Primero, la respuesta directa: un controlador lógico programable (PLC) es la pequeña caja que realmente arranca la bomba, cierra la válvula y dispara la alarma en su planta o instalación. Desde finales de julio de 2026, los atacantes han explotado exactamente este tipo de dispositivo, expuesto directamente a la internet pública, en empresas de agua de al menos 12 estados de EE. UU. Modificaron la lógica de funcionamiento que contienen, desactivaron alarmas y rutinas de parada segura, y cambiaron contraseñas y direcciones de red hasta que los operadores perdieron el acceso a sus propios equipos. El impacto no fueron archivos filtrados, sino pérdida de presión de agua, inundaciones y plantas obligadas a pasar a operación manual. Si usted gestiona una línea de producción o un edificio con sistemas de control, la pregunta que debe responder hoy es simple y concreta: ¿hay un solo controlador suyo accesible desde la internet pública?

Qué ocurrió realmente

La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. (CISA), el FBI y otras agencias federales emitieron un aviso conjunto con el número AA26-097A, publicado originalmente el 7 de abril de 2026 y actualizado el 22 de julio de 2026. La actualización no fue cosmética: añadió orientaciones para detectar cambios maliciosos dentro de los módulos de código reutilizables que se usan en los programas de PLC de Rockwell Automation, y amplió el alcance del hardware afectado para incluir dispositivos de Schneider Electric, Siemens y otros fabricantes. El 30 de julio de 2026, CISA publicó una alerta aparte en la que instaba al sector del agua y las aguas residuales a proteger su tecnología operativa frente a una actividad dirigida específicamente contra los PLC.

El método merece atención precisamente porque no es brillante y no implica ningún costoso día cero. El atacante encuentra un controlador expuesto en internet y luego usa el software de ingeniería oficial —el mismo que usa su propio ingeniero— para descargar el archivo del proyecto y editar la lógica de escalera que contiene. A partir de ahí manipula las Add-On Instructions para desactivar las paradas seguras y las alarmas, y falsifica lo que muestran las pantallas HMI y SCADA, de modo que el operador ve una lectura perfectamente normal mientras el depósito o la línea hace algo completamente distinto. Por último, cambia las contraseñas y las direcciones IP de los dispositivos e instala un servicio SSH ligero en el módem del sitio para mantener el acceso tras un reinicio. El orden importa: la falsificación visual llega antes que el daño, y por eso varios operadores se dieron cuenta tarde.

La escala cuenta el resto. Solo en Minnesota, se informó de que más de 30 sistemas comunitarios de agua habían sido atacados, y la actividad se extendió a otros estados, como Michigan, Nueva Jersey, Georgia y Dakota del Sur. Más revelador que la cifra fue la declaración del director interino de CISA en agosto de 2026: el equipo seguía encontrando controladores abiertos en internet sin ninguna contraseña, o con la contraseña de fábrica todavía activa. Su mensaje al sector cabía en dos frases: saquen su tecnología operativa de internet y pongan una contraseña.

Por qué importa si opera una instalación en Arabia Saudí

Porque es el mismo hardware, los mismos fabricantes y la misma costumbre. Los controladores de Rockwell, Siemens y Schneider hacen funcionar líneas de producción, plantas de tratamiento, bombas de edificios, enfriadoras y sistemas de gestión de edificios (BMS) en el Reino, igual que en cualquier otro lugar. Y la costumbre que abrió la puerta en esos incidentes existe en todas partes: el contratista de la instalación pide acceso remoto para poder atenderle rápido, se abre un puerto en el router del sitio o se instala un módem celular independiente, y después el arreglo temporal se olvida y se vuelve permanente durante años. Nadie lo documenta, nadie lo revisa y nunca aparece en ningún inventario de TI, porque sencillamente no es de TI.

Precisamente por eso la Autoridad Nacional de Ciberseguridad de Arabia Saudí (NCA) emitió los Controles de Ciberseguridad para la Tecnología Operativa (OTCC-1:2022). Se dirigen a las instalaciones industriales sensibles de entidades gubernamentales y privadas e imponen un nivel mínimo de protección a los sistemas de control industrial. El documento incluye una herramienta de evaluación del cumplimiento y una herramienta de clasificación de instalaciones para determinar qué tan sensible es un sitio concreto. Si opera en agua, energía, fabricación o gestión de instalaciones, estos controles no son una lectura opcional, y la oleada de este verano le da una razón operativa para adelantar su calendario de implementación en lugar de retrasarlo.

