Campaña de Ataques Asistidos por IA de Irán contra PLC de Siemens y otros Dispositivos OT en Infraestructura Crítica (2026)
Nombres Alternativos / Aliases
- Iranian-affiliated PLC Campaign (Campaña de PLC de actores afiliados a Irán)
- Handala/ CyberAv3ngers OT Attacks (Ataques de OT de Handala/CyberAv3ngers)
- AA26-097A Joint Cybersecurity Advisory (Aviso conjunto AA26-097A)
- US Critical Infrastructure AI-Assisted Attacks (Ataques asistidos por IA contra infraestructura crítica de EE. UU.)
Fecha de Detección / Actividad
- Primera publicación del aviso AA26-097A: 7 de abril de 2026
- Actualización del aviso (expansión a Siemens y Schneider) : 22 de julio de 2026
- Alertas de CISA sobre aumento en ataques: 30 de julio de 2026
- Ataques coordinados a sistemas de agua en Minnesota: 26-27 de julio de 2026 (más de 30 sistemas afectados)
- Aviso de "amenaza activa" contra Siemens S7: 19 de agosto de 2026
- Dispositivos objetivo incluyen: Rockwell Automation (Allen-Bradley CompactLogix, Micro850), Schneider Electric (Modicon M340), Siemens S7-1200
- Sectores de mayor riesgo: Manufactura, Energía, Agua y Aguas Residuales, Químico, Alimentación y Agricultura, Instalaciones Comerciales, Gobierno/Servicios Públicos
- Estado: Activa (la campaña continúa y se está expandiendo a más fabricantes)
Actor de Amenaza (Atribución)
| Característica | Detalle |
|---|---|
| Actor Sospechoso | Actores afiliados a Irán, incluyendo CyberAv3ngers y Handala |
| Vínculo Gubernamental | Alto (vinculados al Cuerpo de la Guardia Revolucionaria Islámica - IRGC) |
| Tipo de Actor | Ciberespionaje / Actores de amenaza persistentes avanzados (APT) |
| Sofisticación | ALTA. El actor demuestra: |
- Uso de IA para generar scripts de explotación y disfrazarlos como herramientas de monitoreo legítimas
- Uso de herramientas de ingeniería legítimas (Rockwell Studio 5000, Schneider EcoStruxure, Siemens TIA Portal)
- Escaneo de servicios de descubrimiento de Internet como Censys y ZoomEye para encontrar dispositivos expuestos
- Capacidad de exfiltración y modificación de lógica de PLC, incluyendo desactivación de alarmas críticas de seguridad
- Uso de infraestructura de hosting de terceros arrendada para enmascarar el origen del ataque
- Movimiento lateral y modificación de lógica de PLC | | Motivación | Ciberespionaje / Sabotaje / Interrupción de Operaciones | | Objetivos | Gobiernos municipales, servicios públicos de agua, energía, instalaciones de fabricación en EE. UU. | | Detalles Clave de la Atribución | Aunque el aviso de agosto se refiere a "actores no especificados", la advertencia del 22 de julio atribuye explícitamente la actividad a actores afiliados a Irán . El presidente Trump declaró que no creía que Irán estuviera detrás de los ataques de Minnesota, pero los funcionarios federales no han vinculado formalmente los incidentes . |
Resumen Ejecutivo
El 19 de agosto de 2026, cinco agencias importantes del gobierno federal de EE. UU. (NSA, FBI, CISA, DOE y EPA) publicaron un aviso de ciberseguridad advirtiendo que actores maliciosos no especificados están llevando a cabo ataques asistidos por IA contra controladores lógicos programables (PLC) de la serie S7 de Siemens en instalaciones de infraestructura crítica en todo el país . Este aviso sigue a una advertencia del 22 de julio que amplió una alerta de abril de 2026 para incluir a Siemens y Schneider Electric en la lista de dispositivos OT específicos de los actores afiliados a Irán .
