Siete agencias federales de Estados Unidos firman la alerta, actualizada el 22 de julio de 2026, sobre controladores industriales comprometidos en servicios de agua, energía y organismos públicos. El detalle que le importa a quien automatiza cualquier cosa no es la autoría del ataque. Es el método: el acceso se dio por equipos alcanzables desde internet, con el software de ingeniería del propio fabricante, y la alteración hecha en la lógica fue desactivar las rutinas de parada y de alarma.
Declaración antes que nada: este post es un análisis de alertas y de documentación primaria, no un relato de operación industrial. Nunca operé un controlador lógico programable ni una planta de tratamiento. Lo que sigo aquí es lo que afirman los documentos oficiales, con la fecha en que fueron consultados, y la lectura que hago de ellos viene identificada como lectura.
Lo que describen los documentos
Un controlador lógico programable (CLP) es la computadora industrial que ejecuta la lógica de una máquina, de una línea de producción o de una estación de tratamiento de agua. Lee sensores, acciona bombas y válvulas, y corre un programa que alguien escribió y cargó. Ese programa vive en un archivo de proyecto.
Dos documentos de la Agencia de Seguridad Cibernética y de Infraestructura de Estados Unidos (CISA) describen lo que ocurrió con esos equipos en los últimos meses.
El primero es el comunicado del 30 de julio de 2026, dirigido al sector de agua y aguas residuales. La agencia relata un aumento significativo de ataques a CLP y pide que los operadores retiren de internet los controladores expuestos. Los invasores cambiaron contraseñas para dejar a los operadores fuera del propio equipo y cambiaron direcciones de IP para desconectarlo. El resultado, según el texto, fue la emisión de avisos de hervir el agua y una operación manual prolongada. El comunicado observa además que la exposición suele incluir módems celulares instalados por proveedores o integradores, que pueden no estar documentados ni entrar en los escaneos de rutina.
El segundo es la alerta conjunta AA26-097A, publicada el 7 de abril de 2026 y actualizada el 22 de julio, firmada por el FBI, la CISA, la NSA, la EPA, el Departamento de Energía, el Comando Cibernético y el Departamento del Tesoro. Atribuye la actividad a un grupo afiliado a Irán y detalla el recorrido técnico. Los invasores usaron infraestructura alquilada y el software de programación de los fabricantes para conectarse a controladores mal configurados, extrajeron los archivos de proyecto de los equipos y devolvieron versiones alteradas.
Lo que esas versiones alteradas hacían está descrito con todas las letras, y es el centro de este texto. En traducción libre de la alerta: los cambios “deshabilitaron la lógica crítica de apagado y de alarma, lo que permitió que los sistemas entraran en condiciones inseguras sin notificar a los operadores las anomalías”.
En una de las víctimas, el FBI observó algo aún más específico: el archivo de proyecto malicioso preservó la lógica que hacía que el proceso siguiera adelante y añadió lógica que anulaba las instrucciones responsables de mantener los parámetros de operación segura. El proceso siguió funcionando. Solo salió la protección.
La puerta de entrada estaba registrada
El tráfico malicioso se observó en cuatro puertos: 44818, 2222, 102 y 502. Ninguno es desconocido. Todos constan en el registro público de puertos de la IANA, la autoridad que administra esos números: 502 es Modbus, 102 es el ISO-TSAP usado por los equipos de Siemens, y 2222 y 44818 son las dos mitades de EtherNet/IP. Son la puerta de adelante de la automatización industrial, y están documentados desde hace décadas.
Los equipos citados como objetivo también son de línea común: CompactLogix y Micro850, de Rockwell Automation; Modicon M340, de Schneider Electric; y la serie S7-1200, de Siemens. La alerta los nombra porque fueron los observados, no porque sean defectuosos. La exposición directa a internet es la que abre la puerta, y esa es una decisión de quien instala.
Cabe registrar el contrapunto histórico: esos protocolos nacieron para redes aisladas, en una época en la que estar físicamente dentro de la planta era la autenticación. Modbus es de 1979. La CISA describe la consecuencia de eso sin rodeos en su ficha de mitigaciones primarias, de mayo de 2025: los equipos de tecnología operacional “carecen de métodos de autenticación y autorización resistentes a las amenazas modernas y se encuentran rápidamente” por el escaneo de puertos abiertos en rangos públicos de IP. Y completa, en la misma página, que los atacantes usan herramientas “simples, repetibles y escalables, disponibles para cualquiera con un navegador de internet”.
