Más de 150.000 sistemas públicos de agua de Estados Unidos dependen ahora de una red federal de respaldo en ciberseguridad que ha perdido cerca de un tercio de su personal desde enero de 2025, según la oficina de Warner, mientras una presunta campaña de ciberataques vinculada con Irán, iniciada en Minnesota a fines de julio, ya ha afectado a empresas de agua en al menos una docena de estados. El miércoles, frente a los tanques de agua potable que abastecen a Park Ridge, Nueva Jersey, el representante Josh Gottheimer presentó un «Plan de Seguridad de Infraestructura Crítica» bipartidista y advirtió que los hackers ya habían vulnerado dos sistemas de agua del condado de Cape May y obligado a los operadores a accionar las bombas y abrir y cerrar válvulas manualmente, según su oficina. «No se trata de un muchacho en un sótano haciendo travesuras», dijo Gottheimer al describir lo que calificó como un probable esfuerzo respaldado por un Estado para comprobar si los adversarios podían cortar el agua y la electricidad a familias, hospitales y agricultores estadounidenses.

El detonante inmediato: una oleada de ciberataques durante dos semanas

El hecho concreto y reciente que motivó el anuncio del miércoles fue una serie de ataques. Según Law Review, los hackers atacaron unas 30 empresas de agua potable y aguas residuales de Minnesota en un solo periodo de 48 horas, entre el 26 y el 27 de julio, y luego se extendieron en cuestión de días a Michigan, Nueva Jersey, Georgia, Dakota del Sur y al menos otros seis estados. El FBI confirmó ciberataques en al menos siete estados para el 30 de julio y, junto con CISA y la EPA, emitió una alerta conjunta en la que pidió a todo el sector del agua que protegiera sus sistemas de inmediato. Para el 4 de agosto, ABC News informó que al menos 12 estados se habían visto afectados. Algunos incidentes provocaron pérdidas de presión y, en un caso, una inundación: el primer caso documentado de una inundación causada por un ciberataque en la historia de la infraestructura hídrica de Estados Unidos, según el medio.

En Braham, Minnesota, los operadores cerraron durante varias horas el pozo y la planta de tratamiento de la localidad. En el condado de Cape May, Nueva Jersey, los hackers accedieron a bombas y equipos de tratamiento conectados directamente a internet, iniciaron sesión y bloquearon el acceso de los operadores legítimos, según el relato de Gottheimer. El personal tuvo que abrir y cerrar físicamente las válvulas y operar las bombas de forma manual hasta que las autoridades estatales y federales recuperaron el control. El servicio nunca se interrumpió, pero Gottheimer fue tajante: «No nos engañemos llamando a eso suerte». Los reportes han señalado a actores vinculados con Irán, aunque Axios indicó que el presidente Trump dijo que no «creía que hubiera habido un ciberataque iraní». No es una táctica novedosa: el testimonio de la GAO documenta que un grupo vinculado con Irán hackeó del mismo modo un sistema de agua de Pensilvania en noviembre de 2023, y que la EPA y CISA habían advertido tres meses antes de esta campaña que grupos vinculados con Irán estaban atacando precisamente las tecnologías de control industrial habituales en las plantas de agua potable.

La causa estructural de fondo: un sector fragmentado al que Washington no puede obligar legalmente a protegerse

El problema de fondo no es que los hackers hayan descubierto una nueva vulnerabilidad. Es que el gobierno federal lleva años documentando exactamente esta vulnerabilidad sin obtener la autoridad ni los recursos necesarios para corregirla. Un informe de la GAO concluyó que la EPA nunca había realizado una evaluación integral de los riesgos de ciberseguridad en todo el sector de los sistemas de agua y carecía de una estrategia nacional basada en riesgos, una conclusión que ha mantenido la ciberseguridad del sector hídrico en la Lista de Alto Riesgo de la GAO desde 2003. El informe también detalla cómo, en marzo de 2023, la EPA intentó exigir evaluaciones de ciberseguridad durante las «inspecciones sanitarias» rutinarias, pero retiró la norma siete meses después, luego de que Misuri, Arkansas e Iowa demandaran a la agencia con el argumento de que no tenía ninguna facultad legal para regular la ciberseguridad. El Tribunal de Apelaciones del Octavo Circuito suspendió la norma en julio de 2023 y, para octubre, la agencia la retiró por completo, según Reuters y CyberScoop.

Tres años después, ese vacío legal persiste. El testimonio de la GAO de mayo de 2026 confirma que la evaluación realizada por la propia EPA sobre sus facultades encontró «limitaciones significativas» y que sigue sin haber requisitos para evaluar los riesgos de ciberseguridad en los sistemas de aguas residuales y en muchos sistemas de agua potable. Más de dos años después de que el órgano fiscalizador del Congreso señalara el problema, la agencia responsable de la seguridad del agua todavía no puede obligar a protegerse a los cerca de 170.000 sistemas de agua potable y aguas residuales del país, según el testimonio de la GAO. Las cifras de Gottheimer refuerzan la magnitud del problema: el 97 por ciento de los cerca de 150.000 sistemas públicos de agua del país presta servicio a comunidades pequeñas y medianas sin personal dedicado a la ciberseguridad, y más de uno de cada diez presenta una vulnerabilidad crítica; más del 80 por ciento de esas vulnerabilidades está vinculado con fallas de software descubiertas antes de 2017.

