Minnesota, 26 de julio de 2026. Domingo por la noche. Operadores de más de 30 sistemas de agua del estado perdieron acceso a sus propios PLCs. Contraseñas cambiadas. Direcciones IP cambiadas. Quien controlaba la infraestructura ya no era quien debía. Seguimos este patrón desde hace cinco años, y Minnesota es el punto en que el patrón se convierte en crisis.
La escala: 30+ sistemas, 7 estados, lockout de operadores
Braham, ciudad de 1.700 habitantes, quedó con la planta de agua offline por horas. Plymouth desconectó PLCs en 2 torres de agua y 14 estaciones de alcantarillado. Maple Plain declaró estado de emergencia. El ataque se extendió a 7 estados. El 31 de julio, CISA y el FBI emitieron alerta oficial.
Según un memo interno del WaterISAC obtenido por WIRED, el ataque apunta a CyberAv3ngers, grupo afiliado al IRGC iraní. La atribución a Irán todavía no fue confirmada oficialmente. Las técnicas usadas corresponden al patrón documentado por CISA desde 2023.
La vulnerabilidad: Rockwell Allen-Bradley y el parche que no existe
Los atacantes explotaron una vulnerabilidad de bypass de autenticación en controladores Rockwell Automation Allen-Bradley. CVSS 9.8. Documentada en el CISA Advisory AA26-097A. Según Rockwell, no hay parche planificado para estos modelos. La corrección exigiría rediseñar todo el sistema de autenticación.
Peor: los atacantes usaron el software legítimo de ingeniería de los propios fabricantes. Rockwell Studio 5000. Schneider EcoStruxure. Siemens TIA Portal. Conexiones aceptadas por los PLCs porque venían del software confiable. Después de entrar, modificaron Add-On Instructions. La ladder logic permanecía aparentemente normal. Pero los AOIs maliciosos desactivaban la lógica de shutdown de seguridad y las alarmas. Los sistemas operaban en condiciones inseguras. Los operadores no lo sabían.
El patrón de 5 años: de Oldsmar a Minnesota
Este es el quinto año de un patrón claro de ataques a la infraestructura de agua en EE.UU.
2021, Oldsmar, Florida. Setpoint de soda cáustica cambiado de 100 a 11.100 ppm. Nivel letal. El operador lo revirtió a tiempo.
2023, Aliquippa, Pensilvania. CyberAv3ngers comprometió PLCs Unitronics con contraseñas por defecto. Mismo grupo, vector diferente: credenciales default en lugar de bypass de autenticación.
2024, Muleshoe, Texas. Sandworm, grupo de la GRU rusa, manipuló el HMI para causar overflow de tanque por 30 minutos.
2026, Minnesota. 30+ sistemas. 7 estados. Lockout de operadores. Por primera vez en este patrón, impacto operacional sostenido en múltiples sistemas. No fue una alerta. Fue una operación.
La diferencia entre 2021 y 2026 es la diferencia entre un incidente y una campaña. Oldsmar fue un operador que vio el cursor moverse. Minnesota fueron 30+ sistemas en los que los operadores quedaron trancados afuera.
La vulnerabilidad estructural: 152.000 sistemas, 91% pequeños, 70%+ en violación
El sector de agua tiene 152.000 sistemas públicos en EE.UU. Según el EPA, 91% son small systems con 10.000 personas o menos, y más de 70% están en violación de requisitos básicos. Contraseñas por defecto. Logins compartidos. Acceso de exfuncionarios no revocado.
Investigaciones sectoriales de 2024 muestran: 71% sin monitoreo de red ICS/OT. 39% no sabe si puede operar manualmente durante un ataque. El sector eléctrico tiene el NERC-CIP, con estándares obligatorios y multas. El sector de agua tiene guidance voluntario.
La vulnerabilidad aquí es estructural. No es un bug que se resuelve con parche. Es una arquitectura que nunca fue diseñada para resistir.
Lo que Tech86 hace diferente
Cuando Tech86 audita infraestructura OT de clientes en sectores críticos, el primer principio es simple: el PLC no toca internet. Acceso remoto solo vía VPN con MFA. Segmentación IT/OT obligatoria. Inventario de activos OT completo.
Minnesota prueba lo que ya sabemos. El parche que no existe es la arquitectura que no fue diseñada para resistir.
Conclusión
Lo repetimos: no puedes aplicar parche a una arquitectura que nunca fue diseñada para resistir. Minnesota no explota un bug de código: explota una falla estructural que persiste desde hace cinco años. Contraseñas por defecto en PLCs Unitronics en 2023. Bypass de autenticación en Rockwell Allen-Bradley en 2026. Software de ingeniería legítimo usado como vector de entrada. Add-On Instructions modificadas para desactivar shutdowns de seguridad. Operadores trancados afuera de sus propios sistemas.
El sector de agua tiene 152.000 sistemas públicos en EE.UU. 91% son small systems. Más de 70% están en violación de requisitos básicos según el EPA. 71% no tienen monitoreo de red ICS/OT. 39% no saben si pueden operar manualmente durante un ataque. El sector eléctrico tiene NERC-CIP obligatorio. El sector de agua tiene guidance voluntario. La diferencia entre los dos sectores no es técnica, es regulatoria.
En Tech86 ayudamos a empresas a auditar y corregir exactamente este tipo de falla estructural en infraestructura OT, antes de que el parche que no existe se convierta en la crisis que ya sabemos que viene.