Manipulación hacktivista de ICS expuestos a internet en instalaciones canadienses de agua, petróleo y gas, y grano

En octubre de 2025, el Centro Canadiense para la Ciberseguridad confirmó tres intrusiones separadas en sistemas de control industrial accesibles desde internet en instalaciones de infraestructura crítica de Canadá. En una instalación municipal de agua, los atacantes alteraron valores de presión del agua y degradaron el servicio a la comunidad atendida. En una empresa de petróleo y gas, manipularon un medidor automático de tanque y activaron falsas alarmas. En una operación de secado de grano, modificaron ajustes de temperatura y humedad dentro de un silo, creando condiciones de almacenamiento potencialmente inseguras si no se detectaban a tiempo. Los incidentes se divulgaron en el aviso AL25-016 del CCCS, que advirtió que hacktivistas estaban abusando de PLC, RTU, HMI, sistemas SCADA, sistemas de seguridad, sistemas de gestión de edificios y dispositivos IoT industriales expuestos a internet. El CCCS no nombró a las víctimas, provincias, proveedores de dispositivos ni protocolos específicos. El aviso describió el patrón de acceso como oportunista, no técnicamente sofisticado: los sistemas afectados eran alcanzables desde la internet pública y estaban insuficientemente protegidos. No se nombró a ningún grupo hacktivista específico. El CCCS afirmó que la actividad parecía motivada por la atención mediática y el daño reputacional. SecurityWeek señaló que actores patrocinados por estados a veces usan cobertura hacktivista, pero el CCCS no atribuyó la actividad a un grupo o actor estatal nombrado. El registro confirmado es la manipulación del proceso en sí, no una atribución precisa a un actor nombrado.

La manipulación de presión del agua degradó el servicio en una instalación municipal canadiense. Un medidor automático de tanque en una empresa de petróleo y gas generó falsas alarmas tras la manipulación. La alteración de temperatura y humedad en un silo de secado de grano creó condiciones potencialmente inseguras. No se informó públicamente de liberaciones ambientales, muertes, pérdida de producto ni interrupciones de infraestructura crítica.