Ciberataques contra plantas de tratamiento de agua en EE.UU.

Desde que Stuxnet salió a la luz y se desveló que su objetivo eran sistemas de control de infraestructuras críticas, hemos ido viendo cómo los ataques a este tipo de sistemas se producen con mayor frecuencia. Los dos últimos casos afectaron a plantas de tratamiento de agua y, al menos en uno de ellos, una bomba de agua quedó inutilizada.

La primera alarma saltó a mediados de la pasada semana cuando se hizo público un ataque a una central de tratamiento de agua en Springfield, Illinois. Esta intrusión, que según las primeras investigaciones provenía de direcciones IP rusas, consiguió acceder al panel de control de esta instalación e inutilizar una de las bombas de agua que gestionaba.

Pero no fue esta la única intrusión sufrida por este tipo de instalaciones, ya que pocos días después, y en respuesta a unas declaraciones realizadas por el Departamento de Seguridad Nacional, en las que se aseguraba que no existía ningún dato que indicara la existencia de algún riesgo para las infraestructuras críticas o para la población, un investigador publicó pruebas de que había conseguido introducirse en otra instalación de tratamiento de aguas, esta vez en South Houston, Texas.

Entre estas pruebas se encuentran capturas de pantalla como la que mostramos sobre estas líneas, en las que se ve claramente la interfaz del panel de control de la instalación. Con esta intrusión, el atacante quiso demostrar la fragilidad de este tipo de sistemas y desacreditar la información proporcionada por el Departamento de Seguridad Nacional, que minimizaba los riesgos. La situación se agrava cuando el propio atacante desveló que la contraseña que protegía ese sistema tan solo contaba con tres caracteres.

Casos como el que hoy hemos comentado deberían hacernos replantear si el control de infraestructuras críticas está debidamente protegido. Hay incluso voces en nuestro Gobierno que han alertado sobre el riesgo existente e instan a tomar medidas de precaución al respecto.

Desde el laboratorio de ESET en Ontinet.com pensamos que los Gobiernos deberían tomarse muy en serio este tipo de amenazas, ya que pueden suponer un riesgo importante para toda la población.

Josep Albors