Ataques dirigidos a PLC en el sector del agua
La tecnología operacional (OT) es un elemento esencial para garantizar la continuidad, seguridad y calidad de los servicios de agua y saneamiento. Sin embargo, su creciente conectividad y la utilización de accesos remotos están ampliando la superficie de ataque de las organizaciones.
En este contexto, Cybersecurity and Infrastructure Security Agency (CISA) ha alertado sobre actividad dirigida contra sistemas OT y, específicamente, contra controladores lógicos programables (PLC) utilizados en infraestructuras de agua y aguas residuales.
Una amenaza directamente relacionada con la continuidad de los servicios de agua
Para los operadores de agua, la alerta resulta especialmente relevante porque los PLC forman parte de los sistemas que permiten supervisar y controlar procesos físicos esenciales. Un compromiso de estos dispositivos puede trascender y afectar a la operación, la disponibilidad del servicio o, potencialmente, a la seguridad de los procesos.
La actividad observada refuerza además una tendencia ya conocida: los sistemas OT accesibles desde Internet, especialmente cuando utilizan credenciales débiles, configuraciones inseguras o mecanismos de acceso remoto insuficientemente protegidos, pueden convertirse en un punto de entrada de bajo coste para un atacante.
De alerta a la acción: cinco prioridades para reducir el riesgo en OT
La alerta de CISA conecta directamente con las recomendaciones recogidas en el documento Primary Mitigations to Reduce Cyber Threats to Operational Technology, elaborado por CISA junto con otras agencias estadounidenses.
El documento identifica en concreto cinco medidas prioritarias para reducir la exposición de los sistemas OT:
Eliminar las conexiones OT innecesarias a Internet.
Los dispositivos OT no deberían estar directamente expuestos a internet cuando no exista una necesidad operacional justificada. La identificación de activos accesibles desde redes públicas y la eliminación de exposiciones no intencionadas constituyen una de las medidas más efectivas para reducir la superficie de ataque.Sustituir las credenciales predeterminadas y reforzar la autenticación.
Los dispositivos y sistemas OT deben utilizar contraseñas robustas, únicas y adecuadamente gestionadas. La utilización de credenciales por defecto o fácilmente predecibles incrementa considerablemente el riesgo, especialmente cuando el dispositivo dispone de conectividad externa.Proteger el acceso remoto a la OT.
Cuando el acceso remoto sea imprescindible, CISA recomienda evitar la exposición directa de los activos OT y utilizar mecanismos de acceso seguros, incluyendo redes privadas, VPN y autenticación multifactor resistente al phishing. Además, los permisos deben limitarse conforme al principio de mínimo privilegio y las cuentas que ya no sean necesarias deben deshabilitarse.Segmentar las redes IT y OT.
La separación de las redes corporativas y operacionales permite limitar el movimiento lateral de un atacante y reducir el impacto potencial de un incidente. La utilización de zonas y DMZ para controlar los flujos de comunicación constituye una medida fundamental en arquitecturas OT.Mantener la capacidad de operar manualmente.
La resiliencia no consiste únicamente en impedir el ataque. También implica poder continuar o recuperar la operación cuando los sistemas automatizados se vean comprometidos. CISA recomienda mantener y probar procedimientos de operación manual, mecanismos de contingencia, sistemas de respaldo y capacidades de recuperación.
Estas medidas deben complementarse con la coordinación con fabricantes, integradores y proveedores de servicios, que pueden aportar información específica sobre la configuración segura de los sistemas y ayudar a identificar configuraciones incorrectas introducidas durante la implantación o el mantenimiento.
La conectividad OT debe diseñarse como una superficie de riesgo
Una referencia especialmente útil para profundizar en estas recomendaciones es la guía internacional Secure Connectivity Principles for Operational Technology (OT), publicada por el National Cyber Security Centre (NCSC).
El documento plantea ocho principios para diseñar, proteger y gestionar la conectividad en entornos OT:
Equilibrar riesgos y oportunidades de la conectividad.
Limitar la exposición de las conexiones.
Centralizar y estandarizar las conexiones de red.
Utilizar protocolos estandarizados y seguros.
Reforzar la frontera de la red OT.
Limitar el impacto de un compromiso.
Registrar y monitorizar todas las conexiones.
Disponer de un plan de aislamiento.
Para el sector del agua, algunos de estos principios adquieren especial relevancia.
En primer lugar, la conectividad debe responder a una necesidad operacional justificada. Antes de habilitar una conexión con un sistema externo o con un proveedor, es necesario valorar qué beneficio aporta, qué riesgos introduce, qué dependencias genera y quién es responsable de aceptar ese riesgo.
