EE.UU.: alertas sobre OT en agua

FERC difundió lecciones derivadas de las auditorías fiscales de 2026 para entidades registradas ante NERC del sector eléctrico estadounidense. La comunicación, según lo informado, apuntó a observaciones de cumplimiento potencial y a riesgos vinculados con herramientas de inteligencia artificial y sistemas de control de terceros, sin concluir que todo el sector incumpliera los estándares obligatorios.

¿Qué dijeron las auditorías CIP de FERC?

FERC señaló, de acuerdo con los resúmenes de Morgan Lewis y McGuireWoods, que las lecciones de las auditorías CIP de 2026 abarcaron registro de nuevas instalaciones de generación, control agregado de generación por afiliadas o proveedores, uso de IA dentro de entornos conectados a redes reguladas por CIP, y riesgos asociados a terceros. McGuireWoods añadió que la mayoría de las entidades auditadas cumplía los estándares de confiabilidad CIP, aunque persistían brechas, sobre todo entre nuevos participantes y ante tecnologías nuevas como la inteligencia artificial.

¿Qué incidentes y exposiciones se observaron en agua?

Según Industrial Cyber, una campaña habría afectado a más de 30 empresas de agua de Minnesota mediante PLC expuestos a Internet, aunque la actividad no había sido atribuida formalmente. En paralelo, Ampyx Cyber precisó que la cifra de [más de 100](https://ampyxcyber.com/blog/cisa-ot-binding-operational-directive) correspondía a sistemas de agua y aguas residuales expuestos a Internet que fueron objetivo de actividad maliciosa en julio de 2026, y no necesariamente a más de 100 empresas comprometidas. Ese análisis también indicó que muchos PLC estaban conectados directamente mediante módems celulares.

Nozomi Networks, por su parte, describió un ataque contra una estación de bombeo en el que se habrían explotado directamente PLC Unitronics Vision expuestos a Internet. En su análisis, la firma recomendó revisar especialmente el puerto EtherNet/IP 44818 en entornos con PLC Rockwell/Allen-Bradley y mencionó credenciales predeterminadas sin modificar como vector de riesgo.

¿Qué mostró el análisis sobre petróleo y gas?

Un análisis de Dragos citado por Industrial Cyber indicó que 29% de los casos de petróleo y gas analizados presentaban una segmentación deficiente entre TI y TO. El mismo trabajo señaló que VOLTZITE habría comprometido gateways celulares en infraestructura estadounidense de petróleo y gas y luego se habría desplazado hacia estaciones de trabajo de ingeniería.

Ese resultado, según el material disponible, no aportó una fuente independiente adicional que confirmara por separado esa atribución. Aun así, el cuadro general que describen los informes reunidos es consistente: acceso remoto mal configurado, exposición de equipos de control y debilidades de segmentación siguen apareciendo en agua, energía y petróleo y gas en Estados Unidos.