El FBI y la EPA confirman ciberataques a plantas de agua en siete estados
Siete empresas de agua y aguas residuales sufrieron intrusiones desde el 27 de julio. Los atacantes entran por controladores lógicos programables expuestos a internet y dejan a las operadoras sin monitoreo ni control.
El FBI y la Agencia de Protección Ambiental de Estados Unidos emitieron un aviso público conjunto tras confirmar que siete empresas de agua y aguas residuales sufrieron ciberataques desde el 27 de julio de 2026, con degradación operativa verificada en cada caso.
Qué ocurrió
Los atacantes entran por controladores lógicos programables expuestos directamente a internet. Una vez dentro, cambian las direcciones IP y las contraseñas de los equipos, lo que deja a las operadoras sin capacidad de monitoreo ni de control sobre sus propios procesos. El FBI reporta pérdidas de presión en la red de distribución e inundaciones en instalaciones afectadas.
La advertencia técnica del aviso apunta a un riesgo sanitario derivado: cuando la presión cae por debajo del umbral operativo, el agua subterránea sin tratar puede infiltrarse en las tuberías de distribución.
El aviso federal llega después de que más de 30 sistemas municipales de agua en Minnesota fueran comprometidos. Un memorando del WaterISAC citado por Wired vincula esos ataques con Irán, aunque las agencias federales evitan hasta ahora una atribución formal.
Lectura Tabuga Intelligence
La sofisticación del ataque es baja y ese es precisamente el dato relevante. Un controlador industrial con dirección IP pública y credenciales de fábrica no requiere un actor estatal para ser vulnerado: requiere un escaneo automatizado y quince minutos. La brecha entre la criticidad del activo y la trivialidad del vector define el problema.
Para el operador de infraestructura en el Caribe y Centroamérica, el ejercicio útil se completa en una tarde. Consiste en inventariar cuántos activos de tecnología operacional —PLC, SCADA, HMI, variadores de frecuencia— responden desde internet abierto, y cuántos de ellos conservan credenciales por defecto. En la mayoría de las utilities regionales ese inventario nunca se ha levantado, y la respuesta suele sorprender a la propia gerencia técnica.
El segundo aprendizaje es de continuidad operativa. La pérdida de visibilidad sobre el proceso resulta tan dañina como la manipulación directa: una planta que no puede leer sus propios sensores opera a ciegas, y el operador humano toma decisiones sobre datos que ya no reflejan la realidad física. Los planes de contingencia que asumen disponibilidad de telemetría quedan inservibles bajo este escenario.
El tercer punto es regulatorio. Estados Unidos está tratando el agua como infraestructura crítica sujeta a avisos federales coordinados entre agencias de seguridad y ambientales. La región dominicana y centroamericana carece de un equivalente institucional que emita alertas técnicas accionables a operadores de servicios básicos, y esa ausencia se paga en tiempo de respuesta.
Fuente: Engadget — Cyberattacks hit water facilities in seven states across the US (1 de agosto de 2026)