La brecha real: TI es un mundo y OT es otro

La mayoría de las organizaciones abordan la seguridad de la tecnología operativa con una mentalidad de TI de oficina, y ese es el problema de fondo. En el mundo de TI, su primera prioridad es la confidencialidad de los datos, aplica parches cada mes y reinicia un servidor por la noche sin mayor inconveniente real. En el mundo OT, la primera prioridad es la continuidad y la seguridad física; un controlador puede funcionar diez años sin una actualización porque detenerlo significa detener la producción, su sistema operativo es antiguo por diseño, y los protocolos que utiliza se escribieron en una época que daba por hecho que la red estaba realmente aislada, por lo que no incluyen autenticación ni cifrado de ningún tipo.

La consecuencia es que las herramientas habituales no le sirven aquí: un antivirus en una estación HMI puede detener la producción, y un análisis de vulnerabilidades convencional puede tumbar un controlador sensible. Lo que sí funciona es la arquitectura: separar las redes, controlar el único punto de paso entre ellas y hacer que todo lo que sale del mundo de las operaciones hacia el mundo del negocio sea de solo lectura.

Siete acciones para esta semana

  • Haga inventario de lo que está realmente expuesto. Pida una lista de todas las IP públicas vinculadas a sus sedes y de todos los módems celulares instalados en una sala de control. Esa lista suele ser más larga de lo que espera y contiene dispositivos que nadie del equipo de TI conoce.
  • Cierre el acceso directo. Ningún controlador ni HMI debe ser accesible desde la internet pública. El acceso remoto pasa por una VPN o una pasarela intermediaria, con autenticación multifactor y un permiso limitado en el tiempo que se abre cuando se necesita y se cierra después.
  • Cambie todas las contraseñas predeterminadas. Sí, el consejo es viejo y aburrido, y es exactamente lo que los investigadores siguen encontrando totalmente abierto en instalaciones reales hoy en día.
  • Segmente las redes. La red de oficina y la red de producción no deben ser una única red plana. El tráfico entre ellas cruza un único punto gobernado y supervisado.
  • Ponga el selector de modo en Run. El interruptor físico de llave del controlador bloquea las descargas remotas de lógica. Un ajuste sencillo y eficaz que no cuesta nada.
  • Guarde una copia fuera de línea de la lógica y la configuración de los controladores. Si se altera la lógica o se cambia una contraseña, una copia de confianza marca la diferencia entre recuperarse en horas y recuperarse en días.
  • Vigile los cambios, no solo las intrusiones. La alerta que importa aquí no es "hay un virus", sino "la lógica del controlador 7 cambió a las 2:40 de la madrugada y no se abrió ninguna orden de mantenimiento". Compare periódicamente la lógica en ejecución con la línea base aprobada y registre las diferencias.

Dónde encaja esto en los proyectos de digitalización que está construyendo

Todo proyecto de digitalización de una fábrica, un almacén o una instalación trae la misma petición: queremos un panel que muestre el rendimiento de la línea en directo y una notificación en el teléfono si se para una bomba. La petición es totalmente legítima; el riesgo aparece en cómo se implementa. La vía rápida es conectar el sistema en la nube directamente a la red de control, o abrir un puerto para que pueda leer de ella, y eso es exactamente lo que convierte una cadena de incidentes como esta de noticia extranjera en un incidente en su propio sitio.

La vía correcta cuesta solo unos días más: una pasarela de datos en medio que lee del mundo de las operaciones y nunca escribe en él, una sola dirección de flujo de datos desde la producción hacia los paneles del negocio, una identidad separada para cada integración con el mínimo privilegio con el que pueda funcionar, y un registro a prueba de manipulaciones de cada orden que viaja desde el sistema de negocio hasta la planta. Cuando en Origami diseñamos sistemas de operaciones, almacén y mantenimiento, esta separación no es un elemento de seguridad añadido al final: es una decisión de arquitectura que se toma el primer día, porque incorporarla más tarde significa reconstruir la integración desde cero.

La lección práctica de la oleada de este verano no es que la tecnología operativa sea peligrosa. Es que sus puertas abiertas más comunes son también las más simples: un dispositivo olvidado en internet, una contraseña predeterminada y el acceso temporal de un contratista que, sin que nadie lo notara, se volvió permanente. Esas tres se cierran con una decisión de la dirección y una semana de trabajo, no con un presupuesto excepcional.

Fuentes