En la pequeña ciudad de Braham, en el Medio Oeste, capital del pastel casero de Minnesota, algo inusual en los sistemas informáticos del municipio dejó fuera de servicio todo el suministro de agua de la ciudad la semana pasada.
En unas pocas horas, docenas de otras ciudades de Minnesota descubrieron que sus servicios de agua y aguas residuales también se habían visto comprometidos, muy probablemente como parte de un ciberataque iraní masivo, del tipo sobre el que los funcionarios estadounidenses han estado advirtiendo desde que comenzó la guerra.
Al menos una docena de estados se han visto afectados por el ataque, que brevemente provocó una oleada de interrupciones del servicio en ciudades pequeñas, avisos de hervir el agua e inundaciones locales. Los pozos de agua, represas, alcantarillas y tuberías son algunas de las infraestructuras más antiguas y chirriantes de Estados Unidos, construidas mucho antes de que existiera Internet y, ciertamente, mucho antes de que la IA hiciera mucho más fácil la piratería. Si bien se puede suponer que la mayoría de los piratas informáticos lo hacen por dinero o por datos, algunos se han dirigido a infraestructuras críticas, como sistemas de agua o redes de energía, en estratagemas para controlar o interrumpir, o peor aún, como actos de guerra.
Y, como lo demuestran los ataques de la semana pasada, el sistema de agua del país lamentablemente no está preparado. Pero, ¿qué tan preocupado debería estar usted de que la misma infraestructura que mantiene funcionando nuestros grifos de agua sea, aparentemente, pirateable?
Cuando decimos que el suministro de agua fue pirateado, lo que realmente queremos decir es que alguien, en algún lugar, ha irrumpido en la computadora que controla una planta de tratamiento de agua o un depósito local, y ahora está tirando de las palancas, como la que decide qué cantidad de un químico corrosivo puede usarse de manera segura para limpiar el agua que sale del grifo.
Estas palancas alguna vez fueron botones y perillas manuales operados en persona por humanos reales, lo que significa que, salvo un desastre natural, una bomba o un robo, protegerlas era tan simple como construir una cerca y contratar guardias. Sin embargo, estas palancas se han vuelto cada vez más digitales, lo que significa que ahora pueden operarse de forma remota desde cualquier parte del mundo.
Esas actualizaciones han sido convenientes y han permitido a los técnicos monitorear y solucionar problemas en tiempo real. Pero, en el proceso, en ocasiones han expuesto infraestructura centenaria a vulnerabilidades claramente modernas. La mayoría de los sistemas de agua locales son operados por autoridades locales, no tienen un equipo de TI dedicado y carecen del dinero o los recursos para protegerse completamente sin ayuda adicional. Los piratas informáticos lo saben, razón por la cual se han dirigido cada vez más a agencias locales en este tipo de ataques.
“Una gran conectividad conlleva una gran responsabilidad”, afirmó Joshua Corman, fundador de I Am The Cavalry, una organización sin fines de lucro centrada en ayudar a que la infraestructura crítica resista a los piratas informáticos. Y, sin embargo, incluso cuando se trata de servicios críticos como el agua, “nuestra dependencia de la tecnología conectada está creciendo más rápido que nuestra capacidad para asegurarla”.
Alrededor del 97 por ciento de los sistemas de agua son pequeños, administrados por agencias locales que a menudo apenas cierran con llave la proverbial puerta de entrada. El sistema de agua de Estados Unidos es como una costosa bicicleta tradicional que ha sido dejada en una calle muy transitada, protegida sólo por el más endeble de los candados. Y esa misma vulnerabilidad ha convertido a ciudades pequeñas como Braham en objetivos principales para adversarios lejanos. Acceder a las computadoras que operan la mayoría de los sistemas de agua, conocidos como controladores lógicos programables o PLC, suele ser tan simple como ingresar un nombre de usuario y contraseña en una página web pública. A veces, no existe ninguna contraseña real, porque inicialmente se pensó que se podía acceder a los PLC solo dentro de instalaciones cerradas y seguras, no a través de Internet abierto. Si Estados Unidos quiere evitar una versión mucho más grave de lo que ocurrió la semana pasada, entonces tendrá que empezar a tomar en serio la seguridad de pequeños sistemas de agua como el de Braham.
«Cualquier sociópata de cualquier parte del mundo puede ver estas cosas en Internet», dijo Corman. Y en el caso de los ataques de la semana pasada, «estos eran dispositivos sin contraseña, sin firewall o VPN que los protegiera; simplemente tenían que iniciar sesión» como quienquiera que fuera el operador previsto, y así, estaban dentro de una planta de agua local.
¿Cómo sucedió esto?
Cuando los municipios comenzaron a conectar sus antiguos sistemas de agua y aguas residuales a Internet (una tendencia que se aceleró durante la pandemia cuando los operadores de agua, como todos los demás, se adaptaron al trabajo remoto), la ciberseguridad rara vez estuvo en la mente, ni para las empresas de servicios públicos individuales ni para los reguladores en su conjunto.
