La agencia de ciberseguridad de Estados Unidos (CISA) ha elevado el nivel de alerta: hackers vinculados a Irán están atacando activamente sistemas de control industrial de los gigantes Rockwell Automation, Schneider Electric y Siemens, provocando interrupciones reales en proveedores de agua y energía del país.

La actualización de la advertencia, publicada el 22 de julio, detalla que el FBI observó cómo los atacantes descargaban un archivo de proyecto malicioso en un controlador lógico programable (PLC) de una organización de infraestructuras críticas estadounidense. Una vez dentro, manipularon los datos mostrados en las interfaces humano-máquina (HMI) y los sistemas SCADA, causando pérdidas operativas y financieras.

Modelos de PLC bajo ataque

Los ciberdelincuentes están utilizando software de configuración específico de cada fabricante alojado en infraestructura de terceros alquilada. Según CISA, las herramientas empleadas incluyen Studio 5000 Logix Designer de Rockwell, EcoStruxure Control Expert de Schneider y TIA Portal de Siemens. Con ellas, logran extraer archivos de proyecto de los PLC y transferirlos a servidores controlados por los atacantes.

Los modelos concretos identificados son:

  • Allen-Bradley CompactLogix y Micro850 (subsidiaria de Rockwell)
  • Schneider Electric BMX P34 y Modicon M340
  • Siemens S7-1200

La agencia advierte que equipos de otras marcas también podrían ser vulnerables, ya que “potencialmente todos los sistemas de control industrial expuestos a Internet” estarían en riesgo.

Desactivación de alarmas críticas

Uno de los hallazgos más alarmantes ocurrió cuando el FBI constató que los hackers habían modificado la lógica de programación de los controladores. El archivo de proyecto malicioso retenía la lógica de escalera para funciones aguas abajo, pero añadía instrucciones que anulaban los conjuntos de instrucciones responsables de mantener los parámetros operativos seguros en el entorno de la víctima. Esto permitió que los sistemas entraran en condiciones inseguras sin que los operadores recibieran ninguna notificación de las anomalías.

La campaña, activa desde al menos abril de 2026, no es un incidente aislado. CISA señala que guarda similitudes con una operación de noviembre de 2023 vinculada al Comando Cibernético y Electrónico del Cuerpo de la Guardia Revolucionaria Islámica (IRGC CEC). Ese grupo, conocido como CyberAv3ngers, ha sido rastreado bajo múltiples nombres, como Bauxite, Hydro Kitten, Shahid Kaveh Group, Soldiers of Solomon, Storm-0784 y UNC5691.

Los sectores afectados

Según la advertencia inicial de CISA, estas acciones alteraron el funcionamiento de los PLC en varios sectores de infraestructuras críticas de EE.UU., principalmente en servicios gubernamentales e instalaciones, sistemas de agua y aguas residuales, y energía. El FBI informó además que los atacantes irrumpieron en un proveedor de infraestructuras críticas y cambiaron la lógica de programación de los controladores para desactivar procesos que manejaban paradas de emergencia y alarmas.

Recomendaciones para protegerse

Ante la gravedad de la amenaza, CISA, el FBI, la NSA y el Departamento de Energía han emitido recomendaciones concretas para las organizaciones de infraestructuras críticas:

  • Retirar los PLCs de la exposición directa a internet, utilizando pasarelas seguras y cortafuegos.
  • Instalar los controladores siguiendo las directrices de los fabricantes y las mejores prácticas de seguridad.
  • Revisar los registros en busca de los indicadores de compromiso (IOCs) proporcionados, prestando especial atención al tráfico sospechoso en los puertos utilizados por dispositivos OT, como el 44818 y el 22.

La inteligencia de EE.UU. indica que los atacantes iraníes están llevando a cabo esta actividad para “causar efectos disruptivos dentro de Estados Unidos”, probablemente como respuesta al conflicto en curso entre Irán, EE.UU. e Israel. Esta es la última de una serie de ciberataques lanzados por hackers del gobierno iraní y sus apoderados desde el inicio de la guerra en febrero, según las autoridades.