Dos ataques al agua en un mes: en uno se cortó el suministro, en otro no

Más de treinta servicios de agua en Minnesota sufrieron un ataque coordinado contra sus sistemas de control industrial. Días antes, Qilin golpeó a la empresa pública de agua de la Costa del Sol. La diferencia entre ambos desenlaces no fue el atacante.

Qué pasó

Minnesota, 26 y 27 de julio. Un ataque coordinado afectó los sistemas de tecnología operacional de más de treinta servicios comunitarios de agua. A diferencia de una brecha de datos tradicional, el objetivo fue el proceso físico de tratamiento, no una base de datos ni un sitio corporativo. Las autoridades locales confirmaron la disrupción operativa.

Hasta el momento no se ha atribuido públicamente a ningún grupo ni se han detallado los mecanismos exactos de intrusión. Lo que sí distingue al incidente es su naturaleza coordinada y multi-víctima: un ataque simultáneo contra decenas de entidades independientes apunta a la explotación de una debilidad de configuración compartida —posiblemente a través de proveedores de tecnología o integradores comunes— más que a ataques individuales aislados.

Costa del Sol, principios de julio. Acosol, empresa pública responsable del abastecimiento de agua potable y saneamiento en múltiples municipios, confirmó que sus sistemas de tecnología de la información fueron afectados por un ciberataque. Días después, Qilin reclamó públicamente la autoría, lo que llevó a la compañía a actualizar su comunicado reconociendo el hecho como ciberataque confirmado, no solo como reclamo de terceros.

Y acá está el dato que importa: el comunicado confirma afectación a sistemas de TI corporativos, sin que se haya confirmado públicamente compromiso directo sobre los sistemas de control industrial que gestionan la operación física del suministro.

Por qué importa acá

Los entornos de tratamiento de agua dependen de sistemas SCADA que coordinan sensores, controladores lógicos programables y actuadores físicos: bombas, válvulas, dosificadores químicos. Fueron diseñados originalmente para redes aisladas, y la modernización operativa los conectó a redes corporativas e incluso a internet para permitir monitoreo y mantenimiento remoto.

Cuando esa automatización se compromete o debe desactivarse por seguridad, los operadores asumen manualmente funciones que normalmente ejecutan controladores en milisegundos. En agua potable eso es crítico: una dosificación química fuera de rango o un fallo de bombeo puede tener consecuencias sanitarias directas. La falta de redundancia entre control automático y humano es el punto ciego más peligroso de estos entornos, especialmente en servicios pequeños con personal limitado.

En Chile, la Ley 21.663 clasifica explícitamente a los servicios sanitarios, energía, telecomunicaciones y sector financiero como operadores de infraestructura crítica, obligándolos a reportar incidentes de forma oportuna a la ANCI y a implementar estándares mínimos de seguridad, incluida la gestión de riesgos en entornos OT.

Las empresas sanitarias chilenas administran sistemas de control industrial equivalentes a los comprometidos en Minnesota para gestionar captación, tratamiento y distribución de agua potable a nivel nacional. Un incidente similar acá no generaría solo pérdidas económicas: pondría en riesgo directo el acceso a un servicio básico esencial para la población, con implicancias legales, reputacionales y de continuidad operativa de otro orden.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — Interfaces de gestion y HMI expuestas a internet, el patron dominante en Minnesota.
• T1133 — Accesos VPN de mantenimiento remoto sin segundo factor, habituales con integradores.
• T1078.001 — Credenciales predeterminadas de fabrica sin cambiar en equipos de control.
• T1486 — El desenlace en Acosol: cifrado contenido en la capa administrativa.
• T1499 — En OT el equivalente es la interrupcion del proceso fisico, no la caida de un servidor.
• D3-NI — La contramedida que explica por que un caso termino distinto del otro.

# Zeek: protocolos industriales vistos FUERA del segmento OT.
# Si esto dispara, la separacion entre IT y OT no existe como se cree que existe.

@load base/protocols/conn

module DeteccionOT;

export {
    redef enum Notice::Type += { Protocolo_Industrial_Fuera_De_OT };
    # Ajustar a la realidad de tu red antes de usar
    const redes_ot: set[subnet] = { 10.50.0.0/16, 192.168.100.0/24 } &redef;
    const puertos_industriales: set[port] = {
        502/tcp,    # Modbus
        20000/tcp,  # DNP3
        102/tcp,    # S7comm (Siemens)
        44818/tcp,  # EtherNet/IP
        1911/tcp,   # Niagara Fox
        4840/tcp    # OPC UA
    } &redef;
}

event connection_established(c: connection) {
    if (c$id$resp_p !in puertos_industriales) return;
    if (c$id$orig_h in redes_ot && c$id$resp_h in redes_ot) return;  # trafico interno OT: normal

    NOTICE([$note=Protocolo_Industrial_Fuera_De_OT,
            $conn=c,
            $msg=fmt("Protocolo industrial %s cruzando el borde IT/OT: %s -> %s",
                     c$id$resp_p, c$id$orig_h, c$id$resp_h),
            $identifier=cat(c$id$orig_h, c$id$resp_h, c$id$resp_p)]);
}

# Autoevaluacion de exposicion: mirar tu propia infraestructura como la mira un atacante.
# Ejecutar desde FUERA de la red corporativa, con las IP publicas de tu organizacion.

# 1. Que puertos industriales responden desde internet en tu rango publico
nmap -Pn -sT -p 102,502,1911,4840,20000,44818,47808 --open -oN expuesto_ot.txt TU.RANGO.PUBLICO/24

# 2. Interfaces web de gestion accesibles (HMI, paneles de integrador, camaras)
nmap -Pn -sT -p 80,443,8080,8443,8000,9000 --open --script http-title TU.RANGO.PUBLICO/24

# 3. Acceso remoto expuesto sin segundo factor
nmap -Pn -sT -p 22,3389,5900,1194 --open TU.RANGO.PUBLICO/24

# 4. Que ve de ti un buscador publico de dispositivos, sin escanear nada
#    Consultar en Shodan o Censys:  net:"TU.RANGO.PUBLICO/24"
#    y tambien:  org:"NOMBRE DE TU ORGANIZACION"

# Criterio de lectura: cualquier resultado en el punto 1 es un hallazgo critico.
# En el 2, toda interfaz de gestion alcanzable desde internet debe justificarse por escrito
# o cerrarse. Un PLC no deberia aparecer jamas.

index=vpn OR index=firewall earliest=-90d
| eval destino_ot = if(cidrmatch("10.50.0.0/16", dest_ip) OR cidrmatch("192.168.100.0/24", dest_ip), 1, 0)
| where destino_ot=1
| eval hora = strftime(_time, "%H")
| eval fuera_horario = if(hora < 6 OR hora > 22, 1, 0)
| eval es_proveedor = if(match(lower(user), "(soporte|vendor|integrador|contratista|externo)"), 1, 0)
| stats count AS sesiones, dc(src_ip) AS origenes, values(src_ip) AS ips,
        sum(fuera_horario) AS sesiones_fuera_horario,
        min(_time) AS primera, max(_time) AS ultima by user, es_proveedor
| convert ctime(primera) ctime(ultima)
| sort - sesiones_fuera_horario, - sesiones

Fuentes

• BCNLey 21.663, Ley Marco de Ciberseguridad e Infraestructura Crítica de la Información
• MITRE ATT&CK for ICST0883 — Internet Accessible Device (ATT&CK for ICS)
• MITRE ATT&CKT1078.001 — Valid Accounts: Default Accounts
• MITRE D3FENDD3-NI — Network Isolation

Relacionado