No es la primera vez. En noviembre de 2023, una campaña semejante comprometió al menos 75 equipos Unitronics, de los cuales por lo menos 34 en el sector del agua de Estados Unidos. La alerta de aquel episodio registra que los aparatos estaban en internet, en el puerto predeterminado, con la contraseña predeterminada o sin contraseña alguna.
El objetivo fue el enclavamiento
Aquí está la lectura que me parece transferible fuera de la industria.
La automatización seria tiene dos capas de lógica. Una hace que el proceso avance: enciende la bomba, abre la válvula, hace avanzar la cinta. La otra impide que avance cuando no debería — el enclavamiento, la condición que traba la operación cuando una medida sale del rango seguro, y la alarma que avisa al operador de que algo se salió. La primera capa es lo que el sistema hace. La segunda es lo que se niega a hacer.
El ataque descrito no robó el proceso, no detuvo la producción y no pidió rescate. Eliminó la segunda capa y dejó la primera en marcha, con las pantallas de supervisión mostrando números tranquilizadores. El sistema siguió obedeciendo. Solo perdió la capacidad de disentir.
Esto reordena la pregunta que normalmente se hace sobre una automatización. La pregunta habitual es qué logra hacer. La pregunta que este caso impone es otra: ¿cuáles de sus verificaciones pueden desactivarse sin que nadie lo note? Una automatización cuya comprobación desaparece en silencio no queda un poco menos segura. Pasa a afirmar que todo está bien, y eso es peor que estar detenida.
La misma decisión, tres órdenes de magnitud por debajo
La consecuencia de una estación de tratamiento comprometida no se compara con la de un servidor doméstico, y no es eso lo que propongo. Lo que se repite no es la gravedad, son las tres decisiones: qué queda al alcance, con qué credencial, y qué ocurre cuando la verificación desaparece.
Aparecen enteras en la automatización de pequeña escala, y aparecen en mi propio proyecto.
El archivo de infraestructura del pipeline editorial de este blog no publica en el host los puertos de n8n ni los de la base de datos. Solo el proxy de borde escucha en 80 y 443, y todo lo demás conversa por la red interna. Es la misma frase de la recomendación de la CISA para el piso de fábrica, escrita en otro vocabulario. No fue virtud: fue la lectura de un documento antes de subir el servicio.
La segunda decisión también ya apareció por aquí, y de forma incómoda. La versión de n8n fijada en ese archivo caía en el rango de una falla de acceso no autenticado a archivos, con la nota máxima de gravedad. La instancia nunca llegó a subir, así que nada estuvo expuesto, pero aprovisionar con aquella versión habría puesto un servicio vulnerable en internet el primer día. Y, al escribir sobre n8n como servidor MCP, encontré en la documentación oficial el aviso de que aquel nodo no usa ningún método de autenticación de forma predeterminada.
La tercera es la que más me interesa, porque es la que la alerta ilumina. Las compuertas que sostienen la publicación de este blog ya fueron inventariadas en un post entero: qué error real frenó cada una, y qué no atrapó ninguna. El caso industrial añade una tercera pregunta, que no estaba en aquella lista ni en mi cabeza cuando la escribí. No es lo que la compuerta atrapó, ni lo que pasó por ella. Es lo que ocurriría si se retirara la compuerta.
El contrato de contenido detiene la construcción del sitio cuando un campo sale del formato. Es un enclavamiento. Solo que borrar esa comprobación cuesta una línea, y después de eso el sitio seguiría construyendo, publicando y pareciendo sano. No aparecería ningún error, porque la ausencia de una verificación no genera error. Es la forma exacta del ataque descrito en las alertas: el proceso sigue, el panel tranquiliza, y lo que salió de escena fue la capacidad de rechazar.
Lo que se puede comprobar hoy
Nada de esto es invención mía. Es la lista de mitigaciones de los propios documentos, traducida y reducida a lo que vale en cualquier escala.
