CISA ha advertido sobre un aumento significativo en ciberataques dirigidos a los sistemas de agua en Estados Unidos, instando a las organizaciones a implementar mitigaciones, fortalecer su postura de seguridad y garantizar la resiliencia frente a estos intentos.

En julio de 2026, CISA informó que ha observado ataques contra más de 100 sistemas expuestos a Internet en el sector de Agua y Aguas Residuales (WWS). Estos ataques apuntan a controladores lógicos programables (PLC) e instalaciones industriales utilizadas para gestionar procesos físicos, como la regulación de bombas y válvulas, lo que permite a los operadores monitorizar y controlar maquinaria en infraestructuras críticas. Al dirigirse a estos componentes, los atacantes pueden interrumpir servicios y, en el peor de los casos, crear condiciones inseguras para la ciudadanía.

La atribución y su incertidumbre

En su informe, CISA no especificó quiénes son los actores de la amenaza ni qué objetivos persiguen. Un análisis recogido por The Register sugiere la posibilidad de un actor único, presumiblemente un grupo patrocinado por un estado iraní. Según esa publicación, las instalaciones en al menos 12 estados estadounidenses fueron atacadas, y estos incidentes podrían representar una fase de pruebas para una campaña más amplia en desarrollo.

Sin embargo, atribuciones concretas siguen siendo complejas y polémicas. Hasta que no se confirme de manera definitiva, la prioridad de CISA se mantiene en proporcionar asistencia inmediata a los afectados y reducir la exposición de OT/PLC a Internet. En palabras de la agencia, se recomienda eliminar lo antes posible los PLC expuestos públicamente y otros equipos de tecnología operativa de Internet.

Entre las evidencias reportadas se han observado cambios de contraseñas para bloquear a los operadores e interrupciones de PLC mediante cambios en direcciones IP. Estas acciones han dado lugar a avisos de hervido de agua (boil water notices) y a operaciones manuales sostenidas, destacando la necesidad de controles de seguridad robustos y planes de continuidad operativa.