DETALLES: Trump RESPONDE al ciberataque contra las redes de suministro de agua
Madeleine Rivera, Fox News, informa sobre un ciberataque a gran escala dirigido contra las redes de abastecimiento de agua de al menos siete estados. El FBI investigando a unos presuntos hackers iraníes.
Mientras las tensiones entre Estados Unidos e Irán siguen aumentando, parece ser que unos hackers vinculados a Irán han llegado hasta el corazón de Estados Unidos y han atacado los sistemas que controlan una necesidad básica para la vida: el agua.
Más de 30 redes de abastecimiento de agua comunitarias de Minnesota fueron objeto de un ciberataque coordinado a finales de julio, y se han detectado actividades similares en otros cuantos estados.
Esto debería preocupar a todos los estadounidenses. Pero lo más alarmante no es simplemente quién pueda haber estado detrás del ataque. Lo que más preocupa es lo poco sofisticado que puede haber sido llevarlo a cabo.
Los primeros indicios apuntan a que no se trataba de un arma cibernética imparable que ningún ayuntamiento pudiera haber previsto. Más bien, parece que los atacantes se centraron en la tecnología operativa conectada a Internet y aprovecharon ese tipo de fallos de seguridad básicos sobre los que los expertos llevan años advirtiendo.
Unos hackers iraníes atacaron las redes de suministro de agua en todo Minnesota, lo que ha puesto sobre la mesa el tema de la ciberseguridad a largo plazo. (Ellen Schmidt/AP)
Y aunque puede que hayan sido hackers vinculados a Irán los que hayan llevado a cabo este ataque en concreto —lo que sin duda supone una escalada en el conflicto actual entre EE. UU. e Irán—, el ataque a Minnesota no ha sacado a la luz ninguna vulnerabilidad que los líderes de nuestro país no conocieran ya.
En cambio, esto no ha hecho más que poner aún más de relieve las consecuencias en la vida real de las deficiencias que el Gobierno federal lleva años documentando.
Por ejemplo, en 2024, la Oficina del Inspector General de la Agencia de Protección Medioambiental examinó 1.062 sistemas de agua potable que abastecen a más de 193 millones de ciudadanos. Detectó vulnerabilidades de ciberseguridad críticas o de alto riesgo en 97 sistemas que abastecen a unos 26,6 millones de estadounidenses. Otros 211 sistemas, que abastecen a más de 82,7 millones de personas, tenían portales visibles desde fuera de sus redes.
En pocas palabras, desde la red pública de Internet se podían detectar sistemas que dan servicio a decenas de millones de estadounidenses. Aprovechar estos puntos de acceso, tal y como advirtió el inspector general, ofrecía a los hackers la oportunidad de interrumpir los servicios y provocar posibles daños físicos en las infraestructuras de agua.
Eso es lo que hace que la situación sea mucho más grave que las filtraciones de datos a las que los estadounidenses ya están demasiado acostumbrados.
Por supuesto, estas filtraciones, ya sea que afecten a una tienda o a una agencia de información crediticia, pueden dejar al descubierto datos personales y, sin duda, causar graves perjuicios. No hay que restarle importancia a ese riesgo.
Sin embargo, un ataque a una red de abastecimiento de agua traspasa un umbral mucho más peligroso: pasa de comprometer datos a interrumpir un servicio esencial del que depende la vida humana. Las bombas pueden dejar de funcionar. El suministro de agua puede interrumpirse. La salud y la seguridad de toda una comunidad pueden verse en peligro.
El alcance de este reto va mucho más allá de Minnesota. Según la Oficina de Responsabilidad Gubernamental, el sector del agua de Estados Unidos está formado por casi 170 000 sistemas de agua y aguas residuales. Muchos de ellos dependen de equipos obsoletos, se enfrentan a la falta de personal y cuentan con muy pocos recursos para dedicar a la ciberseguridad.
Pero lo más preocupante no es solo quién pueda haber estado detrás del ataque. Es más bien lo poco sofisticado que puede haber sido llevarlo a cabo.
La inteligencia artificial (IA) está complicando aún más las cosas.
Esta tecnología ha ayudado a los ciberdelincuentes a identificar sistemas vulnerables, crear mensajes de phishing muy convincentes y modificar el software malicioso más rápido que nunca. No hay pruebas públicas de que la IA haya tenido algo que ver en Minnesota, pero está haciendo que los ciberataques sean más baratos, más rápidos y más fáciles de llevar a cabo a gran escala, y es una amenaza que no debemos pasar por alto.
Lo bueno, sin embargo, es que, por muy potente que sea la IA, esta no es en sí misma el punto débil subyacente. Simplemente permite a los atacantes aprovechar esos puntos débiles de forma más eficaz.
¿Y ahora qué hacemos?
La respuesta no está en buscar soluciones futuristas mientras seguimos pasando por alto lo básico. En cambio, para proteger las infraestructuras críticas —como las plantas de tratamiento de agua— hay que empezar por cinco medidas fundamentales.
