Hackers iraníes atacan 30+ sistemas de agua en Minnesota

Un memorando filtrado obtenido por WIRED el 30 de julio de 2026 vincula una serie de ciberataques a sistemas de agua y aguas residuales de Minnesota con Irán. El documento del Centro de Análisis e Intercambio de Información del Agua (WaterISAC), el primer documento oficial que establece ese vínculo, señala que el Centro de Fusión de Minnesota determinó que los ataques coincidían con una campaña de piratería que la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) ha descrito como llevada a cabo por hackers afiliados a Irán.

Más de 30 sistemas municipales de agua y aguas residuales en Minnesota fueron atacados. Los hackers comprometieron controladores lógicos programables (PLC) accesibles de forma remota, con el probable objetivo de causar una pérdida de presión en el sistema y una posible contaminación del agua, según el memorando. En la ciudad de Braham, el ataque provocó una breve interrupción de la planta de agua. Las instalaciones pudieron mitigar mayores compromisos, dijeron las autoridades, y el agua potable se mantuvo segura.

Joe Slowik, ex investigador de ciberseguridad en Los Álamos National Labs, calificó los ataques como un caso raro de ataque patrocinado por un estado contra infraestructura civil fuera de la guerra de Rusia en Ucrania. Advirtió que la interrupción documentada y la modificación de los parámetros de seguridad en múltiples sitios deberían causar una preocupación significativa, y que otras instalaciones que utilizan la misma tecnología siguen siendo vulnerables.

La firma de ciberseguridad Tenable publicó un informe el 28 de julio sugiriendo que el grupo iraní CyberAv3ngers, vinculado al Cuerpo de la Guardia Revolucionaria Islámica, podría ser el responsable. The New York Times informó el 30 de julio que las autoridades concluyeron que los ataques probablemente fueron llevados a cabo por hackers patrocinados por el estado iraní.

CyberAv3ngers surgió por primera vez a finales de 2023, atacando dispositivos Unitronics utilizados en instalaciones de agua, y desde entonces ha escalado hasta violar una empresa estadounidense de petróleo y gas e implementar un malware llamado IOControl.

Si bien el grupo específico detrás de los ataques en Minnesota sigue siendo incierto —el investigador de Claroty Yhonatan Harari señaló evidencia que apunta a otro grupo iraní, Handala— todos los indicios apuntan a la participación iraní. Un aviso separado de CISA, actualizado el 22 de julio, había advertido que actores vinculados a Irán estaban atacando PLC para causar interrupciones operativas, pero no mencionaba los incidentes de Minnesota.

El 30 de julio, CISA emitió un nuevo aviso indicando que los ataques provocaron avisos de hervir agua y operaciones manuales sostenidas. Instó a las empresas de agua a desconectar los PLC de Internet, usar contraseñas seguras y permitir solo dispositivos de confianza, advirtiendo que los actores de amenazas están atacando entidades de agua de todos los tamaños.