Ciberseguridad OT en el agua: el punto ciego del telecontrol

Cambiar una contraseña. Cambiar una dirección IP. Ese es el ataque completo. Es lo que describe CISA en el aviso que publicó el 30 de julio de 2026 dirigido al sector del agua y el saneamiento, tras detectar un aumento sostenido de ataques contra PLC accesibles directamente desde internet. Sin malware, sin vulnerabilidades desconocidas, sin nada que justifique una sala de crisis. Los atacantes cambian la contraseña del autómata para dejar fuera al operador y le modifican la dirección IP para desconectarlo del resto del sistema.

El resultado sí fue serio: avisos a la población para no consumir agua sin hervirla y plantas funcionando en manual durante días. Aquí eso se traduce en un bando municipal declarando el agua no apta para el consumo.

Lo relevante de este aviso no es la técnica, que no tiene ningún mérito. Es lo que deja al descubierto sobre cómo están montadas las redes de telecontrol del agua. Y en eso España tiene un problema propio, por una razón estructural.

Por qué el ciclo del agua español es un caso aparte

En la mayoría de sectores industriales la superficie de ataque está concentrada. Una fábrica de automoción tiene una planta, un perímetro y un departamento de sistemas que lo vigila.

El agua no funciona así. El ciclo integral está repartido entre confederaciones hidrográficas, mancomunidades, empresas municipales, concesionarias y ayuntamientos pequeños que gestionan su propio pozo. Y físicamente está repartido en depósitos, sondeos, estaciones de bombeo, arquetas de sectorización y EDAR de aldea, muchas veces a decenas de kilómetros de la oficina más cercana.

Esa dispersión se resolvió de la única forma viable: telecontrol. Un autómata pequeño en cada punto, comunicación por radio o por móvil y un SCADA central que lo recoge todo. Como arquitectura operativa es acertada y sigue siéndolo.

El problema es cómo se construyó. Por trozos, en obras distintas, con contratistas distintos, a lo largo de quince o veinte años. Cada actuación resolvió su conectividad con lo que había disponible en ese momento y bajo el pliego de ese momento.

Nadie diseñó esa red de forma unitaria. Se fue formando sola. Y una red que se forma sola no tiene criterio de seguridad, tiene sedimentos.

El punto ciego no es el telecontrol, es el inventario

Pregunta a un responsable de explotación cuántas salidas a internet tiene su red OT. La respuesta honesta casi siempre es un número aproximado seguido de una pausa.

No es dejadez. Es que buena parte de esos accesos nunca pasaron por el departamento de sistemas. Se contrataron dentro de una obra, vinieron incluidos en el suministro de un equipo o los instaló el fabricante de las bombas como condición para dar servicio de garantía. Se pagaron con cargo a inversión, no a mantenimiento, y por eso no aparecen en ningún registro de activos TI.

CISA insiste precisamente en este punto: incluso organizaciones con procesos de ciberseguridad maduros tienen módems celulares instalados por operadores, fabricantes o integradores que no figuran en ningún escaneo periódico de superficie de ataque.

Un router 4G en un cuadro de una caseta remota no se comporta como un activo de red. Se comporta como una pieza más del suministro mecánico. Y ahí está el punto ciego: se compra, se instala, se olvida, y sigue encendido diez años.

Llamémoslo telecontrol heredado. O deuda técnica con IP pública, que describe mejor lo que es.

Cuatro medidas, ninguna cara

Las recomendaciones del aviso son sencillas y ninguna exige un proyecto de inversión. Exigen decisión y trabajo de campo.

Sacar el PLC de internet. El acceso remoto para operación y mantenimiento tiene que pasar por un dispositivo intermedio, nunca contra el autómata directamente.

Cambiar las contraseñas por defecto. Año tras año sigue siendo el vector más rentable que existe. En telecontrol heredado, el porcentaje de equipos que conservan la contraseña de fábrica sorprende hasta al que lleva la explotación.

Restringir por lista de IP permitidas. Que solo puedan conectarse los portátiles de ingeniería conocidos y los activos OT que realmente lo necesiten.

Guardar una copia limpia y verificada de la aplicación de cada autómata. Esta es la que casi nadie tiene al día y es exactamente la que hace falta el día que un atacante cambia la contraseña y te deja fuera de tu propio PLC.

