El FBI, la NSA, la CISA, el Departamento de Energía y Cyber Command han actualizado este 23 de julio una alerta conjunta que advierte que actores vinculados al estado iraní están comprometiendo activamente sistemas industriales de control en instalaciones de agua y energía de EEUU, causando interrupciones operativas reales y pérdidas económicas documentadas. No es un aviso preventivo: la actividad ya ha generado daños en infraestructuras críticas.
Según la alerta, los atacantes están explotando controladores lógicos programables (PLCs) expuestos a internet en redes operativas, manipulando lo que los operadores ven en sus pantallas y causando paradas en procesos industriales. La alerta original, publicada en abril de 2026, identificaba principalmente equipos de Rockwell Automation/Allen-Bradley como objetivos. La actualización de hoy amplía el alcance a sistemas de Schneider Electric y Siemens, y advierte que «potencialmente todos los sistemas de control industrial expuestos a internet» pueden estar afectados.
Cómo funciona el ataque y quién está detrás
Los atacantes no necesitan explotar vulnerabilidades sofisticadas en todos los casos. En varios incidentes documentados, la entrada fue tan simple como acceder a PLCs con las credenciales por defecto sin cambiar, o directamente sin autenticación, a través de los puertos de gestión expuestos a internet: 44818, 2222, 102 y 502 son los que la alerta identifica como especialmente utilizados.
Una vez dentro, los atacantes modifican los proyectos de configuración de los PLCs, alteran los valores que aparecen en los paneles de control (las llamadas HMIs, Human Machine Interfaces) y en algunos casos han llegado a desactivar protecciones de seguridad automáticas. Las consecuencias documentadas incluyen paradas en procesos de tratamiento de agua potable y distribución de energía, que han obligado a operar de forma manual durante horas.
El grupo atribuido con mayor confianza es CyberAv3ngers, vinculado al Cuerpo de la Guardia Revolucionaria Islámica (IRGC) de Irán. Es el mismo grupo que atacó en 2023 la instalación municipal de agua de Aliquippa, Pensilvania, usando las mismas técnicas. La diferencia con los ataques anteriores es la escala y el contexto: la alerta de hoy llega meses después de que EEUU e Israel iniciaran operaciones militares contra instalaciones nucleares y militares iraníes, y las agencias lo describen como una escalada de represalia cibernética directamente vinculada a ese conflicto.
Por qué los sistemas de agua y energía son vulnerables
Hay una razón estructural por la que los sistemas de infraestructura crítica son blancos accesibles para este tipo de ataques: durante décadas, los PLCs y sistemas SCADA se diseñaron para entornos físicamente aislados, sin exposición a internet. La conectividad llegó después, sin que la seguridad se rediseñara de cero.
El resultado es que millones de dispositivos de control industrial en todo el mundo —no solo en EEUU— están directamente accesibles desde internet, con contraseñas por defecto nunca cambiadas, sin autenticación multifactor y sin cifrado de las comunicaciones entre el PLC y la interfaz de control. Las agencias recomiendan: segmentar las redes OT (Operacional Technology) de las redes IT y de internet, implementar autenticación multifactor en todos los accesos remotos, monitorizar el tráfico en los puertos vulnerables identificados y actualizar el firmware de los PLCs.
Mi valoración
Después de seguir la evolución de los ataques a infraestructuras críticas durante años, lo que más me llama la atención de esta alerta es la expansión del scope: pasar de Rockwell a incluir Schneider Electric y Siemens significa que el alcance potencial del ataque se multiplica. Estos dos fabricantes tienen presencia en virtualmente toda la infraestructura industrial del mundo occidental.
Lo que más me preocupa no son los ataques actuales sino la combinación de tres factores que converge en este momento: la escalada del conflicto entre EEUU/Israel e Irán, el nivel creciente de sofisticación de los grupos de amenaza iraníes y la demostración reciente de que los modelos de IA pueden explotar vulnerabilidades en sistemas reales de forma autónoma. Los atacantes iraníes han operado hasta ahora con métodos relativamente convencionales (credenciales por defecto, explotación de puertos expuestos). La siguiente evolución, con asistencia de IA para identificar y explotar cadenas de vulnerabilidades, es el escenario que los defensores necesitan empezar a preparar hoy.
La pregunta a 12 meses no es si habrá más ataques a infraestructuras críticas. Es si las utilities afectadas habrán implementado las medidas básicas que la alerta recomienda desde 2023.
Preguntas frecuentes
¿Qué son los PLCs y por qué son objetivos de estos ataques?
Los PLCs (Programmable Logic Controllers o Controladores Lógicos Programables) son ordenadores industriales especializados que controlan procesos físicos: abrir y cerrar válvulas en una planta de agua, regular presiones en un sistema de gas, gestionar la distribución en una subestación eléctrica. Son el «cerebro» de la infraestructura física. Su vulnerabilidad principal es que fueron diseñados para entornos aislados y más tarde se conectaron a internet para gestión remota, sin que la seguridad se actualizara de la misma forma. Muchos siguen operando con contraseñas por defecto que no se han cambiado desde su instalación.
¿Qué instalaciones afecta específicamente este tipo de ataque?
Según la alerta conjunta de las agencias estadounidenses, los sectores afectados incluyen instalaciones de agua y aguas residuales (tratamiento de agua potable, depuradoras), instalaciones de energía (distribución eléctrica, gas) y servicios e instalaciones gubernamentales. Los PLCs de Rockwell Automation/Allen-Bradley eran los principales objetivos identificados en la alerta de abril de 2026; la actualización de julio extiende la alerta a productos equivalentes de Schneider Electric y Siemens, ampliando significativamente el número de instalaciones en riesgo.
¿Qué pueden hacer las empresas de infraestructura para protegerse?
Las agencias recomiendan medidas concretas: desconectar de internet todos los PLCs que no necesiten acceso remoto; para los que sí lo necesiten, añadir autenticación multifactor y acceso a través de VPN segura; cambiar las credenciales por defecto de todos los equipos; monitorizar el tráfico en los puertos vulnerables identificados (44818, 2222, 102, 502); mantener el firmware de los PLCs actualizado; y segmentar completamente las redes OT (infraestructura física) de las redes IT (gestión de datos) y del acceso a internet.