El negocio del agua: los estados y los ciberataques emergen de las profundidades

Más allá de cuestiones críticas inherentes a este sector y de la importancia vital del agua, un bien esencial y escaso, la industria del agua se ha convertido en objetivo de ciberataques, a menudo orquestados por organizaciones financiadas por estados y cuyo objetivo es desestabilizar la economía de un país. A tenor de esta realidad, las empresas de este sector se enfrentan al reto de mantener y asegurar la producción mientras blindan su seguridad.

Ahora bien, ¿cuál es la situación actual de la ciberseguridad de los sistemas de agua?

El ámbito de las infraestructuras hídricas ha vivido una serie de avances digitales, los principales relacionados con la sustitución de las conexiones RTC (el método de comunicación utilizado anteriormente), que han quedado obsoletas, y la migración a redes Ethernet o a 4G y 5G, que ofrecen una mejor conectividad. Esta modernización ha favorecido una conexión al mundo exterior que no existía antes, pero también la llegada de nuevos peligros y amenazas cibernéticas que han puesto en jaque a este sector estratégico. Tanto es así, que cada vez se hace más necesario para estas organizaciones reflexionar sobre la seguridad de sus sistemas, los cuales ya forman parte del paisaje de la IoT o incluso del IIot (Internet Industrial de las Cosas), además de adoptar una estrategia de protección encaminada a garantizar la integridad y la privacidad de los flujos de información en un momento en que la gestión a distancia se está convirtiendo en algo habitual. Pero estos desafíos también requieren de una verdadera ciberconciencia por parte de todos los participantes, como los operadores de mantenimiento remoto.

Geopolítica, salud pública y más... Lo que está en juego

Casi se podría decir que la industria del agua genera problemas cuando consideramos las instalaciones y equipos particularmente vulnerables (que funcionan con sistemas operativos más antiguos), la transición al IIoT o los desafíos geopolíticos y estratégicos relacionados con los recursos hídricos. Por lo tanto, es imposible que las infraestructuras críticas eviten la atención no deseada de los ciberataques.

En consecuencia, las infraestructuras relacionadas con el agua se encuentran hoy en día en la línea de fuego cibernética y el arma preferida por los atacantes parece ser el ransomware. Según la empresa estadounidense Gray Matter, solo en Estados Unidos se registraron más de 22 ciberataques de este tipo en 2019. Así, por ejemplo, el servicio de aguas y alcantarillado de Carolina del Norte fue blanco de un ciberataque con ransomware en 2018, semanas después de sufrir los efectos del huracán Florence. Se sospecha que los atacantes utilizaron esta situación de crisis para intentar atacar los sistemas de agua y perjudicar a la población. Un año antes, los investigadores de seguridad cibernética de la Universidad Estatal de Georgia desarrollaron una nueva forma de malware capaz de envenenar el agua (cambiando los niveles de cloro utilizados en las instalaciones de producción de agua potable) utilizando como puntos de acceso los PLCs (Programmable Logic Controllers) conectados a Internet.

Mirando más allá del trabajo realizado por esta universidad, cambiar el tratamiento químico del agua podría suponer un riesgo real. El pasado mes de abril, Irán intentó hacer esto utilizando ciberataques para afectar la calidad del agua que abastece a parte de la población israelí. Los atacantes primero tomaron el control de los servidores americanos para cubrir sus huellas antes de pasar a atacar los sistemas de distribución de agua objetivo. El ataque finalmente fracasó, pero si hubiera tenido éxito, el daño a la salud pública habría sido considerable, con parte de la población probablemente envenenada.

Los ataques cibernéticos contra las infraestructuras de agua parecen estar generalmente bien dirigidos y ejecutados: son anticipados, preparados y extremadamente bien documentados. Los atacantes están familiarizados con los sistemas a los que apuntan. Nada se deja al azar y nada de esto es el resultado del oportunismo. Esto nos lleva a suponer que los ciberataques dirigidos a la industria del agua parecen estar ordenados por o para los estados y que los grupos de ciberatacantes que los llevan a cabo no son ciertamente aficionados.

El agua ofrece, pues, la posibilidad de realizar ciberataques de gran envergadura con una verdadera dimensión estratégica. Las empresas de agua necesitan, por consiguiente, equiparse con soluciones de seguridad consistentes, que les permitan limitar en la medida de lo posible el secuestro de su infraestructura con fines de guerra cibernética, en un contexto geopolítico.

Borja Pérez, Country Manager Stormshield Iberia