Más de 150.000 sistemas públicos de agua en todo Estados Unidos dependen ahora de un mecanismo federal de ciberseguridad que ha perdido aproximadamente un tercio de su personal desde enero de 2025, según la oficina de Warner, incluso mientras una presunta campaña de piratería informática vinculada a Irán, que comenzó en Minnesota a finales de julio, ha afectado a las empresas de agua en al menos una docena de estados. El miércoles, de pie frente a los tanques de agua potable que abastecen a Park Ridge, Nueva Jersey, el representante Josh Gottheimer presentó un "Plan de Seguridad de Infraestructura Crítica" bipartidista, advirtiendo que los piratas informáticos ya habían entrado en dos sistemas de agua del condado de Cape May y obligado a los operadores a hacer funcionar las bombas y girar las válvulas manualmente, según su oficina. "Esto no es un chico cualquiera en un sótano jugando", dijo Gottheimer, describiendo lo que llamó un probable esfuerzo respaldado por el estado para probar si los adversarios podrían cortar el agua y la electricidad a familias, hospitales y agricultores estadounidenses.

El detonante inmediato: una racha de ataques informáticos de dos semanas

El incidente grave que motivó el anuncio del miércoles es concreto y reciente. Según Law Review, piratas informáticos atacaron aproximadamente 30 empresas de agua potable y aguas residuales de Minnesota en un lapso de 48 horas entre el 26 y el 27 de julio, y luego se extendieron a Michigan, Nueva Jersey, Georgia, Dakota del Sur y al menos otros seis estados en cuestión de días. El FBI confirmó ciberataques en al menos siete estados para el 30 de julio y, junto con CISA y la EPA, emitió un aviso conjunto instando a todo el sector del agua a bloquear sus sistemas de inmediato. Para el 4 de agosto, ABC News informó que al menos 12 estados se vieron afectados, y algunos incidentes causaron pérdida de presión y, en un caso, inundaciones, el primer caso documentado de inundaciones causadas por ciberataques en la historia de la infraestructura hídrica de EE. UU., según el medio.

En Braham, Minnesota, los operadores cerraron el pozo y la planta de tratamiento de la ciudad durante varias horas. En el condado de Cape May, Nueva Jersey, piratas informáticos accedieron a las bombas y al equipo de tratamiento conectados directamente a internet, iniciaron sesión y bloquearon a los operadores legítimos, según el relato de Gottheimer. El personal tuvo que girar físicamente las válvulas y hacer funcionar las bombas manualmente hasta que los socios estatales y federales restablecieron el control. El servicio nunca se interrumpió, pero Gottheimer fue tajante: "No nos engañemos y digamos que fue suerte". Los informes han señalado a actores vinculados a Irán, aunque Axios señaló que el presidente Trump dijo que no creía que hubiera habido un ciberataque iraní. No es una táctica novedosa: el testimonio de la GAO documenta que un grupo vinculado a Irán pirateó un sistema de agua de Pensilvania en noviembre de 2023 de la misma manera, y que la EPA y la CISA habían advertido tres meses antes de esta campaña que grupos vinculados a Irán estaban atacando las mismas tecnologías de control industrial comunes en las plantas de agua potable.

La causa estructural fundamental: un sector fragmentado al que Washington no puede obligar legalmente a defenderse

La historia de fondo no es que los hackers hayan encontrado una nueva vulnerabilidad. Es que el gobierno federal ha pasado años documentando esta misma vulnerabilidad sin obtener la autoridad ni los recursos para solucionarla. El informe de la GAO encontró que la EPA nunca había realizado una evaluación integral de riesgos de ciberseguridad para los sistemas de agua y carecía de una estrategia nacional basada en riesgos, un hallazgo que ha mantenido la ciberseguridad del sector del agua en la Lista de Alto Riesgo de la GAO desde 2003. El informe también detalla cómo la EPA intentó exigir evaluaciones de ciberseguridad durante las "inspecciones sanitarias" rutinarias en marzo de 2023, solo para revocar la norma siete meses después luego de que Missouri, Arkansas e Iowa presentaran una demanda, argumentando que la EPA no tenía autoridad legal para regular la ciberseguridad en absoluto. El Octavo Circuito suspendió la norma en julio de 2023, y en octubre la agencia la retiró por completo, según Reuters y CyberScoop.

Tres años después, esa laguna legal sigue abierta. El testimonio de la GAO de mayo de 2026 confirma que la propia evaluación de la autoridad de la EPA encontró "limitaciones significativas" y una continua falta de requisitos de evaluación de riesgos de ciberseguridad para aguas residuales y muchos sistemas de agua potable. Más de dos años después de que el organismo de control del Congreso señalara el problema, la agencia responsable de la seguridad del agua todavía no puede obligar a los aproximadamente 170.000 sistemas de agua potable y aguas residuales del país a protegerse, según el testimonio de la GAO. Las cifras de Gottheimer refuerzan la magnitud: el 97 por ciento de los aproximadamente 150.000 sistemas públicos de agua del país abastecen a comunidades pequeñas y medianas sin personal dedicado a la ciberseguridad, y más de uno de cada diez presenta una vulnerabilidad crítica, más del 80 por ciento vinculada a fallas de software descubiertas antes de 2017.