En segundo lugar, debe reducirse al máximo la exposición directa. La guía recomienda evitar conexiones entrantes hacia la OT y, cuando sea necesario proporcionar acceso externo (por ejemplo, para soporte de un proveedor), utilizar conexiones intermediadas mediante pasarelas seguras situadas en segmentos controlados, como una DMZ. De esta forma, el sistema OT no queda directamente expuesto a Internet y el acceso puede ser autenticado, controlado, registrado y monitorizado.
También resulta recomendable aplicar acceso just-in-time, habilitando las conexiones únicamente durante el periodo en que sean necesarias y desactivándolas posteriormente. Esta medida reduce la ventana temporal durante la cual un atacante podría aprovechar una conexión legítima.
La guía insiste igualmente en la necesidad de disponer de una visión completa y actualizada de la arquitectura OT, incluyendo dispositivos, flujos de datos, conexiones externas y dependencias. Sin esta visibilidad resulta difícil determinar qué activos están expuestos y cuáles son las consecuencias de un posible compromiso.Otro aspecto crítico es la presencia de tecnología obsoleta. Los sistemas OT pueden tener ciclos de vida muy prolongados y utilizar productos que ya no reciben actualizaciones de seguridad. En estos casos, la segmentación, los controles de red y otras medidas compensatorias pueden reducir temporalmente el riesgo, pero deben contemplarse como parte de una estrategia de transición y sustitución.
La guía recomienda asimismo centralizar y estandarizar la conectividad. En lugar de desplegar soluciones de acceso remoto diferentes para cada proveedor, puede resultar más seguro disponer de un punto de acceso centralizado y seguro, desde el que se apliquen de forma homogénea los controles de autenticación, autorización, registro y monitorización.Finalmente, la seguridad debe extenderse hasta los protocolos y las comunicaciones. La guía recomienda utilizar versiones seguras de los protocolos industriales cuando estén disponibles y aplicar mecanismos que permitan validar que el tráfico y los datos intercambiados son los esperados.
Un contenido especialmente relevante para las entidades del sector del agua
El conjunto de estas recomendaciones permite extraer una conclusión clara: proteger un PLC no consiste únicamente en actualizar su firmware o instalar un firewall delante de él.
La seguridad debe contemplar el conjunto de la arquitectura: cómo está conectado el PLC, quién puede acceder, desde qué dispositivos, qué protocolos utiliza, qué sistemas pueden comunicarse con él, qué proveedor dispone de acceso remoto y qué sucedería si esa conectividad fuese comprometida.
La guía del NCSC resume este enfoque mediante una arquitectura basada en defensa en profundidad, segmentación, controles en las fronteras de confianza, mínimo privilegio, monitorización y capacidad de aislamiento. En particular, recomienda que los sistemas de monitorización y análisis no dispongan de capacidades de control directo sobre los activos OT cuando no sea necesario, y que los sistemas externos se mantengan separados de la red OT mediante zonas de seguridad y controles específicos.
Este enfoque resulta especialmente importante en el sector del agua, donde la disponibilidad de los sistemas automatizados debe coexistir con requisitos de seguridad, continuidad operacional y capacidad de recuperación.
Conclusión
La alerta de CISA constituye un nuevo recordatorio: la ciberseguridad de las infraestructuras de agua debe abordarse desde una perspectiva operacional y de resiliencia, y no exclusivamente desde la protección de los sistemas TI.
Reducir la exposición de los PLC, controlar el acceso remoto, segmentar IT y OT, eliminar credenciales predeterminadas, monitorizar las conexiones y mantener capacidades de operación manual son medidas concretas que permiten elevar el nivel de protección frente a amenazas que ya están dirigiéndose contra sistemas OT del sector.
En definitiva, la protección de la OT empieza mucho antes de que se produzca un incidente: empieza por saber quién puede conectarse, cómo puede hacerlo y qué puede ocurrir si esa conexión deja de ser segura.
El ES-ISAC Aguas se constituyó en mayo de 2024 como colaboración público-privada impulsada por INCIBE, junto con DAQUAS (Asociación Española del Agua Urbana) y PTEA (Plataforma Tecnológica Española del Agua). Este contenido se enmarca dentro del servicio de información y contenidos relacionados con la ciberseguridad del sector, recogido en el Anexo II de los Términos de Referencia suscritos por las entidades del ES-ISAC Aguas.