«Tenemos más regulaciones de ciberseguridad para su tarjeta de crédito que para el suministro de agua del país», dijo Corman. Sólo recientemente algunos municipios han comenzado a tomar medidas para disminuir la exposición de sus plantas acuáticas a los ataques. En marzo, el estado de Nueva York, por ejemplo, lanzó un conjunto de subvenciones y regulaciones básicas de ciberseguridad que exigen capacitación en seguridad para todos los operadores de agua.
La higiene básica en ciberseguridad no siempre es suficiente. Más de la mitad de todos los titulares de tarjetas de crédito han sido pirateados, incluso con la ayuda de firewalls obligatorios y cifrado de datos. Puedes imaginar lo vulnerable que debe ser nuestra agua sin la ayuda de tales barandillas. En el peor de los casos, un actor malintencionado podría literalmente abrir las compuertas, como hicieron los piratas informáticos rusos con una presa noruega el año pasado. Podrían envenenar el agua del grifo, como casi lo hizo un pirata informático aún no identificado en Florida en 2021, aumentando los niveles de hidróxido de sodio utilizados en una planta de tratamiento de agua en más de 100 veces sus niveles normales. En un escenario severo, podrían cortar indefinidamente el acceso al agua por completo.
La buena noticia es que nada de esto sucedió la semana pasada. Nadie murió, nadie perdió agua durante más de unas pocas horas, ninguna boca de incendio se secó y ningún hospital se vio obligado a cortar sus máquinas de diálisis (que pueden usar más de cien galones de agua por sesión de tratamiento). No hay necesidad de entrar en pánico, y es casi seguro que el agua potable todavía sea segura para beber, suponiendo que lo fuera antes. Incluso la ciudad de Braham, en unas pocas horas, pudo volver a poner en funcionamiento su torre de agua, bombeando agua subterránea a sus 1.800 residentes.
¿Cómo evitamos el ciberarmagedón?
Si has visto el thriller protagonizado por Julia Roberts y Mahershala Ali Deja el mundo atrásen el que un ciberataque arruina apocalípticamente unas vacaciones familiares, entonces quizás tengas una idea de hacia dónde podría llegar esta historia.
Los ciberataques a infraestructuras críticas pueden ser extraordinariamente peligrosos, pero afortunadamente, hasta ahora ninguno ha costado vidas ni ha perturbado gravemente los servicios en este país. Si Estados Unidos quiere que siga así, eso significará hacer más para ayudar a las ciudades pequeñas como Braham a adaptarse y monitorear mejor las amenazas potenciales. Tal como están las cosas, de las aproximadamente 151.000 instalaciones de agua en los EE. UU., sólo unas 420 participan en el intercambio voluntario de información sobre sus propias prácticas de ciberseguridad, dice Corman, quien ha estado liderando su propio proyecto que recluta voluntarios para brindar apoyo gratuito en ciberseguridad a las empresas de agua en las aproximadamente 6.000 ciudades hospitalarias del país, donde una interrupción podría ser particularmente mortal.
Los expertos en ciberseguridad como Corman creen que los piratas informáticos de otras naciones como China ya han establecido silenciosamente intrusiones cibernéticas en innumerables servicios públicos, sistemas de agua y redes eléctricas locales de EE. UU., al acecho para atacar o actuar como palanca si surge un conflicto.
Desafortunadamente, la administración Trump difícilmente ha tratado los ataques de la semana pasada como síntomas de un sistema que necesita un fortalecimiento mucho más amplio, al menos en sus declaraciones públicas. «Creo que Minnesota está detrás de esto. ¿Sabes quién está detrás de esto? Minnesota», afirmó sin fundamento el presidente durante una reunión de gabinete el viernes pasado. «Creo que el gobernador está detrás de esto. No creo que haya habido un ciberataque iraní».
Hace apenas unos meses, propuso recortes por 707 millones de dólares a la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA), la agencia responsable de proteger la infraestructura del país de los ciberataques. Lo hizo, al menos en parte, por enfado por el papel de la agencia a la hora de confirmar la validez de los resultados de las elecciones de 2020. Si Irán es, de hecho, responsable de las recientes intrusiones en el sistema de agua, todo esto significa que Trump efectivamente nos ha hecho más vulnerables a las consecuencias de un conflicto que él inició.
Al fin y al cabo, “los piratas informáticos de los estados-nación no respetan las líneas jurisdiccionales que separan la responsabilidad federal, estatal y local”, escribió esta semana en el New York Times Jen Easterly, quien dirigió CISA bajo la administración Biden. «Buscan la forma más vulnerable de perturbar la vida estadounidense y, con demasiada frecuencia, la encuentran en comunidades pequeñas que carecen de recursos para defenderse». El puesto de Easterly ha permanecido vacante durante los últimos 18 meses.
Kurt Gaudette, vicepresidente senior de la firma de ciberseguridad Dragos, me dijo que los sistemas de agua deben adquirir el hábito de monitorear sus redes en busca de actividades sospechosas. La mayoría de las empresas de energía han comenzado a hacerlo en los últimos años, con cierto respaldo bipartidista del Congreso.
En algunos casos, sin embargo, la forma más rentable y segura de evitar que se repita el desastre de la semana pasada podría ser desconectar los controles más vitales (como el que decide los niveles químicos en una planta de tratamiento de agua) de la red por completo.
Como dice Corman, «si no puedes protegerlo, desconéctalo».
