Cómo Irán está probando la infraestructura occidental con ciberataques en dos continentes

El verdadero objetivo no es un apagón

El mes pasado, hackers vinculados a Irán dejaron fuera de servicio durante cuatro días un pequeño generador eléctrico británico. Semanas antes, la misma red atacó más de 30 sistemas comunitarios de agua en Minnesota. En ambos casos, los atacantes no penetraron una red eléctrica principal. No provocaron apagones masivos ni alertas por envenenamiento. Hicieron algo más sutil y, en cierto modo, más trascendente: demostraron que podían entrar, tocar los controles y marcharse.

Los funcionarios de seguridad británicos han identificado el incidente del Reino Unido como vinculado a Irán. Los funcionarios estadounidenses han señalado al mismo responsable por los ataques al agua en Minnesota, aunque la administración Trump ha discutido públicamente esa atribución. En cualquier caso, el patrón es innegable, y marca un cambio desde las campañas de reconocimiento de la última década hacia algo más cercano a la interrupción activa.

Lo que hace que estos incidentes sean particularmente preocupantes no es la escala del daño, sino la precisión de la prueba. En cada caso, los hackers demostraron la capacidad de acceder a sistemas de control industrial, manipular parámetros operativos y observar las consecuencias físicas antes de retirarse. Ese ciclo de retroalimentación —acceso, intervención, evaluación— es el núcleo del reconocimiento de infraestructura. El objetivo no es la destrucción inmediata, sino un conocimiento calibrado sobre dónde son porosas las defensas occidentales y con qué rapidez reaccionan los equipos de respuesta.

Un manual que cruza océanos

Los ataques en Minnesota, reportados por múltiples medios citando un memorando filtrado de intercambio de amenazas industriales, involucraron hackers que accedieron a sistemas remotos de monitoreo y control para bombas de agua. Varios estados se vieron afectados. Algunos servicios públicos perdieron presión. Otros tuvieron que cambiar completamente a operaciones manuales. Los operadores reportaron haber sido bloqueados de sus propios paneles de control después de que los atacantes cambiaran contraseñas y reasignaran direcciones IP en controladores lógicos programables —las computadoras robustas que se interponen entre los comandos de software y la maquinaria física—.

El incidente en el Reino Unido siguió un arco similar. Un generador diminuto se apagó durante cuatro días. El ministro de Energía británico, Michael Shanks, se apresuró a minimizar el impacto: no había amenaza para la red más amplia, dijo, y nadie perdió energía. Pero su departamento simultáneamente informó a los CEOs sobre pasos para fortalecer sus sistemas. Esa contradicción lo dice todo: los funcionarios saben que la vulnerabilidad es real aunque el daño hasta ahora esté contenido. Documentos internos obtenidos por investigadores muestran que el generador en cuestión formaba parte de un sistema de energía de respaldo que atendía a una instalación crítica, no a una planta de energía comercial. Su remoción del servicio durante noventa y seis horas habría desencadenado fallos en cascada si la red principal hubiera experimentado cualquier tensión durante esa ventana.

Lo que conecta ambos incidentes es el método. Los hackers afiliados a Irán tienen el hábito de encontrar sistemas de control industrial expuestos a internet, explotar contraseñas predeterminadas y ganar la capacidad de manipular equipos físicos. El Departamento de Justicia acusó en agosto a 17 miembros de una empresa con sede en Irán por una amplia campaña de robo cibernético que apuntaba a universidades, empresas e agencias gubernamentales, gran parte de ella en nombre del CGRI. Ese caso involucró robo de datos, pero las mismas redes han atacado previamente tecnología operativa.

En 2016, un hacker iraní penetró el sistema de control de una represa en Rye, Nueva York. No pudo abrir las compuertas —estaban desconectadas por mantenimiento—, pero la intrusión en sí misma envió un mensaje. A finales de 2023 y principios de 2024, un grupo llamado CyberAv3ngers comprometió docenas de instalaciones estadounidenses con controladores industriales israelíes, incluidos sistemas de agua, compañías de energía, fabricantes de alimentos y organizaciones de salud. El patrón es consistente: identificar activos de tecnología operativa expuestos, explotar autenticación débil, demostrar control y luego desaparecer. Cada intrusión exitosa se convierte en un punto de datos en un mapa creciente de debilidades de la infraestructura occidental.

Por qué importan los objetivos pequeños

Los analistas militares han advertido durante mucho tiempo sobre el uso que hace Irán de fuerzas proxy para crear ambigüedad estratégica. Ahora la misma lógica se está aplicando con código en lugar de misiles. Las instalaciones de agua y energía pequeñas y poco defendidas ofrecen un punto de entrada de bajo riesgo a la infraestructura occidental. A diferencia de una red eléctrica principal o una base militar, estos sistemas rara vez cuentan con el mismo nivel de inversión en ciberseguridad o monitoreo. Sin embargo, controlan procesos físicos del mundo real —presión del agua, velocidad de las bombas, salida de los generadores—.

El FBI y la EPA emitieron una alerta conjunta en julio advirtiendo que actores maliciosos habían atacado servicios públicos de agua y aguas residuales en al menos siete estados accediendo a controladores lógicos programables expuestos y cambiando sus direcciones IP y contraseñas. Algunos incidentes causaron pérdida de presión e inundaciones. Las agencias federales también advirtieron que actores afiliados a Irán habían atacado dispositivos industriales similares en los sectores de agua, energía y gobierno.

