Ataques coordinados a PLCs Rockwell MicroLogix inutilizan más de 30 sistemas de agua comunitarios en Minnesota

El 26 y 27 de julio de 2026, actores desconocidos llevaron a cabo una campaña cibernética coordinada contra más de 30 sistemas de agua comunitarios en Minnesota, obteniendo acceso remoto a controladores lógicos programables Rockwell Automation MicroLogix 1100 y MicroLogix 1400 conectados a Internet a través de módems celulares. Los atacantes cambiaron las direcciones IP y las contraseñas de autenticación de los dispositivos, bloqueando a los operadores fuera de su propio equipamiento, y modificaron la lógica escalera que controla las funciones de alarma, los procedimientos de parada automática y los mecanismos de alivio de presión en varios sitios. Las víctimas identificadas incluyen Braham (condado de Isanti), Plymouth, South St. Paul y Maple Plain, que declaró el estado de emergencia local. Se reportaron pérdidas de presión de agua e inundaciones en las instalaciones afectadas. El FBI y la EPA emitieron una alerta conjunta el 30 de julio confirmando incidentes en al menos 7 estados e identificando específicamente los MicroLogix 1100 y 1400 de Rockwell como las familias de dispositivos objetivo; Rockwell Automation emitió el aviso de seguridad SD1790 el mismo día. No se confirmó atribución oficial hasta el 31 de julio. Tenable evaluó las tácticas como consistentes con el ecosistema de amenazas de CyberAv3ngers (afiliado al IRGC-CEC), que anteriormente había atacado PLCs Unitronics en la autoridad municipal de agua de Aliquippa, Pensilvania, en noviembre de 2023, y realizó campañas más amplias contra Allen-Bradley y Siemens durante 2026.

Perturbaciones operativas en más de 30 sistemas de agua en Minnesota, incluyendo pérdidas de presión de agua, inundaciones y operación manual forzada; Maple Plain declaró el estado de emergencia local; Braham apagó temporalmente partes de su sistema de agua; Plymouth desconectó el equipamiento conectado por celular en torres de agua y estaciones de aguas residuales. El FBI y la EPA confirmaron incidentes en al menos 7 estados con algunas actividades que degradaron las operaciones de agua. Sin impacto confirmado en la salud pública, lesiones ni incidentes de calidad del agua. Pérdidas financieras no reveladas.