El uso de la IA en los ataques
Según el aviso, los atacantes están utilizando IA para reducir drásticamente el tiempo y la experiencia técnica necesarios para desarrollar exploits que pueden comprometer con éxito los sistemas . Se cree que la IA se utiliza para:
- Generar scripts de explotación que se hacen pasar por herramientas de monitoreo legítimas
- Escanear servicios como Censys y ZoomEye para encontrar dispositivos expuestos
- Automatizar los ataques a gran escala contra infraestructura crítica
Cronología de los ataques
| Fecha | Evento |
|---|---|
| Abril de 2026 | Aviso inicial sobre ataques de actores afiliados a Irán dirigidos a PLC de Rockwell Automation |
| 22 de julio de 2026 | Aviso actualizado: los atacantes ahora también atacan PLC de Siemens y Schneider Electric |
| 26-27 de julio de 2026 | Ataque coordinado a más de 30 sistemas de agua y aguas residuales comunitarios en Minnesota |
| 30 de julio de 2026 | CISA advierte de un "aumento significativo" en los ataques a PLC en el sector del agua |
| 19 de agosto de 2026 | Aviso de "amenaza activa" a la serie S7 de Siemens, citando el uso de IA |
Técnicas de ataque comunes
Según el aviso actualizado de CISA, los actores han estado utilizando :
| Técnica | Descripción |
|---|---|
| Exfiltración de archivos de proyecto | Los actores extraen y exfiltran archivos de proyecto de PLC utilizando software de configuración de proveedores (por ejemplo, TIA Portal de Siemens, Studio 5000 de Rockwell y EcoStruxure de Schneider) desde infraestructura alquilada de terceros |
| Modificación de lógica | Modifican y eliminan la lógica en archivos de proyecto, incluidas instrucciones complementarias |
| Desactivación de lógica de seguridad | Desactivan la lógica de apagado y alarma crítica, lo que permite que los sistemas entren en condiciones inseguras sin notificar a los operadores |
| Manipulación de visualizaciones | Manipulan datos en pantallas HMI y SCADA para ocultar condiciones inseguras |
| Uso de software legítimo | Utilizan software de configuración legítimo, lo que dificulta la distinción entre el tráfico legítimo y el malicioso |
| Puertos de destino | Se dirigen a puertos OT comunes: 44818, 2222, 102, 502 y 22 (para módems celulares) |
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK) | Técnica / Subtécnica | Descripción / Implementación |
|---|---|---|
| Initial Access (TA0001) | Internet Accessible Device (T0883) | Explotación de PLC expuestos a Internet mediante escaneo con herramientas como Censys y ZoomEye |
| Command and Control (TA0011) | Commonly Used Port (T0885) | Uso de puertos OT estándar (44818, 2222, 102, 502) y SSH (22) para mantener acceso |
| Persistence (TA0003) | Remote Access Tools (T1219) | Implementación de Dropbear SSH en módems de víctimas para mantener el acceso remoto |
| Collection (TA0009) | Exfiltration Over C2 Channel (T1041) | Exfiltración de archivos de proyecto de PLC a servidores controlados por el actor |
| Impact (TA0040) | Data Manipulation (T1565) | Modificación y eliminación de lógica de PLC y datos de visualización HMI/SCADA |
| Impact (TA0040) | Manipulation of ICS Safety Controls (T0829) | Desactivación de lógica crítica de apagado y alarma |
Infraestructura Utilizada
Plataformas de software de configuración de proveedores
| Software | Proveedor | Propósito |
|---|---|---|
| TIA Portal | Siemens | Configuración de PLC de la serie S7 |
| Studio 5000 Logix Designer | Rockwell Automation | Configuración de PLC CompactLogix y Micro850 |
| EcoStruxure Control Expert | Schneider Electric | Configuración de PLC Modicon M340 |
Puertos de destino
| Puerto | Protocolo/Servicio | Propósito |
|---|---|---|
| 102 | S7comm | Comunicación con PLC Siemens |
| 502 | Modbus TCP | Comunicación Modbus |
| 2222 | EtherNet/IP | Protocolo de Rockwell Automation |
| 44818 | EtherNet/IP (CIP) | Protocolo Industrial Común |
| 22 | SSH | Acceso a módems celulares |
Impacto y Riesgo
| Categoría | Nivel | Descripción |
|---|---|---|
| Alcance | MUY ALTO | Múltiples sectores de infraestructura crítica en EE. UU. (Agua, Energía, Manufactura, Químicos) |
| Dispositivos objetivo | EXTENDIDO | PLC de Rockwell Automation, Siemens, Schneider Electric y posiblemente otros fabricantes |
| Uso de IA | ALTO | Uso de IA para automatizar y escalar ataques |
| Impacto en Seguridad | CRÍTICO | Desactivación de lógica de seguridad y alarmas críticas |
| Impacto Operativo | MUY ALTO | Interrupciones operativas, tiempos de inactividad, daños a equipos |
| Riesgo de Cascada | MUY ALTO | Impactos en cascada en sistemas interconectados |
Consecuencias de la Explotación
| Consecuencia | Gravedad | Detalle |
|---|---|---|
| Interrupción de procesos críticos | Crítica | La explotación podría provocar interrupciones en el suministro de agua, energía y otros servicios esenciales |
| Daños a equipos | Crítica | La manipulación de la lógica del PLC puede provocar daños físicos en tuberías, bombas y otros equipos |
| Riesgos para la seguridad | Crítica | La desactivación de la lógica de seguridad puede poner en peligro la vida de los trabajadores |
| Impacto Económico | Alto | Tiempo de inactividad, costos de recuperación y multas regulatorias |