Los efectos de segundo orden de estos ataques son donde se acumula el verdadero costo. Cuando un operador de servicio público descubre que su sistema ha sido comprometido, la respuesta inmediata suele ser cerrar los segmentos afectados y volver al control manual. Esa transición es costosa en mano de obra, tiempo e ingresos perdidos. Las primas de seguros aumentan. El escrutinio regulatorio se intensifica. Los gobiernos locales enfrentan presión para financiar actualizaciones de ciberseguridad que nunca anticiparon. Y, tras bambalinas, los servicios públicos afectados comienzan a documentar cada vulnerabilidad que descubren —un proceso que ralentiza las operaciones y desvía recursos de otros esfuerzos de modernización—.

La lección es nítida: el acceso mínimo produce efecto físico máximo. Los hackers no necesitan derribar una red eléctrica nacional. Necesitan detener una bomba, bloquear a un operador o cambiar un punto de ajuste. El resultado es interrupción sin declaración.

Quién gana, quién pierde

Irán gana estratégicamente. Cada intrusión exitosa reúne inteligencia sobre las dependencias de la infraestructura occidental, prueba los tiempos de respuesta defensiva y normaliza la idea de que los servicios públicos civiles son objetivos legítimos. El costo para Teherán es insignificante. Los costos políticos y económicos para las víctimas se acumulan. Una interrupción de cuatro días del generador en el Reino Unido no cuesta nada a Teherán, pero obliga a Londres a reconsiderar la postura de seguridad de su sector energético. Treinta sistemas de agua comprometidos en Minnesota no cuestan nada de los fondos del Cuerpo de la Guardia Revolucionaria Islámica, pero obligan a treinta gobiernos locales a improvisar la reparación.

Los servicios públicos occidentales pierden primero. La mayoría de los sistemas municipales de agua y energía operan con presupuestos de ciberseguridad ajustadísimos, a menudo ejecutando sistemas industriales de control heredados que nunca fueron diseñados para conectividad a internet. Muchos aún dependen de sistemas operativos que ya no reciben actualizaciones de seguridad. Cuando un hacker cambia una contraseña o reasigna una dirección IP, el servicio público queda efectivamente bloqueado fuera de su propio equipo. La recuperación requiere investigación forense, reconstrucción del sistema y, a menudo, reemplazo completo del hardware.

Los gobiernos pierden credibilidad. El rechazo público de la administración Trump a la atribución a Irán por los ataques en Minnesota —mientras es inconsistente con lo que los funcionarios dijeron a los medios— socava el mismo marco de disuasión que afirma defender. Las señales mixtas sobre quién es responsable y por qué le dan a Teherán margen para operar en la zona gris entre el conflicto y la paz. La disuasión depende de una atribución creíble y un mensaje coherente. Cuando esos factores flaquean, los adversarios ganan confianza de que pueden operar con impunidad.

Las comunidades locales soportan el costo humano. La pérdida de presión del agua en Minnesota significó que algunos residentes enfrentaron suministro intermitente mientras los servicios públicos cambiaban a operaciones manuales. Un generador desactivado en el Reino Unido significó que una instalación crítica operó sin su fuente de energía de respaldo durante cuatro días. Ningún incidente causó muertes masivas. Pero ambos crearon condiciones donde la próxima intrusión —contra un sistema más grande o más vulnerable— podría.

Qué sigue

Steve Bucci, un exfuncionario del Pentágono y fellow de la Heritage Foundation, ha advertido que los gobiernos locales necesitan aislar los controles críticos de internet público de inmediato. Ese es un consejo que debería haberse seguido hace años. La ventana para la defensa preventiva se cierra. La segmentación de red, el aislamiento de aire de los sistemas de control sensibles y el despliegue de detección moderna de intrusiones en todos los activos industriales ya no son actualizaciones opcionales —son infraestructura esencial—. Sin embargo, la mayoría de los sistemas municipales no han completado ni siquiera evaluaciones básicas de su superficie de ataque externa.

El apagón de cuatro días del generador en el Reino Unido muestra lo que sucede cuando falla la disuasión: ninguna muerte masiva, ninguna guerra declarada, solo una erosión silenciosa de la confianza en los sistemas de los que la gente depende diariamente. Si Irán puede interrumpir la presión del agua en Minnesota y un generador eléctrico en el Reino Unido con la misma red, el próximo objetivo podría estar en algún lugar con apuestas más altas y defensas más delgadas. Una planta regional de tratamiento de agua que sirve a media millón de personas. Un generador de respaldo en un hospital. Un sistema de refrigeración en una instalación nuclear.

La trayectoria es clara. Irán ha pasado del robo de datos a la interrupción operativa. Ha probado las mismas tácticas en dos continentes y las ha encontrado efectivas. Ha aprendido cómo responden los sistemas occidentales —y qué tan lentamente—. La pregunta no es si estos ataques continuarán. Es qué sucede cuando el próximo golpea una instalación que no puede absorber la interrupción.

Ahora mismo, Irán está trazando las líneas de falla en la infraestructura occidental. Los sistemas de agua en Minnesota y el generador en el Reino Unido son solo las primeras pruebas. El segundo acto aún no se ha escrito, pero el guion se está haciendo legible. Cada controlador expuesto, cada contraseña predeterminada que permanece sin cambio, cada sistema heredado que se mantiene en línea sin monitoreo es una puerta dejada desbloqueada. Y las mismas manos que giraron esos controles en Minnesota y el Reino Unido ya están buscando el siguiente.