El 6 de mayo de 2025, CISA, el FBI, la Agencia de Protección Ambiental y el Departamento de Energía emitieron una alerta conjunta advirtiendo que los operadores estadounidenses de petróleo y gas natural tienen intrusiones activas de hacktivistas dentro de sus sistemas de control industrial. El aviso no identificó zero-days y no nombró a actores de amenaza específicos. La técnica que describió fue credenciales predeterminadas contra SCADA expuesto a internet.
La alerta fue redactada estrechamente: “CISA es cada vez más consciente de actor(es) de ciberataques poco sofisticado(s) dirigido(s) a sistemas ICS/SCADA dentro de sectores de infraestructura crítica de EE.UU. (Petróleo y Gas Natural), específicamente en Sistemas de Energía y Transporte.” Las agencias se negaron a identificar qué desencadenó la divulgación. CISA declaró públicamente que “la pobre higiene cibernética y los activos expuestos pueden escalar estas amenazas, dando lugar a consecuencias significativas como alteraciones, cambios de configuración, interrupciones operacionales y, en casos graves, daño físico.”
Los grupos que el aviso no nombró
En el momento en que se publicó el aviso, los actores de amenaza principales ya estaban bien documentados por la comunidad de inteligencia de amenazas. Tres grupos concentran la mayor parte de las intrusiones documentadas en sistemas de control industrial de petróleo y gas.
Sector 16 surgió públicamente en enero de 2025 cuando publicó un video junto a Z-Pentest demostrando acceso a un sistema SCADA que gestionaba bombas de petróleo y tanques de almacenamiento en una instalación sin nombre en Texas. El video mostraba datos operacionales en vivo: niveles de tanques, presiones de bombas y tuberías, paneles de gestión de alarmas, controles de gestión de apagado, interfaces de válvulas, datos de medición de flujo (incluyendo lecturas de Transferencia Automática de Custodia por Arrendamiento) y operaciones de levantamiento de gas. Ambos grupos incrustaron sus logotipos en la grabación. El mes siguiente, Sector 16 reclamó por separado acceso a sistemas de enfriamiento de gas natural de GEA en Alemania. En enero de 2025, en asociación con el grupo hacktivista OverFlame, se dirigió a plantas hidroeléctricas francesas operadas por DYNELEC. El Programa de Recompensas por Justicia del Departamento de Estado de EE.UU. ha publicado una recompensa de hasta $500,000 por información que conduzca a la identificación de miembros de Sector 16, citando violaciones de la Ley de Fraude y Abuso Informático.
Z-Pentest había precedido a la asociación con Sector 16 con sus propias reclamaciones en campos petrolíferos. En diciembre de 2024 publicó capturas de pantalla que supuestamente mostraban acceso a un sistema de control de pozos de petróleo estadounidense, con consignas de tanques y métricas de recuperación de vapor visibles. Para abril de 2025, Z-Pentest había expandido más allá de la energía para reclamar acceso a la HMI para una válvula de presa en Bremanger, Noruega, abriendo la válvula de flujo mínimo al 100 por ciento de capacidad durante aproximadamente cuatro horas. La atribución de ese incidente fue confirmada posteriormente por el Servicio de Seguridad Policial de Noruega (PST).
CyberAv3ngers, operando como una persona para el Comando Cibernético Electrónico de la Guardia Revolucionaria Islámica de Irán (IRGC-CEC), había estado dirigiéndose a servicios de agua desde 2023 y se expandió a PLC de Rockwell Automation en instalaciones de agua, energía y gobierno estadounidenses a principios de 2026 bajo la campaña documentada en el aviso conjunto AA26-097A.
El ataque es simple porque no necesita ser complicado
Todas las intrusiones documentadas en este grupo siguen el mismo patrón. Los operadores escanean rangos de IP públicos en busca de puntos finales de computación de red virtual (VNC) orientados a internet e HMI. Se autentican utilizando credenciales predeterminadas o fácilmente adivinables. Una vez dentro, interactúan directamente con la interfaz operacional: modificando consignas, deshabilitando alarmas, cambiando credenciales para bloquear operadores y grabando capturas de pantalla para publicación en Telegram. No hay malware personalizado, no hay movimiento lateral a través de redes corporativas, y no hay infraestructura de persistencia que valga la pena. El acceso es el exploit.
Esto es posible porque una gran parte de la tecnología operativa en el sector de petróleo y gas está conectada directamente a internet, a menudo como consecuencia heredada de implementaciones de monitoreo remoto realizadas antes de que los requisitos de ciberseguridad se pusieran al día. Los operadores de petróleo y gas no están sujetos a estándares de seguridad de sistemas de control industrial obligatorios equivalentes a NERC CIP (que se aplica a empresas de servicios eléctricos). La madurez de seguridad resultante es inconsistente en todo el sector.
Diciembre de 2025: las agencias nombraron a los grupos
El 9 de diciembre de 2025, CISA y el FBI, unidos por la NSA y socios internacionales incluyendo el Centro de Ciberseguridad de Canadá, publicaron el aviso AA25-343A nombrando formalmente a los actores que el aviso de mayo había caracterizado solo como “poco sofisticados”: Cyber Army of Russia Reborn (CARR), Z-Pentest, NoName057(16) y Sector 16. El aviso confirmó que estos grupos habían causado consecuencias operacionales confirmadas, incluyendo daño físico en algunos casos. Los sectores objetivo incluían Sistemas de Agua y Aguas Residuales, Alimentos y Agricultura, y Energía. El aviso de diciembre documentó la misma cadena de ataques VNC-credenciales predeterminadas, agregando que los grupos a veces lanzaban ataques DDoS concurrentes contra redes objetivo para distraer a los operadores durante la manipulación de SCADA.
Mitigaciones
Ambos avisos convergen en la misma lista corta de controles. Los dispositivos de OT no deben ser directamente accesibles desde la internet pública. Las credenciales predeterminadas deben ser reemplazadas con contraseñas fuertes y únicas antes del despliegue y rotadas en cualquier sistema que haya estado expuesto a internet sin ellas. El acceso remoto debe ser restringido a redes privadas con autenticación multifactor resistente a phishing. Las redes de IT y OT deben ser segmentadas utilizando una zona desmilitarizada. Los operadores deben mantener procedimientos de operación manual documentados y practicarlos, para que el personal pueda mantener operaciones seguras durante una interrupción del sistema de control. Se recomienda la coordinación con fabricantes de equipos originales y proveedores de servicios gestionados para identificar implementaciones mal configuradas de las que los operadores pueden no ser conscientes.
El techo práctico del riesgo de estos grupos está establecido por si el sistema objetivo es accesible desde internet con autenticación predeterminada. Eliminar esa condición elimina la superficie de ataque para todo el grupo.