Sistema de tratamiento de agua hackeado en ciudad de Florida

El sistema de tratamiento de agua hackeado en Florida fue una de las noticias que mayor impacto causó hace algunos días. Y es que lo que hizo un pirata informático que entró al sistema que controla la planta de tratamiento de agua de una ciudad de 15.000 habitantes de Florida fue inédito. Él intentó contaminar el suministro de agua con un producto químico cáustico, poniendo de manifiesto un peligro que, según los expertos en ciberseguridad, ha aumentado a medida que los sistemas se informatizan y son accesibles a través de Internet.

El pirata informático, que penetró en el sistema de la planta de tratamiento de agua de la ciudad de Oldsmar*. Utilizando un programa de acceso remoto compartido por los trabajadores de la planta. Se encargó de aumentar brevemente la cantidad de hidróxido de sodio por un factor de cien (de 100 partes por millón a 11.100 partes por millón), dijo el sheriff del condado de Pinellas, Bob Gualtieri, durante una conferencia de prensa.

En el sistema de tratamiento de agua hackeado se encontraron cantidades alarmantes de hidróxido de sodio, también llamado lejía. Este compuesto se usa para tratar la acidez del agua, pero esta mezcla también se encuentra en productos de limpieza como jabones y desatascadores. En grandes cantidades puede causar irritación, quemaduras y otras complicaciones.

Con el sistema de tratamiento de agua hackeado se puso en evidencia su seguridad cibernética

La noticia del sistema de tratamiento de agua hackeado pone de manifiesto lo que podría ser una grave brecha de seguridad cibernética y física. Además plantea serias dudas sobre la seguridad del acceso a un sistema tan sensible. 

Al respecto, Bob Gualtieri explicó* que la persona que accedió de forma remota al sistema estuvo entre tres y cinco minutos, abriendo varias funciones en la pantalla. "Una de las funciones que abrió la persona que hackeó el sistema fue una que controla la cantidad de hidróxido de sodio en el agua", agregó.

Aunque un supervisor técnico se percató de la manipulación del producto químico y pudo intervenir y revertirlo inmediatamente, Gualtieri enfatizó que el público nunca estuvo en peligro. Sin embargo, señaló que el intruso llevó "el hidróxido de sodio hasta niveles peligrosos".

Los funcionarios de Oldsmar, población ubicada a 25 kilómetros del noreste de Tampa*, han desactivado desde entonces el sistema de acceso remoto y dicen que había otras salvaguardias para evitar que el aumento del producto químico llegara al agua. Las autoridades advirtieron a otros dirigentes de la región -que acogía en ese entonces el Super Bowl- sobre el incidente y les sugirieron que revisaran sus sistemas.

Los expertos afirman que los sistemas municipales de agua y otros sistemas tienen el potencial de ser objetivos fáciles para los piratas informáticos, ya que la infraestructura informática de los gobiernos locales tiende a estar infradotada.

El sistema de tratamiento de agua hackeado pone en duda los accesos remotos a sistemas de control

Según Robert M. Lee, director general de Dragos Security y especialista en vulnerabilidades de sistemas de control industrial, el acceso remoto a sistemas de control industrial como los que gestionan las plantas de tratamiento de agua es cada vez más frecuente.

Otra empresa líder en ciberseguridad, FireEye, atribuyó este hackeo al aumento de los intentos de pirateo que ha visto en el último año. La compañía pone especial atención en los novatos que buscan aprender sobre los sistemas industriales accesibles a distancia. Muchas víctimas parecen haber sido seleccionadas arbitrariamente y en ninguno de los casos se causaron daños graves. Esto en parte debido a los mecanismos de seguridad y a la supervisión profesional, dijo el analista de FireEye, Daniel Kapellmann Zafra. "Aunque el incidente de Oldsmar no parece ser especialmente complejo, pone de manifiesto la necesidad de reforzar las capacidades de ciberseguridad en todo el sector del agua y las aguas residuales", concluyó.

Lo que más preocupa a los expertos es la posibilidad de que piratas informáticos respaldados por el Estado intenten causar graves daños mediante un sistema de tratamiento de agua hackeado, o en las redes eléctricas y otros servicios vitales.

En mayo de 2020 el jefe de cibernética de Israel ayudó a que el país frustrara un importante ciberataque un mes antes contra sus sistemas de agua. Un ataque ampliamente atribuido a su archienemigo Irán. Si Israel no hubiera detectado el ataque en tiempo real, dijo que el cloro u otros productos químicos podrían haber entrado en el agua, provocando un resultado "desastroso".

¿Qué hacer entonces para prevenir estos hackeos?

Tarah Wheeler, becaria de ciberseguridad de Harvard, tuvo serias declaraciones. Comentó que las comunidades deberían tomar todas las precauciones posibles para evitar un sistema de tratamiento de agua hackeado mediante tecnología de acceso remoto. "Los administradores de sistemas a cargo de una infraestructura civil importante, como una instalación de tratamiento de agua, deberían asegurar esa planta como si estuvieran asegurando el agua de sus propias cocinas", expresó Wheeler. "A veces, cuando la gente configura redes locales, no entiende el peligro de una serie de dispositivos conectados a Internet mal configurados y asegurados", advirtió la becaria de ciberseguridad.

Por su parte, según el sheriff Gualtieri es probable que otras medidas de seguridad, como el control manual, hubieran detectado el cambio en las 24 o 36 horas que tardó en llegar al suministro de agua. Del mismo modo, los investigadores dijeron que no estaba claro de dónde procedía el ataque. Ni si el hacker era nacional o extranjero. El FBI, junto con el Servicio Secreto y la Oficina del Sheriff del Condado de Pinellas siguen investigando el caso.

Si tiene dudas sobre cómo denunciar un sistema de tratamiento de agua hackeado, queremos escuchar su historia. Si sospecha sobre la presencia de sustancias tóxicas en el suministro de agua domiciliaria, no lo piense más. Póngase en contacto con nosotros. Nos encargaremos de resolverle todas las inquietudes que se le puedan presentar. Recuerde que hablamos el mismo idioma y siempre dispuestos a ofrecerle las mejores opciones legales. 

*Enlaces disponibles en inglés