El agua es una vulnerabilidad estratégica, un hecho que no es ninguna novedad para los mandos militares. Cuando los ostrogodos quisieron paralizar Roma en el año 537, destruyeron sus acueductos. Más recientemente, las infraestructuras hidráulicas han sido un objetivo importante en el conflicto de Estados … Unidos con Irán, a pesar de que las leyes internacionales clasifican este tipo de ataques como posibles crímenes de guerra. En marzo, Donald Trump amenazó con «destruir por completo… posiblemente todas» las instalaciones de desalinización de Irán, que son esenciales para la vida en las áridas provincias del sur del país. Irán afirma que una de esas instalaciones fue bombardeada en la isla de Qeshm. Bahréin, Kuwait y Emiratos Árabes Unidos han sufrido ataques con misiles contra sus propias plantas de agua, que se presume que procedían de Irán.
Por tanto, fue digno de mención, aunque no debería haber sido una sorpresa, que las propias instalaciones de agua de Estados Unidos fueran objeto de un ataque este verano. El 27 de julio, Maple Plain, cerca de Mineápolis, declaró el estado de emergencia. Ese mismo día, la Autoridad del Agua del condado de Clayton, en Georgia —que abastece a 300.000 personas al sur de Atlanta—, pidió a los usuarios que hirvieran el agua tras una caída de presión que provocó interrupciones en el suministro. En total, los hackers se infiltraron en instalaciones de agua y aguas residuales de al menos siete estados estadounidenses; algunos informes sugieren que fueron más de 12. Minnesota fue el estado más afectado, con 30 sistemas comunitarios de abastecimiento de agua afectados. Las primeras evaluaciones de las autoridades estadounidenses apuntan a que los responsables son grupos alineados con Irán.
Los ataques informáticos pueden interrumpir el suministro de agua y hacer que esta no sea apta para el consumo, aunque no se cree que ninguno de los recientes ataques lo haya provocado. La cuestión es si los políticos tomarán, por fin, medidas para disuadir a los hackers antes de su próximo gran ataque. El 13 de agosto, Amy Klobuchar y Adam Schiff, dos senadores demócratas, presentaron la Ley para dotar al agua de un escudo cibernético, que otorga más competencias a la Agencia de Protección Medioambiental (EPA). Sin embargo, el 19 de agosto, las autoridades federales ya habían emitido una nueva advertencia: los hackers estaban intentando infiltrarse en dispositivos de Siemens utilizados en instalaciones de agua y otras infraestructuras críticas.
Newsletter
Como demuestra el último ataque, las plantas de tratamiento de agua no son la única infraestructura amenazada, si bien infiltrarse en ellas resulta especialmente fácil. La red eléctrica debe cumplir las normas de ciberseguridad supervisadas por la Comisión Federal Reguladora de la Energía. Sin embargo, no existen requisitos para el sector del agua. Las empresas que gestionan centrales eléctricas también son más grandes, cuentan con mayor financiación y están sometidas a una regulación más estricta que los operadores de agua: las mayores empresas de suministros de propiedad privada, como PG&E en California y Duke Energy en el sureste y el medio oeste, suministran electricidad a millones de hogares.
El agua —pesada y costosa de transportar— tiene un carácter más local. Alrededor del 90 % de las empresas dedicadas a dicho recurso, en su mayoría propiedad de los gobiernos locales, prestan servicio a menos de 10.000 personas cada una. Esto significa que cada una dispone de menos recursos para reforzar sus sistemas informáticos, a menudo obsoletos. De hecho, las infraestructuras de agua ya habían demostrado estar mal equipadas para defenderse de los ataques. En 2013, unos hackers iraníes se infiltraron en los sistemas de control de una pequeña presa en Nueva York, en un incidente que no se denunció hasta casi tres años después, y en 2023 se hicieron con el control de una bomba en una planta de agua de Pensilvania.
Laxa seguridad en los sistemas del agua
Los hackers iraníes son muy activos; el 18 de agosto, los fiscales federales acusaron a 17 iraníes de atacar los sistemas de universidades y empresas para robar investigaciones y propiedad intelectual. Una amplia campaña china, conocida como «Volt Typhoon», ha tratado de infiltrarse en la infraestructura crítica estadounidense para preparar un sabotaje.
