Un intruso 'hackeó' una estación de tratamiento del agua en Florida intentando alterar los parámetros químicos a niveles de riesgo para la salud

El año pasado vimos cómo era posible hackear los semáforos para provocar así atascos y retrasos en el tráfico. Era un método de dos investigadores de ciberseguridad y más bien una demostración de la accesibilidad de ciertos sistemas, pero lo que ha ocurrido esta vez ha sido real: en Florida han hackeado una planta de tratamiento de agua intentando crear una situación de riesgo para la salud.

Concretamente ha ocurrido en la ciudad de Oldsmar, a una media hora de Tampa, donde recientemente se celebraba la Super Bowl. Y así, mientras muchos estarían preparando celebración de uno de los principales eventos deportivos del país, alguien aprovechó para acceder al sistema de una planta de tratamiento de agua de manera remota y tratar de alterar los parámetros químicos del agua.

En cinco minutos pudieron aumentar 100 veces el nivel de un producto químico

Las autoridades de la ciudad han realizado un comunicado que podemos ver en el siguiente vídeo. El Sheriff del condado de Pinellas Bob Gualtieri explica que el pasado viernes 5 de febrero alguien pudo acceder al sistema de tratamiento de aguas en cuestión e intentó modificar los niveles de hidróxido de sodio, es decir, sosa cáustica.

Según el oficial este agua llega a miles de personas y de no haberlo evitado habría sido una situación de riesgo masiva. El hacker en cuestión habría intentado aumentar los niveles de sosa cáustica 100 veces más de lo adecuado (de 100 partes por millón a 11.100 ppm), pero por suerte un operador se percató y los ajustó, de manera que evitó la contaminación y que esto llegase a los ciudadanos.

Explica Gualtieri que un operador detectó una intrusión a las 8:00 del viernes, sin observar nada extraño. Como matizan en el New York Times, este primer intento no pareció sospechoso porque el software permite el acceso a supervisores. Pero en un segundo intento (unas cinco horas y media después) el/los intruso/s tomaron control del ratón logrando alterar la cantidad de sosa cáustica, lo cual fue detectado por un operador. Es decir, lograron entrar al menos dos veces.

La puerta de acceso en concreto parece haber sido TeamViewer, un software muy conocido para poder dar acceso remoto a equipos, según ha concretado el sheriff: "el hacker parece haber vulnerado el software TeamViewer para ganar acceso remoto". El programa se desinstaló tras el incidente, estando pendiente ver qué medidas de seguridad se van a establecer desde ahora sobre las que ya había para prevenir futuras intrusiones.

En NY Times citan a la experta en seguridad Lesley Carhart, de la firma Dragos, quien opina que los sistemas de tratamiento de aguas suelen formar parte de los "digitalmente más vulnerables" en los Estados Unidos, más aún desde la pandemia del COVID-19 al haber habido recortes de personal y presupuesto. Desde luego, las noticias de hackeos son bastante habituales desde hace unos años, afectando a laboratorios, ministerios, hospitales o incluso la NASA.

Se desconoce el autor o autores y el origen, siendo un asunto que sigue en investigación por el FBI y los servicios secretos junto con las autoridades locales. Pero según el sheriff le bastó con unos 3-5 minutos para acceder a esta configuración y alterarla. Por suerte, la intervención del operador fue rápida y los valores no se llegaron alterar, si bien Gualtieri aclara que aunque esto no hubiese sucedido había aún margen de actuación para evitar que el agua llegase a los ciudadanos (entre 24 y 36 horas).

Gualtieri considera que los puntos críticos de la infraestructura no deberían estar conectados, concluyendo que "si estás conectado, eres vulnerable". Algo que debería ser una lección de parvulario de Internet, aunque haya mucha gente que no lo asuma en su uso de redes sociales, navegación web o almacenamiento en la nube.

Imagen | Freepik