El FBI y la Agencia de Protección Ambiental de Estados Unidos (EPA) confirmaron esta semana que al menos siete estados reportaron ciberataques contra sistemas de suministro de agua potable. Los ataques se dirigieron contra el software que supervisa y ajusta procesos esenciales en plantas de tratamiento: niveles de productos químicos, presión del servicio y otros parámetros críticos.
Las autoridades federales subrayaron que ninguno de los sistemas comprometidos provocó contaminación del agua ni dejó el suministro en condiciones inseguras para el consumo. No obstante, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) advirtió que algunos ataques obligaron a implementar operaciones manuales y, en ciertos casos, motivaron avisos preventivos para hervir el agua.
Minnesota fue el primer estado en informar públicamente sobre los incidentes. Michigan confirmó después que algunas de sus comunidades registraron «actividad consistente con lo descrito por las agencias federales», según Dale George, portavoz del gobierno estatal, quien precisó que los sistemas continúan operando con normalidad y que no existen «impactos conocidos que representaran una preocupación para la salud pública».
De acuerdo con una investigación de The New York Times, el alcance de las intrusiones es mayor de lo que inicialmente se conocía y podría extenderse a más estados. Funcionarios federales y expertos consultados por ese medio señalan que la principal hipótesis apunta a actores vinculados con Irán, especialmente desde que se intensificó el conflicto entre Estados Unidos, Israel e Irán. Sin embargo, las agencias federales insisten en que esa conclusión sigue siendo preliminar y que no existen pruebas forenses concluyentes.
Nate George, alcalde de Braham, Minnesota, declaró al diario que las autoridades «están bastante seguros de que son actores iraníes», aunque aclaró que prefieren no hacer esa afirmación públicamente mientras continúa la investigación.
Alex Orleans, excontratista de ciberseguridad del gobierno estadounidense y actual jefe de inteligencia de amenazas de Sublime Security, describió el caso como un cambio de escala respecto a campañas anteriores: «Lo que no tiene precedentes aquí es que estamos viendo efectos directos y tangibles en sistemas de control industrial activos dentro de la infraestructura crítica de Estados Unidos», señaló al Times.
El presidente Donald Trump, por su parte, puso en duda la atribución iraní: «Creo que Minnesota está detrás de esto. No creo que haya habido un ciberataque iraní», declaró. El gobernador de Minnesota, Tim Walz, rechazó esa afirmación y escribió en redes sociales que «así es como luce la guerra moderna».
La CISA recomendó desconectar de internet los controladores vulnerables utilizados en estos sistemas. El alcalde George resumió la dimensión estructural del problema: «Las actualizaciones de la infraestructura informática son muy costosas y somos un municipio muy pequeño».
El dato importa más que el ruido. Lo que este episodio revela no es solo una disputa de atribución entre el presidente y sus propias agencias: es la fragilidad de una infraestructura crítica que, en buena parte del país, depende de municipios pequeños sin capacidad presupuestaria para modernizar sus sistemas de control industrial. La guerra moderna no requiere misiles cuando un controlador conectado a internet basta para forzar operaciones manuales y alarmar a una comunidad entera. Conviene mirar los incentivos: mientras el gasto federal se concentra en grandes activos, miles de sistemas locales permanecen expuestos. La respuesta no puede ser solo una recomendación de desconectar equipos; exige recursos, estándares mínimos y, sobre todo, voluntad política para tratar la ciberseguridad del agua con la misma seriedad que la defensa convencional.
