Irán hackeó sistemas de agua de EE. UU. en Minnesota, y el enfoque de seguridad con IA pasa por alto el punto

Un ciberataque iraní confirmado a la infraestructura de agua de Minnesota se está cubriendo como una historia de IA. No debería ser así, y ese encuadre es en realidad peligroso.

En términos sencillos: Las autoridades estadounidenses han atribuido un ciberataque a los controles del sistema de agua de Minnesota a piratas informáticos patrocinados por el Estado iraní, aunque la atribución sigue siendo preliminar. Los ataques se dirigieron a la tecnología operativa (OT), no a los sistemas de TI. Se trata de un ataque a infraestructura crítica; el "enfoque en IA" en la cobertura mediática es una distracción.

La historia: El análisis de Schneier despeja el ruido: el ataque utilizó vulnerabilidades conocidas en sistemas de control industrial, no técnicas novedosas basadas en IA. La narrativa mediática sobre "ciberataques potenciados por IA" está empañando una historia más clara e importante: actores estatales están atacando activamente la OT de infraestructura crítica de EE.UU. con técnicas documentadas durante años.

Los ataques al sistema de agua de Minnesota siguen un patrón establecido con la red eléctrica de Ucrania (2015-2016), la planta de tratamiento de agua de Oldsmar (2021) y múltiples campañas de ICS/SCADA desde entonces. El modelo de amenaza es consistente; las defensas siguen siendo inadecuadas.

El enfoque en "IA" es problemático porque crea una falsa sensación de que el problema es nuevo y futurista, cuando las brechas reales —sistemas OT sin parches, redes planas entre TI y OT, monitoreo inadecuado— están bien identificadas y son solucionables.

Bajo el capó: Los sistemas OT en el tratamiento de agua funcionan con PLC y software SCADA con ciclos de vida de 15 a 25 años. La mayoría no son parcheables en plazos estándar de TI. El aislamiento por aire es costoso; conectarlos es peligroso. La comunidad de seguridad lleva una década advirtiendo sobre esto.

Entonces, ¿qué hacer? Las empresas de servicios de agua, los operadores de energía y los funcionarios de adquisiciones gubernamentales deberían tomar esto como una señal para acelerar la inversión en seguridad OT, no esperar a que surja una amenaza "específica de IA". La amenaza está aquí; solo que no lleva cara de chatbot.