| Cumplimiento Normativo | Alto | Posibles violaciones de las normas de seguridad y cumplimiento |
Recomendaciones de Mitigación
Para operadores de infraestructura crítica
| Acción | Prioridad | Descripción |
|---|---|---|
| Eliminar la exposición directa a Internet | CRÍTICA | Desconectar los PLC de Internet y enrutar el acceso remoto a través de puertas de enlace seguras, VPN o cortafuegos |
| Validar archivos de proyecto | CRÍTICA | Revisar los archivos de proyecto en ejecución para detectar cambios no autorizados; comparar la lógica en ejecución con una lógica de buena calidad conocida |
| Cambiar contraseñas predeterminadas | CRÍTICA | Asegurarse de que las contraseñas de los dispositivos se hayan cambiado desde el valor predeterminado y utilizar combinaciones complejas y únicas |
| Activar la protección de programación | ALTA | Para dispositivos Siemens, habilitar la protección de programación en el software de configuración (TIA Portal) para limitar quién puede modificar los PLC de forma remota |
| Usar MFA | ALTA | Implementar autenticación multifactor para el acceso a la red OT desde una red externa |
| Bloquear el tráfico de puertos innecesarios | ALTA | Configurar cortafuegos externos e internos para bloquear el tráfico en puertos OT comunes no necesarios para ese segmento de red |
| Monitorear el tráfico de red | ALTA | Monitorear el tráfico en busca de inicios de sesión inusuales en dispositivos conectados a Internet y protocolos inesperados |
| Usar controles físicos | ALTA | Para controladores con un interruptor de modo físico, colocarlos en la posición de ejecución para evitar modificaciones remotas |
| Informar a los proveedores de servicios | ALTA | Asegurarse de que los proveedores de servicios sean conscientes de las amenazas activas contra los dispositivos PLC conectados a Internet |
Herramientas de detección
| Herramienta/Capacidad | Propósito |
|---|---|
| Monitoreo de tráfico OT | Detectar conexiones entrantes anómalas a PLC desde fuentes externas |
| Integridad de archivos de proyecto | Detectar cambios en la lógica del PLC y las instrucciones complementarias |
| Honeypots | Desplegar señuelos de PLC en las redes OT para detectar escaneos y actividad de reconocimiento |
Contexto Más Amplio: Ataques a Infraestructura Crítica de EE. UU. (2026)
| Incidente | Fecha | Detalle |
|---|---|---|
| Ataques a sistemas de agua de Minnesota | 26-27 de julio de 2026 | Ataque coordinado a más de 30 sistemas de agua comunitarios; las autoridades bloquearon a los operadores y emitieron avisos de hervir el agua |
| Ataque a California Water Service | Junio de 2026 | Handala afirmó haber interrumpido el suministro de agua, aunque la empresa de servicios públicos dijo que no había evidencia de actividad |
| Ataque a Stryker | Principios de 2026 | Handala llevó a cabo un ataque altamente disruptivo contra el gigante de la tecnología médica |
| Ataques a sistemas de al menos 7 estados | Finales de julio de 2026 | El FBI confirmó que al menos siete estados sufrieron ataques similares a sistemas de agua |
Opiniones de Expertos
"Esperar que una pequeña empresa de servicios públicos municipal o un distrito local de agua se defienda por sí solo contra ataques automatizados impulsados por IA simplemente no es una lucha justa. No tienen el presupuesto, el personal ni las capacidades operativas para mantenerse al día con ese nivel de automatización." — Gary Barlet, Director de Tecnología del Sector Público en Illumio
"El propio aviso indica que estos atacantes están usando IA para generar scripts de explotación y disfrazarlos como herramientas de monitoreo legítimas, escaneando servicios como Censys y ZoomEye para encontrar dispositivos expuestos. Es una operación de bajo costo y escalable para el atacante." — John Watters, Director Ejecutivo de iCounter
"Esta historia destaca uno de los mayores problemas que veo en la ciberseguridad hoy en día. Nuestra capacidad de atención es demasiado corta. Pasamos una cantidad tremenda de tiempo centrados en el ransomware y en cualquier crisis inmediata, mientras que los adversarios estatales construyen silenciosamente un acceso a largo plazo a la infraestructura crítica." — John Strand, Propietario de Black Hills Information Security
"No se limitaron a interrumpir las operaciones, sino que se centraron específicamente en la lógica de seguridad, desactivando las funciones de apagado y alarma que se supone que deben informar a un operador de que algo ha ido mal. Esa es una elección deliberada para eliminar la red de seguridad antes de tocar el proceso en sí, y muestra un nivel de conocimiento de ingeniería ICS que va más allá de la piratería oportunista." — Gunter Ollmann, Director de Tecnología en Cobalt
"Lo que realmente se necesita es financiación directa, herramientas de detección compartidas y coordinación regional que no exija que cada pequeña empresa de servicios públicos cree su propio programa de seguridad de tecnología operativa desde cero, porque la mayoría no puede ni quiere hacerlo." — John Watters
Referencias y Fuentes
- The Straits Times/Reuters. (2026, 19 de agosto). US warns Siemens devices can be hacked, amid fears Iran is breaching water plants.