Para empezar, las empresas de servicios públicos deben saber qué hay conectado a sus redes. Toda red de abastecimiento de agua necesita un inventario preciso de sus equipos, el origen de su software, los puntos de acceso remoto y los proveedores externos. Una organización no puede proteger una tecnología que ni siquiera sabe que tiene.
En segundo lugar, hay que proteger todos los puntos de acceso. Hay que eliminar las contraseñas predeterminadas, debería exigirse la autenticación multifactorial y los controles críticos nunca deberían quedar expuestos directamente a Internet.
TRUMP AMENAZA CON UN «FUERTE CASTIGO MILITAR» A IRÁN POR LOS FUTUROS ATAQUES DE LOS HUTÍES
En tercer lugar, los equipos operativos deben estar separados de los sistemas informáticos habituales. Un ordenador que se use para el correo electrónico, navegar por Internet o tareas administrativas no debe servir de vía de acceso a las bombas y demás maquinaria necesaria para controlar el suministro de agua de una comunidad.
En cuarto lugar, hay que actualizar el software de forma habitual y sin demora. Los atacantes suelen buscar vulnerabilidades conocidas cuyas soluciones llevan meses o incluso años disponibles. Una actualización de seguridad que existe pero que nunca se ha instalado no ofrece ninguna protección.
Unos hackers atacaron los sistemas de control informatizados de más de 30 redes de suministro de agua de la « Minnesota », lo que obligó a algunas empresas de servicios públicos a recurrir a operaciones manuales y procedimientos de emergencia. (Tony Webster/Wikimedia Commons)
Por último, las infraestructuras críticas deben controlar qué software se permite ejecutar mediante la implementación de listas de aplicaciones permitidas, también conocidas como «listas blancas», en todos sus sistemas.
La mayoría de las herramientas tradicionales de ciberseguridad están diseñadas para identificar y bloquear programas que se consideran maliciosos. Pero ahora la IA permite a los atacantes crear y modificar malware a una velocidad increíble, generando nuevas variantes que pueden no parecerse a las amenazas identificadas anteriormente. Esto hace que sea cada vez más difícil mantener una estrategia tradicional basada únicamente en la detección.
Sin embargo, la lista de permitidos invierte este modelo. En lugar de intentar identificar todas las amenazas posibles, solo permite que funcione el software que ya ha sido aprobado. Por defecto, se impide que se ejecute cualquier otra cosa hasta que un administrador del sistema pueda comprobar que es seguro. Esto evita que se ejecute software desconocido y potencialmente malicioso dentro de los sistemas de los que dependen los estadounidenses para necesidades básicas como el agua y la electricidad.
En conjunto, estas cinco medidas harían que los sistemas de abastecimiento de agua de Estados Unidos —y toda la infraestructura crítica— fueran mucho más difíciles de vulnerar. Además, harían que estos sistemas pasaran de reaccionar ante los ataques una vez que el daño ya se ha producido a prevenirlo desde el principio.
Los últimos ataques en Minnesota deben mark marcar un punto de inflexión en la forma en que nuestro país protege sus infraestructuras críticas. Para hacer frente a esta situación, no basta con reconocer el riesgo; se necesitan medidas, responsabilidad y urgencia.
Lo bueno, sin embargo, es que, por muy potente que sea la IA, esta no es en sí misma el punto débil subyacente. Simplemente permite a los atacantes aprovechar esos puntos débiles de forma más eficaz.
Todas las empresas de servicios públicos, los responsables municipales y los organismos gubernamentales a cargo de estos sistemas deberían evaluar de inmediato si se cumplen estas cinco normas, asignar responsabilidades claras para corregir cada deficiencia y fijar plazos firmes para subsanar cualquier vulnerabilidad. Y cuando las comunidades locales no tengan los conocimientos o los recursos necesarios, los socios estatales y federales deben ayudar a cubrir esa carencia.
El peligro que suponen los ciberataques ya no es algo lejano, ni tampoco es algo teórico.
Los enemigos de Estados Unidos están buscando activamente vulnerabilidades conocidas. Y cualquier acción —o falta de acción— que permita que esas debilidades sigan sin resolverse es una decisión que solo invita a un ataque más grave, uno con consecuencias potencialmente mortales.
Estados Unidos tuvo suerte… esta vez. La red de suministro de agua de Minnesotasiguió abasteciendo a los vecinos a pesar del ataque.
HAGA CLIC AQUÍ PARA MÁS OPINIONES DE FOX NEWS
Pero ese resultado debería generar urgencia, no complacencia.
HAZ CLIC AQUÍ PARA DESCARGAR LA APP DE FOX NEWS
La suerte no puede ser la estrategia de ciberseguridad de Estados Unidos, y los líderes deben actuar ya para subsanar las brechas de seguridad conocidas antes de que el próximo ciberataque ponga en peligro la vida de los estadounidenses.
