Cambió una lista de fabricantes y nadie lo contó
El 7 de abril de 2026 la agencia estadounidense CISA publicó el aviso AA26-097A, que describía la explotación de autómatas programables expuestos a internet en servicios públicos, agua y saneamiento y energía. Los equipos citados eran unidades Rockwell Automation Allen-Bradley y la actividad descrita se remontaba a marzo. Para un operador europeo aquello se leía como un problema americano sobre equipos americanos.
El 22 de julio el aviso se actualizó. La revisión amplió los equipos citados para incluir autómatas de Schneider Electric y Siemens junto a los de Rockwell, añadió pautas de detección para módulos de código manipulados y publicó nuevos indicadores del periodo comprendido entre septiembre de 2025 y julio de 2026. Cuatro días después, entre el 26 y el 27 de julio, un ataque coordinado alcanzó a más de treinta sistemas municipales de agua en Minnesota.
Desde entonces todos los titulares hablan del ataque o de quién lo ejecutó. La parte que cruza el Atlántico es la lista de fabricantes, y cambió hace nueve días.
Los tres autómatas que ahora aparecen citados
El aviso menciona los Rockwell Automation CompactLogix y Micro850, el Schneider Electric Modicon M340 y la serie Siemens S7-1200. Dos de esas tres familias son el equipamiento por defecto de una sala técnica europea. La base instalada de Rockwell se concentra en Norteamérica; Siemens y Schneider son fabricantes europeos cuyos autómatas gobiernan la potabilización, la depuración, la industria alimentaria y la fabricación general en Europa.
El cambio no describe un defecto de producto. Nada en el aviso habla de una vulnerabilidad recién divulgada en un producto de Siemens o de Schneider. Habla de autómatas accesibles desde internet, protegidos con contraseñas por defecto o sin cambiar, cuyos programas fueron después alterados. Esa exposición es una decisión de configuración y de acceso, tomada casi siempre hace años por un integrador y casi nunca revisada desde entonces.
La distinción decide de quién es la reparación. Una vulnerabilidad de producto es un parche que uno espera. Un autómata expuesto es un inventario de activos y una vía de acceso remoto, y las dos cosas son suyas.
La técnica pasó de la contraseña a la lógica
En 2023 y 2024 el mismo sector fue golpeado a través de autómatas de la serie Unitronics Vision: al menos 75 dispositivos en Estados Unidos, Israel, el Reino Unido e Irlanda cayeron por contraseñas por defecto sin cambiar. Aquello era un problema de acceso con una respuesta de acceso. La campaña de 2026 opera en otro plano.
El aviso describe tres movimientos encadenados. Se usó software de ingeniería del propio fabricante, alojado en infraestructura de terceros, para extraer los ficheros de proyecto del autómata desde los entornos de las víctimas. Después se manipularon las Add-On Instructions, los módulos de código reutilizables incrustados en esos programas, para desactivar paradas de seguridad y alarmas. Por último se modificaron los datos que alimentan las pantallas HMI y SCADA, de modo que un equipo podía operar fuera de límites seguros sin que la pantalla del operador mostrara nada anómalo.
Junto a eso están los pasos más burdos: contraseñas de administrador cambiadas para dejar al operador fuera de su propio autómata, y ajustes de IP alterados para desconectar el autómata de la red que lo supervisa. Una política de contraseñas responde al ataque de 2023. Ninguna política de contraseñas responde a una alarma editada.
Dos horas en Braham son un dato de plantilla
Braham, en Minnesota, tiene unos 1.700 habitantes. El ataque dejó fuera de servicio el control informatizado de su pozo y de su planta de tratamiento, y el personal devolvió la operación a la normalidad en dos horas. Plymouth, South St Paul y Maple Plain también comunicaron incidentes, y en total más de treinta municipios se vieron afectados los días 26 y 27 de julio.
Lo que devolvió Braham en dos horas fue gente capaz de gobernar la planta a mano. Esa es una partida de personal, no una partida del presupuesto de seguridad, y es la que más se recorta con el argumento de que el proceso ya está automatizado. En los incidentes comunicados hasta ahora la calidad del agua no se vio afectada, aunque la alerta de CISA del 30 de julio incluye los avisos de hervir el agua y la operación manual prolongada entre las consecuencias que esta actividad ha provocado.
Sobre la autoría no hay nada cerrado. Ninguna agencia federal ni estatal ha atribuido formalmente los ataques de Minnesota. Un memorando del WaterISAC cita al Minnesota Fusion Center, según el cual la actividad encaja con la campaña que describió CISA, sin aportar pruebas directas; el patrón operativo coincide con CyberAv3ngers, grupo atribuido formalmente al mando ciberelectrónico de la Guardia Revolucionaria iraní; se ha publicado que los servicios de inteligencia estadounidenses sospechan de Irán, y el presidente lo ha desmentido en público. Ninguna de esas posiciones cambia una sola medida que usted vaya a adoptar.
Tres preguntas que no necesitan saber quién fue
Primera: pida a su integrador todas las vías de acceso remoto a un autómata, y no acepte el esquema de red como respuesta. El esquema documenta el diseño; la exposición suele venir de lo que se añadió después para un contrato de mantenimiento, una puesta en marcha o una guardia fuera de horario. La alerta de CISA del 30 de julio, emitida junto con la agencia medioambiental EPA y el FBI, pide exactamente tres cosas: sacar los autómatas de internet y llegar a ellos por VPN o pasarela, activar la protección por contraseña y cambiar todos los valores por defecto, y admitir sólo las direcciones autorizadas mediante una lista blanca.
Segunda: ¿puede usted extraer hoy el programa del autómata y compararlo con la última versión aprobada, incluidas las Add-On Instructions? Si la respuesta sincera es que el programa vigente sólo existe dentro del propio autómata, entonces la manipulación que describe el aviso no tiene ninguna vía de detección en su planta. La medida útil aquí es un registro firmado y versionado de cómo debe ser la lógica, y la mayoría de las instalaciones no puede presentarlo.
Tercera: ¿su prueba de alarmas demuestra que la alarma se dispara desde el proceso, o sólo que la pantalla sabe dibujarla? Esto va más allá de la sala técnica. El agua y el saneamiento son sectores esenciales del anexo I de NIS2, así que un incidente significativo conlleva una alerta temprana en 24 horas y una notificación en 72, con el órgano de dirección respondiendo de las medidas. En España esa comunicación se canaliza a través de INCIBE-CERT y del CSIRT competente. El plazo empieza cuando usted tiene conocimiento, y una técnica creada para editar a la vez la lógica de seguridad y la pantalla que informa sobre ella es una técnica creada para retrasar ese momento.
Leer a continuación: La primera plataforma de agentes de IA que la CISA obliga a parchear | El parche de SharePoint que omitió en mayo ya es urgente
