Ciberataque de Z-Pentest respaldado por el GRU a las Obras Hidráulicas de Tureby Alkestrup: rotura de tuberías y cortes de agua en Køge, Dinamarca

A finales de 2024, el grupo de hackers prorruso Z-Pentest accedió a la interfaz hombre-máquina (HMI) de las Obras Hidráulicas de Tureby Alkestrup en Køge, Dinamarca, a través de un servicio VNC expuesto a internet protegido por una contraseña débil o predeterminada. Utilizando herramientas de escaneo de código abierto para identificar el dispositivo expuesto y fuerza bruta de contraseñas para autenticarse, los atacantes manipularon los controles de presión del agua a través de la HMI, provocando la rotura de tres tuberías principales de agua. Aproximadamente 50 hogares en Køge perdieron el suministro de agua durante siete horas; otros 450 hogares aproximadamente perdieron el suministro durante una hora. Jan Hansen, responsable de las obras hidráulicas, confirmó el ataque y reconoció que la empresa había cambiado a una configuración de ciberseguridad más barata y menos segura en el período previo a la intrusión. El Servicio de Inteligencia de Defensa de Dinamarca (DDIS) atribuyó públicamente el ataque a Z-Pentest el 19 de diciembre de 2025, la primera vez que las autoridades danesas atribuyeron formalmente un ciberataque con consecuencias de daños físicos en infraestructuras a un actor vinculado a Rusia. El aviso AA25-343A de la CISA (9 de diciembre de 2025), emitido conjuntamente con el FBI, la NSA y organismos internacionales asociados, documenta la metodología operativa de Z-Pentest: escaneo de servicios VNC expuestos a internet en los puertos predeterminados 5900 a 5910, fuerza bruta de contraseñas débiles o predeterminadas, y emisión de comandos directamente a través de la HMI sin desplegar ningún malware. El aviso identifica los sistemas de agua y aguas residuales como un sector objetivo prioritario. El Departamento de Justicia de Estados Unidos confirmó el 10 de diciembre de 2025 que CyberArmyofRussia_Reborn (CARR), la organización de la que se separaron los miembros fundadores de Z-Pentest en septiembre de 2024, fue «fundada, financiada y dirigida» por la inteligencia militar rusa (GRU).

Tres tuberías principales de agua reventaron en Køge, Dinamarca. Aproximadamente 50 hogares perdieron el suministro de agua durante siete horas; otros 450 hogares aproximadamente experimentaron cortes de aproximadamente una hora. No se reportaron lesiones ni se identificó ningún problema de calidad del agua. El coste económico para la empresa no ha sido divulgado públicamente.