Sin embargo, también pueden colarse aquellos con menos habilidades. En 2019, un antiguo empleado del distrito de aguas de Kansas utilizó sus antiguas credenciales para iniciar sesión en una aplicación que desactivó los procedimientos de limpieza —afirmó que estaba borracho, lo cual, de ser cierto, constituiría una prueba más de que el agua es un objetivo fácil—. Dos años más tarde, unos hackers tomaron el control de una instalación de agua en Oldsmar, Florida, e intentaron envenenar a los residentes aumentando los niveles de hidróxido de sodio, un ingrediente de los desatascadores. El intento fracasó, pero pudieron infiltrarse fácilmente en el sistema, ya que el ordenador de un operador ejecutaba TeamViewer, una popular herramienta corporativa que permite el acceso remoto a los equipos para la asistencia informática.
Las últimas intrusiones fueron relativamente sencillas. Los hackers violaron los sistemas de «tecnología operativa» que sirven de interfaz entre una red informática y un sistema físico. Para ello no hizo falta gran cosa: estos sistemas suelen estar conectados a la red pública de Internet a través de redes móviles y utilizan credenciales débiles, si es que tienen alguna. El 30 de julio, y de nuevo el 19 de agosto, las autoridades federales instaron a los operadores a desconectar de Internet los sistemas críticos.
Medidas mínimas
Los intentos anteriores por imponer normas de ciberseguridad a este mosaico de sistemas han fracasado en gran medida. Durante la administración Biden, la EPA intentó obligar a los estados a revisar e informar sobre las ciberamenazas a los sistemas de abastecimiento de agua. Los fiscales generales republicanos de Misuri, Arkansas e Iowa, junto con la Asociación Americana de Obras Hidráulicas (AWWA) y la Asociación Nacional de Agua Rural (NRWA), dos grupos del sector, presentaron una demanda alegando invasión de competencias. Después de que un tribunal federal dictara una suspensión de la iniciativa de la EPA, la agencia dio marcha atrás.
Cuando el Congreso ha actuado, las medidas han sido mínimas y han tardado en surtir efecto. En 2022, se aprobó la Ley de notificación de incidentes cibernéticos en infraestructuras críticas, que obliga a las organizaciones de sectores importantes a notificar los ciberataques graves en un plazo de 72 horas. Está previsto que sus normas se ultimen en septiembre, más de cuatro años después.
DEF CON Franklin, un grupo de hackers independiente, ha creado una iniciativa para aumentar la ciberseguridad del sector privado a pequeñas empresas de agua
Ahora podría haber un impulso para ir más allá. Este mes, DEF CON Franklin, un grupo de hackers con conciencia cívica, se ha asociado con la NRWA para poner en marcha el Water Watch Centre, una iniciativa destinada a proporcionar apoyo en materia de ciberseguridad del sector privado a pequeñas empresas de agua. El proyecto de ley de Klobuchar y Schiff no es la única propuesta que se está barajando.
El 5 de agosto, la AWWA, que se opuso a las propuestas de la administración Biden, respaldó la Ley de creación de la organización para el riesgo y la resiliencia del agua, auspiciada por Rick Crawford, un congresista republicano de Arkansas. Dicho proyecto de ley crearía un organismo independiente encargado de elaborar normas mínimas de ciberseguridad, bajo la supervisión de la EPA, a semejanza de los requisitos que se exigen a las eléctricas. Ese mismo día, Tom Cotton, senador republicano, escribió a Scott Bessent, secretario del Tesoro, instándole a introducir cambios en el código fiscal y otros ajustes normativos para animar a las plantas de tratamiento de agua a invertir en más seguridad.
La continuidad de la defensa de las aguas frente a hackers, en juego
Que Washington actúe con rapidez depende en gran medida de Trump. El presupuesto propuesto por el presidente, que el Senado debatirá en septiembre, aumentaría la partida destinada al Departamento de Defensa en un 44%, hasta alcanzar los 1,5 billones de dólares, donde se incluyen fondos para la guerra contra Irán y una «Cúpula dorada» de alta tecnología, destinada a proteger a Estados Unidos de los misiles. Ha mostrado menos interés en defender el agua estadounidense.
Su presupuesto recortaría en casi un 90% la mayor fuente de financiación de la EPA destinada a la ciberseguridad del agua. En julio sugirió que la culpa del ataque a Minnesota recaía en Tim Walz, el «corrupto» gobernador del estado, y que en realidad no se había producido ningún ataque iraní. «Irán tiene problemas más graves que preocuparse por Minnesota», afirmó. La Agencia de Ciberseguridad y Seguridad de las Infraestructuras, el principal organismo federal encargado de la ciberdefensa, se encuentra sumida en el caos, con agitación en la dirección, baja moral y un recorte de un tercio de la plantilla desde que Trump regresó a la Casa Blanca. Es posible que el Senado le presione para que haga más cuando regrese de las vacaciones. Los hackers no van a esperar.