- Levante lo que responde en una dirección pública. No lo que se cree haber expuesto: lo que responde. El comunicado de julio insiste en los accesos olvidados, instalados por terceros y ausentes de la documentación.
- El acceso remoto pasa por una puerta de entrada, nunca directo al equipo. Red privada virtual o gateway delante, siempre.
- Contraseña predeterminada cambiada, y lista de direcciones autorizadas. Dos de las cinco recomendaciones del comunicado de julio son exactamente eso.
- Copia de seguridad limpia de la configuración, guardada fuera del equipo. La CISA lo recomienda por el motivo más concreto posible: si el invasor cambia la contraseña, es lo que queda para recuperar el control.
- Identifique sus verificaciones y pruebe si la ausencia de ellas aparece. Si desactivar la comprobación no genera error, alarma ni registro, no es una protección. Es una sugerencia.
Cabe citar la orientación más elemental de la alerta conjunta, porque dice mucho sobre la naturaleza del problema: en los equipos de Rockwell, poner la llave física del controlador en la posición de ejecución. La última línea de defensa de la automatización industrial madura es una llave de metal que ningún paquete de red hace girar.
Dónde se detiene este análisis
Son documentos de Estados Unidos, sobre la infraestructura crítica de allá, y no afirman nada sobre la situación brasileña. La atribución a un grupo específico es de las agencias, no mía. Los fabricantes citados aparecen porque fueron los observados en las campañas descritas, y las propias alertas señalan la exposición directa a internet, y no los productos, como la condición que hizo todo posible. Y repito lo que abrí: no opero equipo industrial. Lo que traigo es la lectura de documentos primarios por quien automatiza en otra escala.
Lo que queda
El ataque de mayor consecuencia descrito en esas alertas no necesitó genialidad técnica. Necesitó un equipo alcanzable, una credencial débil y a alguien dispuesto a borrar la parte del programa que existía para decir que no.
Toda automatización tiene esa parte. Quien automatiza debería saber nombrarla, y debería poder probar que todavía está ahí.
Fuentes
- Aumento de ataques a CLP en el sector del agua, cambio de contraseñas para dejar fuera a los operadores, cambio de IP, avisos de hervir el agua, operación manual prolongada, módems no documentados y las mitigaciones recomendadas — comunicado de la CISA del 30/07/2026 (agencia gubernamental, fuente primaria), verificado el 2026-08-17.
- Uso del software de ingeniería de los fabricantes, extracción y alteración de los archivos de proyecto, desactivación de la lógica de apagado y alarma, lógica añadida que anuló los parámetros de operación segura, puertos 44818, 2222, 102 y 502, equipos y fabricantes observados y la orientación de la llave física en posición de ejecución — alerta conjunta AA26-097A, de FBI, CISA, NSA, EPA, DOE, CNMF y Tesoro, publicada el 07/04/2026 y actualizada el 22/07/2026 (fuente primaria), verificado el 2026-08-17.
- Al menos 75 equipos Unitronics comprometidos, 34 de ellos en el sector del agua de EE. UU., alcanzados en el puerto predeterminado con contraseña predeterminada o sin contraseña — alerta conjunta AA23-335A (fuente primaria), verificado el 2026-08-17.
- Equipos de tecnología operacional sin autenticación resistente a las amenazas modernas, localizables por escaneo de puertos, y herramientas de ataque disponibles para cualquiera con un navegador — ficha de mitigaciones primarias de la CISA, publicada el 06/05/2025 (fuente primaria), verificado el 2026-08-17.
- Puertos 502 (Modbus), 102 (ISO-TSAP), 2222 y 44818 (EtherNet/IP) como registros públicos — registro de nombres de servicio y puertos de la IANA (autoridad de registro), verificado el 2026-08-17.
- Aviso de que el nodo MCP Server Trigger no usa autenticación de forma predeterminada — documentación oficial de n8n (fuente primaria), verificado el 2026-08-07.
- Pieza de análisis: el autor trabaja en la operación del sistema eléctrico, incluso con sistemas de supervisión y control, pero no investigó los incidentes ni los equipos descritos en las alertas. Lo descrito como práctica propia se refiere a la infraestructura del pipeline editorial de este blog.
