El bloqueo salió del propio equipo

Las noches del 26 y el 27 de julio un operador de Minnesota fue a cambiar un parámetro en el controlador de una planta de agua y descubrió que la contraseña ya no era suya. En esa misma ventana cayeron más de 30 sistemas municipales de agua y saneamiento en todo el estado. Minnesota sólo fue el primero en decirlo en público. Al terminar la semana el FBI tenía avisos de compañías de al menos siete estados, y en su comunicación conjunta con la agencia ambiental EPA del 30 de julio dejó constancia de que parte de esa actividad degradó la operación del agua.

Conviene describir con precisión lo que hicieron los atacantes, porque no se parece a lo que casi nadie imagina al oír la palabra brecha. Una vez alcanzados los controladores expuestos a internet, cambiaron sus direcciones IP y después activaron y fijaron contraseñas. El FBI describe el resultado como pérdida de visión y, en algunos casos, pérdida de función del equipamiento conectado. No se cifró nada ni se pidió rescate. Las empresas conservaron todos sus archivos. Lo que perdieron fue la capacidad de hablar con sus propias máquinas. Entre los efectos comunicados al FBI hubo pérdida de presión e inundaciones, y los operadores volvieron a gobernar las plantas a mano.

Lee la segunda instrucción, no la primera

La primera instrucción de ambas agencias es la evidente: sacar los controladores de internet público de inmediato. CISA, que envió su propia alerta al sector del agua y el saneamiento el 30 de julio y habló de una escalada significativa de la actividad dirigida a los autómatas programables, añade el aislamiento físico de la red y la retirada de cualquier equipo expuesto públicamente. El consejo es correcto y casi nadie va a discutirlo.

La segunda instrucción es la que decide cuánto tiempo está parada una planta. El FBI pide a los operadores asegurarse de disponer de una copia limpia conocida de la imagen del controlador, por si una contraseña modificada los deja fuera. CISA llega al mismo punto mediante un arranque en frío que borra el direccionamiento y el programa. Ambas cosas son restauraciones, no correcciones. La solución recomendada elimina al atacante eliminándolo todo, y la planta vuelve únicamente cuando alguien devuelve el programa a su sitio.

La recuperación es un archivo, y quizá no lo tengas tú

Aquí una planta de agua se separa de una red de oficina, y aquí la guía da por supuesto algo que la mayoría de los operadores nunca ha comprobado. Restaurar un controlador no significa reinstalar el software de un fabricante. Significa cargar el programa escrito para esa planta concreta: la lógica de contactos que sabe que este emplazamiento tiene dos pozos y una estación de bombeo, que esta bomba no debe funcionar por debajo de aquella presión, que esta válvula está enclavada con aquella alarma. Ese programa existe como archivo de proyecto y es único para el emplazamiento.

En la mayoría de las plantas de agua europeas la versión vigente de ese archivo no está en la empresa de agua. Está en el integrador de sistemas que puso en marcha la línea, a veces hace años, en ocasiones en manos de un ingeniero que ya se marchó. La empresa posee el equipo, paga el mantenimiento y carga con el deber regulatorio, mientras que el artefacto que hace funcionar el equipo lo guarda un contratista sin obligación expresa de mantenerlo al día ni de entregarlo cuando se le pida. El montaje resulta invisible mientras no haya que restaurar nada. Toda la segunda instrucción del FBI depende de él.

La versión honesta de la pregunta no es, por tanto, si estás parcheado. Es ésta: si un controlador quedara reducido a estado de fábrica esta tarde, quién te envía el archivo, cuánto tardaría y ha confirmado alguien alguna vez que el archivo que guarda carga de verdad en el equipo que hoy tienes en marcha? Un archivo de proyecto que se ha quedado atrás respecto a tres años de cambios no documentados no es una copia de seguridad. Es un archivo histórico.

Una copia con fecha no es lo mismo que una copia limpia

Hay un detalle en la comunicación del FBI que cambia el trato que debes dar a las copias que sí tienes. Al menos una organización comunicó archivos de proyecto modificados tras advertir discrepancias en la lógica de contactos en varios de sus emplazamientos. Alguien comparó lo que estaba corriendo con lo que debería haber estado corriendo, en más de un sitio, y encontró una diferencia. Eso no es un bloqueo. Eso es una edición.

En cuanto los archivos de programa entran en juego, tener una copia deja de bastar, porque una copia tomada después del acceso restaura fielmente la versión del atacante. Lo determinante pasa a ser la fecha. Necesitas una copia que puedas datar antes del acceso más temprano plausible y una forma de compararla con lo que hay hoy en el equipo. Para las empresas que usan las series Allen-Bradley MicroLogix 1100 y 1400 que nombra el FBI, o los equipos de Siemens y Schneider Electric que CISA también señala, esa comparación es una tarea de ingeniería corriente. Sólo resulta difícil porque casi nadie tiene una copia de referencia con la que comparar.

NIS2 ya te lo pregunta, en una letra que nadie lee

El agua potable y las aguas residuales son sectores esenciales del anexo I de NIS2, de modo que los operadores europeos están en el escalón más estricto del régimen. La letra que muerde aquí no es el plazo de notificación. Es el artículo 21.2.d, que exige seguridad de la cadena de suministro incluidos los aspectos de seguridad de la relación entre una entidad y sus proveedores directos y prestadores de servicios. Un integrador que guarda la única copia funcional del programa que gobierna una planta de agua potable es exactamente esa relación, y que se trate de un archivo guardado y no de una conexión de red no la deja fuera del artículo.

Tres cosas merecen la pena esta semana y ninguna exige saber quién está detrás. Anota, por controlador, quién guarda el archivo de proyecto vigente y bajo qué cláusula contractual. Toma tu propia copia, guárdala fuera de línea y registra la fecha. Después comprueba en una parada programada que esa copia carga en un controlador, porque una restauración no probada es una creencia y no una capacidad. Braham, una localidad de Minnesota de unos 1.700 habitantes, volvió en dos horas porque sus operarios sabían gobernar la planta a mano. El manejo manual te compra horas. Que la planta vuelva a sus mandos te lo compra el archivo, y sólo si existe.

Leer a continuación: Parchear SharePoint ya no cierra la puerta  |  La primera plataforma de agentes de IA que la CISA obliga a parchear