Un hacker logró irrumpir en el sistema automatizado de un acueducto de Florida y alteró la cantidad de químicos que se agregan al agua, tuvo éxito en su incursión gracias a que se encontró con notables fallas de seguridad. Una de esas debilidades fue que todas las computadoras del sistema tenían una misma clave de acceso según indica un informe de las autoridades federales que investigan el caso.
El pasado 5 de febrero un pirata informático entró al Sistema de Control de Supervisión y Adquisición de Datos (Scada) de un acueducto que surte a unas 15.000 personas en la ciudad de Oldsmar, condado de Pinellas en la costa oeste de Florida, y aumentó de forma drástica los niveles de hidróxido de sodio, conocido como soda cáustica o lejía, agregado para el tratamiento del agua.
En un aviso oficial publicado en el sitio web del Gobierno de Massachusetts, como parte de una alerta a sus empresas públicas para evitar estos ataques, la autoridad explica que el sistema Scada fue vulnerado con el uso de un tipo de aplicación.
“Todas las computadoras compartían la misma contraseña para el acceso remoto y parecían estar conectadas directamente a Internet sin ningún tipo de protección de firewall instalada”, refiere la información.
El Gobierno de Massachusetts, señala en su página web que la información que ofrece se fundamenta en un “informe conjunto” del FBI, el Departamento de Seguridad Nacional (DHS), el Servicio Secreto y las autoridades del condado de Pinellas, en Florida, que actualmente investigan el suceso.
El aviso refiere que a raíz de incidente, la Agencia de Protección Medioambiental de Estados Unidos (EPA) activó un conjunto de recomendaciones para los acueductos del país, entre las que se encuentra la restricción de todas las conexiones remotas a los sistemas Scada, específicamente aquellas que permiten el control físico y la manipulación de dispositivos dentro de la red.
Te puede interesar:¡Insólito! Un hacker envenenó un acueducto en la costa oeste de Florida
La EPA también solicita que se instale un dispositivo de software/hardware de firewall con registro y asegurarse de que esté encendido. “El firewall debe estar aislado y no se debe permitir que se comunique con fuentes no autorizadas”, puntualiza.
La Agencia requiere también mantener actualizadas las computadoras, dispositivos y aplicaciones, incluido el software Scada/sistemas de control industrial (ICS) y recuerda que es urgente utilizar la autenticación de dos factores con contraseñas seguras.
De acuerdo con el reporte citado por el Gobierno de Massachusetts, los piratas informáticos lograron entrar a los controles Scada de la planta en Florida a través del software de acceso remoto TeamViewer.
El personal que opera la planta de potabilización del acueducto en Florida, se percató inmediatamente del cambio en las cantidades de dosificación del hidróxido de sodio y corrigió la anomalía. Los operadores del acueducto de Oldsmar lograron detener el envenenamiento del agua.
El alguacil del condado de Pinellas, Bob Gualtieri, declaró en su momento que el hacker habría permanecido unos cinco minutos en el sistema y ajustó la cantidad de hidróxido de sodio en el agua de 100 partes por millón a 11.100 partes por millón.