La falta de inversión agrava el vacío de autoridad. La propia encuesta de necesidades de la EPA calculó en $625 mil millones el déficit básico de inversión de capital del sector a 20 años, sin contar siquiera la ciberseguridad. Un análisis de la FDD determinó que el gasto en ciberseguridad representa menos del 1 por ciento de los fondos rotatorios estatales adjudicados a empresas de servicios públicos. Esto significa que los déficits crónicos de financiamiento para tuberías y tratamiento han desplazado casi por completo la defensa digital. A esto se suma la red federal de respaldo destinada a ayudar a estas empresas con recursos insuficientes: el personal de CISA se redujo de unos 3.400 empleados a comienzos de 2025 a cerca de 2.400, una disminución de casi un tercio, según una investigación de CSA, la oficina de Warner y CBS News. Los asesores regionales de ciberseguridad de CISA pasaron de unos 164 en todo el país a cerca de 97. El presupuesto para el año fiscal 2027 propone recortar otros $707 millones y cerca de 860 puestos, según CSA, mientras que la solicitud del DHS para el año fiscal 2027 destinada a evaluaciones de infraestructura equivale a cerca del 58 por ciento del nivel del año fiscal 2026, según el testimonio de la GAO. El DHS también dejó sin financiamiento en 2025 al Multi-State Information Sharing and Analysis Center, lo que puso fin al monitoreo gratuito de amenazas para unas 18.000 organizaciones estatales y locales. El Center for Internet Security cobra ahora hasta $1 millón al mes por prestar un servicio equivalente.

La magnitud de lo que está en juego

La exposición al riesgo no es abstracta. El testimonio de la GAO de mayo de 2026 enumera entre las posibles consecuencias de un ataque exitoso contra la infraestructura hídrica la interrupción del servicio, la contaminación del agua potable, la contaminación ambiental y los efectos en cadena sobre hospitales y la producción de energía, que dependen del funcionamiento de los sistemas de agua. Por separado, la AWWA ha calculado que restaurar y ampliar los sistemas de agua del país costará al menos $1 billón durante los próximos 25 años, fondos por los que ahora también deberán competir las modernizaciones de ciberseguridad, según Rockwell Automation. Nueva York calcula que lograr que los sistemas medianos cumplan con requisitos básicos de ciberseguridad puede costar hasta $150.000 al año, cifra que aumenta a $5 millones para las empresas de servicios públicos más grandes, según la FDD. Se trata de una factura que miles de empresas de servicios públicos de pequeñas localidades con problemas de liquidez no tienen contemplada en sus presupuestos.

Atribución y responsabilidad: una falla estructural bipartidista

Este es uno de los pocos casos en que la evidencia respalda un diagnóstico genuinamente no partidista, y ambas partes implicadas lo reconocen expresamente. El vacío regulatorio se originó en la EPA durante una administración demócrata, cuando la agencia intentó, sin éxito, atribuirse facultades sobre ciberseguridad que la Ley de Agua Potable Segura no le confería claramente, y los tribunales bloquearon ese intento. El posterior debilitamiento del personal y del presupuesto de CISA se ha producido con los recortes orientados a la eficiencia de la actual administración republicana. La causa de fondo es estructural y bipartidista: una ley de varias décadas de antigüedad que nunca contempló infraestructuras conectadas en red, un modelo de propiedad fragmentado que abarca decenas de miles de empresas locales independientes sin capacidad uniforme para defenderse y años en los que ambos partidos trataron el financiamiento de la ciberseguridad como un gasto discrecional y no como una inversión esencial en infraestructura.

La tormenta perfecta

Lo que está ocurriendo es la convergencia de cuatro fallas independientes, ninguna de las cuales habría producido por sí sola este momento. Primero, una arquitectura jurídica que, según los tribunales, no otorga a la EPA facultades claras para exigir prácticas de ciberseguridad, lo que deja el cumplimiento como algo voluntario en un sector donde esas medidas cuestan dinero que las empresas no tienen. Segundo, un sector fragmentado con cerca de 170.000 sistemas operados de manera independiente, el 97 por ciento de ellos demasiado pequeños para contar con personal dedicado a la seguridad, que conectan directamente a internet equipos industriales de hace décadas por conveniencia. Tercero, una estructura federal de apoyo en CISA que ha perdido cerca de un tercio de su personal y afronta nuevos recortes precisamente cuando las amenazas se aceleran, lo que elimina el monitoreo gratuito del que dependían las empresas más pequeñas. Cuarto, un detonante geopolítico: un presunto actor vinculado con Irán que pone a prueba estas fisuras durante un periodo de hostilidades activas entre Estados Unidos e Irán, y aprovecha vacíos que ambos partidos tuvieron años de advertencias para corregir. En conjunto, estas fallas explican por qué una oleada de ciberataques de 48 horas en Minnesota desembocó en una emergencia que abarcó una docena de estados y en una conferencia de prensa de un congresista en el plazo de tres semanas.