Washington tiene tecnología de sobra, pero sus plantas de agua siguen expuestas
La guerra cibernética ha dejado de limitarse al robo de información. Estados Unidos afronta ahora una campaña contra sistemas industriales utilizados en plantas de agua y tratamiento de aguas residuales, con incidentes registrados desde finales de julio en instalaciones de al menos siete estados. El FBI y la EPA han confirmado que algunos ataques llegaron a degradar operaciones, mientras CISA mantiene una alerta específica sobre actores vinculados a Irán.
La amenaza resulta especialmente sensible porque los atacantes están intentando acceder a los controladores lógicos programables (PLC) que gobiernan procesos físicos. No existe constancia oficial de que millones de estadounidenses hayan quedado sin agua potable ni de una contaminación masiva, pero Washington considera el riesgo suficientemente serio como para exigir medidas inmediatas.
El ataque entra en la maquinaria
Los objetivos no son simples ordenadores administrativos. Los atacantes buscan dispositivos de tecnología operacional conectados directamente a internet y utilizados para controlar maquinaria, sensores y diferentes procesos industriales.
CISA ha detectado modificaciones de contraseñas, cambios de direcciones IP y alteraciones que han obligado a algunas instalaciones a recurrir a operaciones manuales e incluso avisos para hervir el agua.
La diferencia es fundamental. Atacar el correo electrónico de una empresa puede paralizar sus oficinas; entrar en un PLC abre la posibilidad de interferir directamente en una infraestructura física.
Irán aparece detrás de la amenaza
Las agencias estadounidenses llevan meses siguiendo actividad atribuida a actores cibernéticos vinculados a Irán.
En abril, EPA, FBI, CISA y NSA emitieron una alerta conjunta sobre una campaña activa contra tecnología operacional presente en infraestructuras críticas. En julio, las autoridades ampliaron la advertencia después de detectar ataques sobre equipos de Rockwell Automation y actividad dirigida también contra dispositivos de Schneider Electric y Siemens.
Conviene, sin embargo, introducir una distinción importante: las autoridades hablan de actores afiliados a Irán. Eso no permite atribuir automáticamente cada incidente reciente de forma directa a la Guardia Revolucionaria.
Siete estados ya han comunicado incidentes
El FBI confirmó que desde el 27 de julio de 2026 compañías de agua y aguas residuales de al menos siete estados habían comunicado incidentes relacionados con esta nueva oleada.
La cifra evidencia la escala potencial del problema. Estados Unidos cuenta con miles de sistemas de abastecimiento gestionados por autoridades locales y operadores de tamaños muy diferentes. Esa fragmentación dificulta aplicar una protección homogénea.
Las instalaciones pequeñas pueden disponer de presupuestos y equipos informáticos mucho más limitados que las grandes compañías eléctricas o financieras, aunque gestionen un servicio igualmente imprescindible.
El fallo estaba conectado a internet
Una parte importante de la vulnerabilidad tiene una explicación sorprendentemente sencilla: equipamiento industrial accesible directamente desde internet.
CISA ha pedido retirar de la red pública los PLC expuestos, cambiar contraseñas predeterminadas, limitar las conexiones remotas mediante redes privadas y mantener copias verificadas de las configuraciones.
El diagnóstico revela una paradoja incómoda. No todas las brechas requieren herramientas de espionaje extraordinariamente sofisticadas. Una infraestructura crítica puede quedar expuesta por configuraciones incorrectas, equipos antiguos o accesos remotos que permanecieron abiertos mucho más tiempo del recomendable.
Washington teme el salto al mundo físico
El verdadero riesgo es que un ataque digital termine provocando consecuencias materiales.
Las autoridades han documentado borrado de configuraciones, manipulación de sensores mediante software e interrupciones de interfaces de control, con pérdidas económicas y alteraciones operativas.
Eso no significa que los atacantes hayan logrado contaminar deliberadamente grandes redes de agua. De hecho, las fuentes oficiales consultadas no respaldan esa afirmación.
Pero la capacidad de interferir con sistemas de control explica por qué Washington considera el agua un objetivo estratégico. El impacto de una interrupción prolongada alcanzaría hogares, hospitales, industrias y servicios públicos.
La ciberguerra cambia la seguridad nacional
La inteligencia estadounidense ya advertía este año de que China, Rusia, Irán y Corea del Norte seguirían intentando comprometer redes gubernamentales, privadas e infraestructuras críticas para obtener información o crear capacidades utilizables en futuras crisis.
El agua demuestra hasta dónde puede llegar esa transformación.
Durante décadas, la protección de infraestructuras esenciales se concentró en impedir ataques físicos. Ahora también exige revisar software, módems, contraseñas, proveedores y dispositivos industriales.
Estados Unidos dispone de enormes capacidades tecnológicas, pero la fortaleza de una red depende también de su elemento más vulnerable. Y cuando ese elemento controla el suministro de agua, una contraseña olvidada o un PLC expuesto dejan de ser un problema informático para convertirse en una cuestión de seguridad nacional.