La falta de inversión agrava la brecha de autoridad. La propia encuesta de necesidades estimó el déficit de capital básico del sector a 20 años en 625 mil millones de dólares, incluso antes de contar la ciberseguridad. Un análisis de FDD encontró que el gasto en ciberseguridad representa menos del 1 por ciento de las asignaciones de fondos rotatorios estatales a las empresas de servicios públicos, lo que significa que las brechas crónicas de financiación de tuberías y tratamiento han desplazado casi por completo la defensa digital. A esto se suma el respaldo federal destinado a ayudar a estas empresas de servicios públicos con fondos insuficientes: la fuerza laboral de CISA ha disminuido de aproximadamente 3400 empleados a principios de 2025 a alrededor de 2400, una reducción de casi un tercio, según la investigación de CSA, la oficina de Warner y CBS News. El número de asesores de ciberseguridad de campo de CISA se redujo de aproximadamente 164 a 97 en todo el país. El presupuesto para el año fiscal 2027 propone un recorte adicional de 707 millones de dólares y aproximadamente 860 puestos, según CSA, mientras que la solicitud de DHS para evaluaciones de infraestructura para el año fiscal 2027 se sitúa en aproximadamente el 58 por ciento del nivel del año fiscal 2026, según el testimonio de GAO. DHS también dejó de financiar el Centro Multiestatal de Intercambio y Análisis de Información en 2025, poniendo fin al monitoreo gratuito de amenazas para aproximadamente 18,000 organizaciones estatales y locales, servicio que el Centro para la Seguridad en Internet ahora cobra hasta 1 millón de dólares al mes por replicar.

Cuantificar lo que está en juego

La exposición no es abstracta. El testimonio de la GAO de mayo de 2026 enumera las posibles consecuencias de un ataque exitoso a la infraestructura hídrica, como la interrupción del servicio, la contaminación del agua potable, la contaminación ambiental y daños en cascada a hospitales y producción de energía que dependen de sistemas de agua en funcionamiento. AWWA ha estimado por separado que restaurar y expandir los sistemas de agua del país costará al menos 1 billón de dólares en los próximos 25 años, una cantidad en la que las modernizaciones de ciberseguridad ahora deben competir, según Rockwell Automation. Nueva York estima que lograr que los sistemas de tamaño mediano cumplan con los mandatos básicos de ciberseguridad puede costar hasta 150 000 dólares anuales, llegando a 5 millones de dólares para las empresas de servicios públicos más grandes, según FDD , un gasto que miles de empresas de servicios públicos de pequeñas ciudades con problemas de liquidez no tienen presupuesto para cubrir.

Atribución y rendición de cuentas: un fracaso estructural bipartidista

Este es un caso excepcional donde la evidencia respalda un diagnóstico genuinamente imparcial, y ambas partes involucradas lo afirman explícitamente. La laguna regulatoria se originó bajo la administración demócrata de la EPA, que intentó, sin éxito, reclamar autoridad en ciberseguridad que claramente no poseía según la Ley de Agua Potable Segura, y fue bloqueada por los tribunales. El posterior debilitamiento de la plantilla y el presupuesto de CISA se ha producido bajo los recortes impulsados ​​por la eficiencia de la actual administración republicana. La causa fundamental es estructural y bipartidista: una ley de décadas de antigüedad que nunca previó la infraestructura en red, un modelo de propiedad fragmentado que abarca decenas de miles de empresas de servicios públicos locales independientes sin capacidad uniforme para defenderse, y años en los que ambos partidos trataron la financiación de la ciberseguridad como discrecional en lugar de como gasto esencial en infraestructura.

La tormenta perfecta

Lo que está ocurriendo es la convergencia de cuatro fallas independientes, ninguna de las cuales por sí sola habría producido esta situación. Primero, una estructura legal que, según dictaminaron los tribunales, no otorga a la EPA autoridad clara para exigir prácticas de ciberseguridad, lo que deja el cumplimiento como voluntario en un sector donde cuesta dinero que las empresas de servicios públicos no tienen. Segundo, un sector fragmentado de aproximadamente 170.000 sistemas operados de forma independiente, el 97% de ellos demasiado pequeños para contar con personal de seguridad especializado, que conectan equipos industriales con décadas de antigüedad directamente a internet por conveniencia. Tercero, una estructura de apoyo federal en CISA que ha perdido aproximadamente un tercio de su personal y enfrenta nuevos recortes precisamente cuando las amenazas se aceleran, eliminando la monitorización gratuita de la que dependían las empresas de servicios públicos más pequeñas. Cuarto, un detonante geopolítico: un presunto actor vinculado a Irán que puso a prueba estas vulnerabilidades durante un período de intensas hostilidades entre Estados Unidos e Irán, llegando para explotar brechas que ambas partes habían advertido durante años que debían subsanar. En conjunto, explican por qué una ola de ciberataques de 48 horas en Minnesota se convirtió en una emergencia que afectó a una docena de estados y en una conferencia de prensa en el Congreso en tan solo tres semanas.