Ese cuarto punto merece una pausa. Casi todas las explotaciones tienen copia del SCADA y del historiador. Muy pocas tienen guardada y probada la imagen de cada autómata de campo. Entre tenerla y no tenerla está la diferencia entre recuperar el servicio en una tarde o en tres semanas.

Por qué la VPN de siempre no resuelve esto

La recomendación de pasar el acceso por una VPN es correcta, pero se queda corta si se aplica de forma literal.

Una VPN corporativa clásica te mete en la red, no en un equipo. Una vez dentro, el usuario ve todo lo que hay en ese segmento. En una red de telecontrol con cincuenta ubicaciones, eso significa que quien va a intervenir en una sola estación tiene visibilidad potencial de las otras cuarenta y nueve.

Es la diferencia entre dar la llave del portal y dar la llave de una sala. Y explica por qué las herramientas nacidas en el mundo TI, VPN, escritorios virtuales y servidores de salto, encajan mal en una red OT dispersa.

Aquí es donde trabajamos con Secomea. Su arquitectura parte de una pasarela instalada junto a la maquinaria que abre la conexión hacia fuera por HTTPS en el puerto 443. No hay puertos de entrada abiertos, no hay IP pública apuntando al autómata y no queda nada que un escáner de internet pueda encontrar. Eso ataca la causa, no el síntoma.

El resto encaja con lo que pide el aviso. Autenticación multifactor y SSO contra Azure AD u Okta antes de conectar a nada. Permisos por activo y por usuario, con acceso temporal o programado cuando el trabajo lo justifica. Y registro de auditoría de quién entró, cuándo y a qué máquina.

Ese registro no es papeleo. Es lo que necesitas el día que tengas que reconstruir un incidente y explicárselo a la administración competente.

Secomea está certificada en IEC 62443-4-1 y cumple con IEC 62443-4-2 y 62443-3-3, y encaja en el modelo Purdue sin obligar a rehacer la segmentación que ya tienes.

NIS2: la ley llega tarde, el atacante no

NIS2 clasifica el suministro y la depuración de agua como sector esencial. España debía haberla transpuesto antes del 17 de octubre de 2024 y no lo hizo. A día de hoy está transpuesta solo en parte, mediante el Real Decreto-ley 7/2025, y la Ley de Coordinación y Gobernanza de la Ciberseguridad, que es la que completa la transposición y crea el Centro Nacional de Ciberseguridad, sigue en tramitación parlamentaria sin publicarse en el BOE. La Comisión Europea ya ha requerido formalmente a España que la cierre.

Ahora la parte que importa. Las obligaciones de fondo, gestión de riesgos, control de accesos, trazabilidad y notificación de incidentes, no nacen de la ley española. Nacen de la directiva y llevan ahí desde 2022. Esperar al texto nacional para empezar a trabajarlas es confundir el envoltorio con el contenido.

Y al margen de plazos y sanciones, la conclusión operativa no cambia. Un autómata publicado en internet, con contraseña de fábrica y sin trazabilidad de accesos, es un problema hoy. La normativa se limitará a ponerle fecha y multa a algo que ya era una mala idea.

Por dónde empezar, sin proyecto y sin presupuesto

Cinco pasos. Los cuatro primeros se pueden arrancar el lunes con el personal que ya está.

1. Inventaría todas las salidas a internet de tu red OT, incluidas las que no montaste tú. Routers 4G en casetas, módems dentro de cuadros, conexiones que dejó un suministrador de maquinaria.
2. Comprueba desde fuera qué es visible. Un escaneo externo de tus rangos suele dar alguna sorpresa. Cruza el resultado con el inventario y quédate con la diferencia: eso es lo que no sabías que tenías.
3. Cambia las contraseñas por defecto de cada PLC, panel, router y pasarela que aparezca.
4. Extrae, guarda y verifica una copia de la aplicación de cada autómata crítico. Verificar significa probar que se restaura, no comprobar que el fichero existe.
5. Sustituye los accesos directos por una arquitectura de acceso remoto pensada para OT, con identidad, permisos por activo y trazabilidad.

Si de esta lista solo puedes hacer una cosa este mes, haz la primera. Todo lo demás depende de ella, porque no se puede proteger lo que no se sabe que está conectado.

¿Quieres revisar cómo está planteado el acceso remoto en tu red de telecontrol? Contacta con el equipo de Opertek.