- CISA. (2026, 22 de julio). Iranian-Affiliated Cyber Actors Exploit Programmable Logic Controllers Across US Critical Infrastructure (AA26-097A) .
- SecurityWeek. (2026, 22 de julio). US Warns of Iranian Hackers Targeting Siemens, Schneider, and Rockwell ICS Devices.
- SOCRadar. (2026, 23 de julio). Iranian Hackers Broaden PLC Attacks on US Critical Infrastructure.
- CPO Magazine. (2026, 2 de agosto). Feds Warn About Iranian Hackers Expanding the List of Targeted PLCs to Compromise Critical Infrastructure.
- ExtraHop. (2026, 9 de agosto). Anatomy of an Attack: Iranian-Affiliated Actors Target U.S. Critical Infrastructure Through PLCs.
- GMA Network. (2026, 20 de agosto). US warns Siemens devices can be hacked amid fears Iran is breaching water plants.
- iTnews. (2026, 20 de agosto). US warns Siemens PLC devices can be hacked.
- CISA News. (2026, 22 de julio). CISA, FBI, EPA and U.S. Government Partners Update Warning of Iran-Affiliated Threat Actors.
Historial de Revisiones
| Fecha | Versión | Autor | Cambios Realizados |
|---|---|---|---|
| 2026-08-21 | 1.0 | Fernando Vargas Hincapié | Creación inicial basada en análisis de CISA, FBI, NSA, Reuters, SecurityWeek, SOCRadar, ExtraHop, CPO Magazine, iTnews, GMA Network y The Straits Times |
Indicadores de Compromiso (IOCs)
Puertos de destino
| Puerto | Protocolo/Servicio | Propósito |
|---|---|---|
| 102 | S7comm | Comunicación con PLC Siemens |
| 502 | Modbus TCP | Comunicación Modbus |
| 2222 | EtherNet/IP | Protocolo de Rockwell Automation |
| 44818 | EtherNet/IP (CIP) | Protocolo Industrial Común |
| 22 | SSH | Acceso a módems celulares |
Dispositivos objetivo (observados)
| Dispositivo | Fabricante | Serie/Modelo |
|---|---|---|
| CompactLogix | Rockwell Automation | Allen-Bradley |
| Micro850 | Rockwell Automation | Allen-Bradley |
| Modicon M340 | Schneider Electric | BMX P34 |
| S7-1200 | Siemens | Serie S7 |
Software de configuración objetivo
| Software | Fabricante | Propósito |
|---|---|---|
| TIA Portal | Siemens | Configuración de PLC Siemens |
| Studio 5000 Logix Designer | Rockwell Automation | Configuración de PLC Rockwell |
| EcoStruxure Control Expert | Schneider Electric | Configuración de PLC Schneider |
Tácticas clave
| Táctica | Descripción |
|---|---|
| Exfiltración de archivos de proyecto | Los atacantes extraen archivos de proyecto de PLC utilizando software de configuración legítimo |
| Modificación de lógica | Modifican y eliminan la lógica del PLC, incluidas las instrucciones complementarias |
| Desactivación de alarmas | Desactivan la lógica crítica de apagado y alarma |
| Uso de IA | Utilizan IA para generar scripts de explotación y encontrar dispositivos expuestos |
Etiquetas / Categorías
iran-cyberattacks-us-critical-infrastructure-plc-siemens-schneider-rockwell water-wastewater-attacks ai-assisted-cyberattacks cyberavengers-handala-apt irgc-cyber-electronic-command cisa-fbi-nsa-joint-advisory-aa26-097a ot-ics-security