Más de 4.100 PLC expuestos a Internet El riesgo real para plantas de agua y depuración

Los recientes incidentes que afectaron a plantas de agua y depuración en Estados Unidos han puesto de relieve una realidad preocupante: . Escaneos públicos realizados por empresas de seguridad muestran más de 4.100 dispositivos EtherNet/IP expuestos a nivel global y miles en EE. UU., mientras que investigaciones puntuales hallaron controladores en ciudades que sufrieron interrupciones operativas. Que tantas unidades aparezcan conectadas sin filtros ni aislamiento no es un fallo teórico: es una configuración que facilita el acceso y la manipulación remota.

Un punto crítico que conviene entender es que no siempre hace falta explotar una vulnerabilidad de día cero para provocar daños. Según análisis sectoriales, los atacantes consiguieron en algunos casos cambiar direcciones IP y poner contraseñas en PLC ya alcanzables, con lo que los operadores perdieron visibilidad o control de equipos conectados. La exposición de EtherNet/IP en el puerto 44818 puede ofrecer un camino no autenticado para identificar y, dependiendo de la configuración, reescribir parámetros de control, lo que convierte una mala arquitectura de acceso en un vector eficaz sin necesidad de complejas cadenas de explotación.

Además de la exposición en Internet, hay otra variable que agrava el riesgo: la gran proporción de PLC detectados sobre redes de operadores móviles. Los análisis muestran que operadores de gran tamaño concentran buena parte de esos endpoints, lo que sugiere que modems celulares mal configurados o compartidos entre múltiples clientes pueden servir como punto de entrada replicable. Los avisos públicos de agencias como el FBI y la EPA han instado a reforzar la autenticación de módems y a aislar el acceso remoto mediante APN privados, VPN o arquitecturas equivalentes.

En términos técnicos concretos, algunos de los controladores expuestos ejecutaban firmware vulnerable a CVE-2017-16740, un overflow en Modbus TCP que Rockwell corrigió años atrás. Actualizar firmware sigue siendo necesario, pero no suficiente: las actualizaciones reparan fallos puntuales; la exposición pública de PLC es inaceptable aunque el firmware esté parcheado. Para recuperaciones de incidentes, Rockwell publicó guías para restaurar MicroLogix 1100/1400 a valores de fábrica y reaplicar proyectos conocidos, pero esa vía exige copias sin conexión del lógico del controlador, un requisito operativo que muchos operadores no cumplen.

Las implicaciones para la gestión de riesgos son amplias. Un PLC manipulado en una planta de agua puede alterar bombas, válvulas o procesos de tratamiento, con impacto directo en la continuidad del servicio y la seguridad pública. También existe el riesgo de compromisos repetidos cuando proveedores externos replican configuraciones vulnerables entre clientes. La esencia del problema es de arquitectura y gobernanza: inventario, segmentación y control de acceso deben predominar sobre parches aislados.

Las acciones urgentes que deberían implementar operadores y responsables de infraestructuras críticas incluyen retirar inmediatamente los PLC del acceso público, bloquear o filtrar el puerto EtherNet/IP (44818) en perímetros expuestos, y migrar el acceso remoto a canales privados y autenticados. Es imprescindible mantener copias offline y versionadas de la lógica del controlador (project files), activar registros y detección de cambios en ladder logic, y desplegar monitorización continua y ejercicios de integridad para detectar modificaciones en proyectos de control. Las configuraciones de terceras partes deben auditarse y endurecerse para evitar «efectos domino» entre clientes que comparten la misma plantilla de red.

Para quienes gestionan la seguridad técnica y la dirección de riesgo, también es clave coordinar con autoridades y fuerzas de seguridad y responder con planes de contingencia que incluyan notificación y recuperación. Los recursos oficiales y bases de datos de vulnerabilidades son útiles para priorizar acciones: puede consultarse la entrada pública de la NVD sobre CVE-2017-16740 para detalles técnicos y referencias, así como la documentación de agencias que publican guías para sistemas industriales y de control. CVE-2017-16740 en NVD y la web de buenas prácticas para sistemas de control de CISA ofrecen puntos de partida para formación y endurecimiento. Guías y avisos de CISA sobre ICS y la investigación sectorial de fabricantes y proveedores ayudan a traducir estas recomendaciones a políticas operativas. Forescout y otros proveedores de visibilidad de activos industriales también publican análisis que pueden enriquecer los inventarios y los ejercicios de detección.

En resumen, el incidente no debe leerse solo como un fallo puntual de seguridad: es un recordatorio de que la digitalización de infraestructuras físicas obliga a aplicar principios de seguridad de redes a sistemas que históricamente se diseñaron para entornos aislados. Desconectar, segmentar, autenticar y conservar copias offline del control lógico son medidas que reducen el riesgo hoy; construir una gobernanza que impida volver a cometer los mismos errores es la tarea de mediano plazo.