuestos.

EBuilderSecurity indicó que el advisory AA26-097A, emitido el 7 de abril y actualizado el 22 de julio, vincula la campaña de explotación de PLC expuestos con el IRGC Cyber Electronic Command y el grupo CyberAv3ngers, conocido por compromisos previos de controladores Unitronics en instalaciones de agua estadounidenses en 2023. La comunicación pública de CISA, sin embargo, mantiene una formulación más cautelosa sobre la atribución.

¿Cómo pidieron responder las autoridades?

CISA y sus socios instaron a retirar de Internet los PLC Siemens S7 expuestos directamente, inventariar todos los equipos S7, aplicar parches críticos, fortalecer controles de acceso, monitorear actividad no autorizada y endurecer servicios, protocolos e integridad del ladder logic. WaterISAC consolidó el aviso en boletines TLP:CLEAR y pidió a los operadores revisar qué equipos concretos de sus entornos ICS/SCADA están incluidos y aplicar mitigaciones específicas.

Yahoo News resumió las recomendaciones operativas en un checklist para utilities: desconectar PLC de Internet, canalizar todo acceso remoto a través de VPN o pasarela segura, cambiar contraseñas por defecto y aplicar listas de control de acceso para limitar las conexiones solo a dispositivos autorizados.

La respuesta sectorial también se extendió al caso de Minnesota. Cobertura regional detalló que más de 30 utilities comunitarias de agua en ese estado fueron objetivo de una campaña coordinada el 26 y 27 de julio, mientras autoridades federales y estatales investigan ataques contra instalaciones de tratamiento de agua y aguas residuales en varios estados de EE. UU. Teknopolitika añadió que la respuesta incluyó la activación de capacidades de respuesta a incidentes cibernéticos del estado y la coordinación entre el Departamento de Seguridad Pública de Minnesota, el Minnesota Fusion Center, el Departamento de Salud, la Agencia de Control de la Contaminación, CISA, EPA, FBI y las utilities locales.

¿Hay atribución confirmada?

No hay una atribución formal confirmada en el material provisto. Security Boulevard describió la ola de ataques contra tecnología operativa de utilities de agua en Estados Unidos y señaló que algunos investigadores la consideran posiblemente vinculada a Irán, pero sin confirmación oficial. OPSWAT, en un análisis sectorial, indicó que autoridades federales habrían señalado preliminarmente a Irán como principal sospechoso detrás de los ataques en Minnesota y Michigan, aunque aclaró que la atribución sigue siendo preliminar y que el FBI mantiene la investigación abierta.

Reuters informó además que autoridades de EE. UU. investigan una brecha de datos en Micro-Comm, un pequeño proveedor de Kansas que suministra tecnología de control a utilities de agua y aguas residuales. Según esa cobertura, el incidente parece estar vinculado a un ataque de ransomware separado de la campaña sospechosamente asociada a actores iraníes contra plantas en Minnesota y otros estados.