La ciberseguridad en el sector del agua, piedra angular de las infraestructuras críticas, está siendo objeto de creciente interés a nivel global. En 2024, incidentes e iniciativas han puesto de relieve la vulnerabilidad del sector y la urgencia de reforzar las medidas de ciberseguridad a nivel mundial.
En el Reino Unido, Southern Water informó en febrero de una filtración de datos personales y operativos. Los piratas informáticos atacaron los sistemas informáticos de la empresa, consiguiendo un acceso no autorizado y poniendo en peligro los datos personales de parte de los clientes y empleados. Al otro lado del Atlántico, American Water, la mayor empresa regulada de abastecimiento de agua de Estados Unidos, sufrió un ciberataque a sus sistemas internos el pasado mes de octubre. Aunque el ataque se contuvo, hizo saltar las alarmas sobre las posibles consecuencias de una infiltración con éxito en los sistemas críticos que controlan la distribución y la calidad del agua.
Otros incidentes han demostrado el potencial catastrófico de los ciberataques en el sector. En Texas, una instalación de tratamiento de agua fue blanco de un ciberataque que intentaba manipular procesos, en el que se sospecha que participaron piratas informáticos vinculados a Rusia. En Kansas, una planta de tratamiento de Arkansas City sufrió un incidente de ciberseguridad y, por precaución, pasó a funcionar manualmente. Estos incidentes ponen de manifiesto la vulnerabilidad de los operadores de servicios de agua, no siempre equipados para hacer frente a ciberamenazas sofisticadas, y subrayan la necesidad de medidas de ciberseguridad sólidas y de cooperación para proteger infraestructuras vitales.
En 2024, incidentes e iniciativas han puesto de relieve la vulnerabilidad del sector y la urgencia de reforzar las medidas de ciberseguridad
Estos riesgos han llevado a Moody's a señalar al sector del agua y las aguas residuales por los importantes riesgos relacionados con la ciberseguridad. En un informe de Investors Service, Moody's señala como principal amenaza para los servicios de agua la posible infiltración de agentes malintencionados en los sistemas de tecnología operativa (OT). Según el informe, los ataques orquestados por naciones-estado plantean mayores riesgos debido a su importante financiación y amplios conocimientos técnicos, a menudo con el objetivo de obtener beneficios no financieros mediante la perturbación de diversos sectores de la economía.
En respuesta, los gobiernos están intensificando sus esfuerzos. El pasado mes de marzo, la Casa Blanca y la Agencia de Protección del Medioambiental de Estados Unidos (EPA) emitieron una advertencia conjunta en la que hacían hincapié en la exposición del sector a las ciberamenazas e instaban a las autoridades estatales a destinar más recursos y atención a la protección de las empresas de abastecimiento de agua. En mayo, la EPA reveló que más del 70% de los sistemas de agua inspeccionados incumplen las normas de seguridad establecidas por la Ley de Agua Potable Segura (SDWA, por sus siglas en inglés).
Las medidas legislativas y estratégicas están cobrando impulso. En febrero, un subcomité del Congreso estadounidense abordó los crecientes retos de ciberseguridad en el sector del agua, subrayando la necesidad de una intervención política urgente. Un proyecto de ley estadounidense sobre ciberseguridad se centra en la protección de infraestructuras hídricas mediante la creación de una agencia dedicada a riesgos y resiliencia en el sector del agua, mientras que en diciembre la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) y la EPA publicaron orientaciones actualizadas para la protección de infraestructuras hídricas críticas.
Por otra parte, el pasado mes de mayo un aviso internacional emitido conjuntamente por varias agencias estadounidenses, así como por el Centro Canadiense de Ciberseguridad y el Centro Nacional de Ciberseguridad del Reino Unido, advirtió sobre las amenazas de hacktivistas prorrusos contra empresas de abastecimiento en Norteamérica y Europa. Además, las autoridades estadounidenses han acusado a «Volt Typhoon», un grupo de hackers vinculado al gobierno chino, de atacar infraestructuras críticas civiles estadounidenses. Otros actores sospechosos son miembros del Cuerpo de la Guardia Revolucionaria Islámica de Irán (IRGC, por sus siglas en inglés), sancionado por el Departamento del Tesoro estadounidense como responsable de ciberataques contra infraestructuras críticas. El grupo llamado «CyberAv3ngers», afiliado al IRGC, ha atacado tecnología de la empresa israelí Unitronics utilizada en instalaciones de agua y aguas residuales.
Ante estos riesgos, la colaboración internacional y las inversiones proactivas en ciberseguridad son imprescindibles. A medida que aumenta la sofisticación de las amenazas relacionadas con la ciberseguridad, los gobiernos, los operadores de servicios de agua y las entidades privadas deben colaborar para proteger las infraestructuras hídricas, que no solo son fundamentales para la salud y la seguridad públicas, sino también para la seguridad nacional.
