Un grupo de actores afiliados al Cuerpo de la Guardia Revolucionaria Islámica de Irán (IRGC), conocido bajo la persona CyberAv3ngers, comprometió decenas de controladores lógicos programables (PLC) Unitronics de fabricación israelí utilizados en sistemas de agua y aguas residuales (WWS) de Estados Unidos. La campaña, que CISA y agencias aliadas siguen documentando, expone una de las debilidades más persistentes de la tecnología operativa (OT): dispositivos industriales conectados directamente a internet con contraseñas por defecto o sin contraseña.
Qué ocurrió
A partir del 22 de noviembre de 2023, los atacantes accedieron a múltiples instalaciones estadounidenses de agua que operaban PLC de la serie Unitronics Vision con interfaz hombre-máquina (HMI). El método no requería un exploit sofisticado: bastaba con localizar equipos expuestos en internet y entrar con credenciales débiles o predeterminadas. Una vez dentro, los actores descargaban archivos de lógica de escalera (ladder logic) personalizados para cada tipo de dispositivo y, en varios casos, desfiguraban la pantalla del HMI con un mensaje político contra Israel.
Entre noviembre de 2023 y enero de 2024, la campaña se desarrolló en aproximadamente cuatro oleadas y comprometió al menos 75 dispositivos en varios sectores de infraestructura crítica. El incidente más conocido se produjo el 25 de noviembre de 2023 en la Municipal Water Authority de Aliquippa (Pensilvania), donde los atacantes tomaron el control de un sistema remoto de monitoreo y regulación de presión de agua en una estación de bombeo, obligando al personal a operar el equipo en modo manual.
Por qué importa
Los PLC son el corazón de los procesos físicos: regulan bombas, válvulas, presión y dosificación química. Un acceso no autorizado no solo interrumpe el servicio, sino que puede tener consecuencias sobre la seguridad pública. El caso Unitronics demuestra que el riesgo en OT/ICS rara vez proviene de vulnerabilidades de día cero exóticas, sino de higiene de seguridad básica ausente: exposición innecesaria a internet, ausencia de segmentación y credenciales sin cambiar.
«La mayoría de los compromisos en infraestructura crítica no son hazañas técnicas: son puertas que nunca se cerraron.»
Respuesta de las autoridades
CISA, el FBI, la NSA y la EPA publicaron el aviso conjunto AA23-335A, que detalla las tácticas, técnicas y procedimientos (TTP) de estos actores y recomienda medidas de mitigación. La amenaza sigue vigente: en abril de 2026 las agencias actualizaron la guía con el aviso AA26-097a, reiterando que los PLC accesibles desde internet continúan siendo un objetivo prioritario para actores estatales y hacktivistas.
Cómo protegerse
- Cambiar todas las contraseñas por defecto de los PLC y HMI por credenciales robustas y únicas.
- Retirar los dispositivos OT de la exposición directa a internet; si se requiere acceso remoto, hacerlo mediante VPN con autenticación multifactor (MFA).
- Segmentar la red separando los entornos OT de los entornos IT y de internet.
- Cambiar el puerto TCP por defecto (20256) de los Unitronics y restringir el acceso por listas de control.
- Mantener copias de seguridad de la lógica de los controladores y de las configuraciones para una recuperación rápida.
- Aplicar actualizaciones de firmware del fabricante y monitorear el acceso a los dispositivos en busca de anomalías.
El episodio Unitronics es un recordatorio incómodo pero claro: en la convergencia de IoT, OT e ICS, las medidas más simples —contraseñas fuertes, segmentación y reducir la superficie de exposición— siguen siendo las que marcan la diferencia entre un intento fallido y un incidente con impacto físico.
Fuentes: avisos de CISA AA23-335A y AA26-097a; reportes de Dragos y de la Municipal Water Authority of Aliquippa.
Deja una respuesta