A finales de julio, el FBI recibió reportes de ciberataques contra instalaciones de agua provenientes de empresas de servicios públicos en al menos siete estados. La escena lo dice todo.
Uno de esos ataques ocurrió en Braham, Minnesota, una ciudad de alrededor de 1.800 habitantes. El incidente afectó el funcionamiento de una bomba en la planta de tratamiento de agua y amenazó el suministro. Los equipos de obras públicas lograron aislar el sistema, restaurar una copia de seguridad y devolver la planta a operación normal en aproximadamente 90 minutos, según Nate George, el alcalde de Braham.
La respuesta improvisada funcionó esta vez. Pero el episodio revela una vulnerabilidad estructural que ningún municipio de 1.800 personas debería tener que resolver solo, a las dos de la mañana, sin protocolos ni respaldo federal.
Adversarios conocidos, defensas recortadas
En abril, la Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) emitió una advertencia señalando que grupos respaldados por Irán están apuntando a la infraestructura crítica del país, incluidos los sistemas de agua. Funcionarios estadounidenses también han indicado que China y Rusia atacan activamente infraestructura crítica en territorio norteamericano.
El presidente Donald Trump declaró que no cree que Irán esté detrás de los ataques más recientes. Funcionarios no identificados, según reportes, consideran que grupos vinculados a Irán son los probables responsables, aunque advierten que los hallazgos son preliminares y que existe la posibilidad de que los atacantes estén suplantando a Irán para avivar tensiones.
El momento es particularmente delicado porque la administración Trump ha recortado aproximadamente un tercio de la plantilla de la agencia federal de ciberseguridad. El aparato estatal encargado de proteger infraestructura crítica opera con menos recursos precisamente cuando los sistemas municipales más pequeños —los más vulnerables— más lo necesitan.
El modelo europeo y sus lecciones
Para entender el presente hay que volver a las decisiones que Europa tomó hace décadas. Finlandia opera una agencia nacional de suministro que mantiene reservas de combustible, granos y medicamentos, y realiza simulacros de escasez junto con las empresas privadas que tendrían que gestionarlos en una crisis real. Estonia cuenta con una unidad cibernética de voluntarios dentro de su Liga de Defensa, una milicia bajo el mando del ministerio de defensa. Los voluntarios son civiles con empleos ordinarios que se entrenan con el Estado y responden cuando los atacantes actúan.
Ambos países forman parte de lo que Europa llama «defensa total»: un enfoque de toda la sociedad para endurecer sistemas críticos frente a amenazas híbridas. Es un modelo de libre empresa y responsabilidad compartida, no de burocracia centralizada.
Tres pasos concretos
Los detalles cuentan la historia. Alexander Noyes, autor del análisis publicado por Time, propone tres medidas específicas que Washington podría adoptar de inmediato.
Primero, renovar el Programa de Subvenciones de Ciberseguridad Estatal y Local, un programa de pequeñas subvenciones para estados que ya caducó una vez y ahora opera con extensiones anuales. Hacerlo permanente y reservar una porción significativa para sistemas de agua.
Segundo, establecer un estándar mínimo de respuesta para los municipios con sistemas de agua, medido en horas. Las empresas eléctricas operan bajo estándares federales vinculantes respaldados por sanciones financieras reales. Los sistemas de agua no tienen equivalente, y la Agencia de Protección Ambiental no tiene actualmente autoridad para imponer uno. La propuesta es concreta: todo sistema por encima de un tamaño modesto debe poder operar manualmente durante 72 horas y debe demostrarlo en un simulacro anual. Braham lo hizo en 90 minutos. Ese debería ser el punto de referencia.
Tercero, construir capacidad humana. Existen aproximadamente 50.000 sistemas de agua pequeños en el país, y la mayoría no tiene personal de tecnología de la información dedicado. Los gobernadores podrían actuar con las autoridades que ya poseen: equipos cibernéticos de la Guardia Nacional en órdenes de servicio activo estatal, vinculados a un pacto de ayuda mutua entre sistemas de agua similar al que usan las empresas eléctricas para restaurar líneas tras huracanes.
Lo que está en juego
Hemisferio considera que el debate de fondo no es técnico sino de prioridades. Un Estado que mantiene once portaaviones puede costear la capacitación de 50.000 operadores de agua para manejar una válvula de forma manual. El problema no es la falta de recursos; es la ausencia de estándares obligatorios, de continuidad presupuestaria y de una arquitectura de respuesta que no dependa de la improvisación heroica de un municipio rural.
Recortar la agencia federal de ciberseguridad en un tercio mientras adversarios estatales sondean infraestructura crítica no es austeridad inteligente: es desproteger al contribuyente que paga el agua, la luz y la salud. La resiliencia no es un lujo; es, como señala el propio análisis, una forma de disuasión. Obligar al adversario a calcular si su operación tendrá éxito es exactamente lo que un gobierno limitado pero eficaz debería garantizar.
