El 62 % de las compañías de servicios públicos en EE.UU. y Reino Unido fueron atacadas en el último año; el 81 % de las brechas comprometieron sistemas de identidad como Active Directory, Entra ID y Okta

Hoboken (EE.UU.), 3 de abril de 2025 – Las infraestructuras críticas están bajo asedio. Así lo revela el nuevo estudio publicado por Semperis, compañía especializada en ciberresiliencia e identidad digital, que analiza el aumento de ciberataques dirigidos a operadores de agua y electricidad en Estados Unidos y Reino Unido. El informe refleja una situación preocupante: el 62 % de los operadores sufrió algún tipo de ataque en el último año, y de estos, 8 de cada 10 fueron blanco de múltiples ataques.

Más alarmante aún es que el 54 % de estas intrusiones provocaron daños permanentes en los sistemas o pérdida de datos, lo que subraya la vulnerabilidad de servicios esenciales como el suministro eléctrico o de agua potable.

China y los ataques invisibles

Uno de los casos más destacados es el reciente ataque a una empresa pública de Littleton (Massachusetts), atribuido al grupo Volt Typhoon, vinculado al gobierno chino. También American Water Works, la mayor empresa de agua y saneamiento en EE.UU., ha informado de actividades no autorizadas en su red, afectando a la facturación y atención al cliente.

Chris Inglis, primer Director Nacional de Ciberseguridad en EE.UU. y asesor estratégico de Semperis, advierte que “muchas infraestructuras públicas no son conscientes de que actores estatales como China ya se han infiltrado”. Estos grupos suelen recurrir a ataques silenciosos —conocidos como Living off the Land— que evitan levantar alertas y pueden permanecer ocultos durante meses o años antes de activar sus cargas maliciosas.

El 81 % de los ataques apunta a sistemas de identidad

Según el estudio, titulado The State of Critical Infrastructure Resilience, el 81 % de los ataques cibernéticos contra servicios públicos comprometieron sistemas de identidad, como Active Directory, Entra ID y Okta, puntos clave en la autenticación y control de accesos. Además, el 60 % de los ataques tienen origen en grupos patrocinados por Estados.

Lo más preocupante, apuntan los expertos, es que el 38 % de los operadores cree no haber sido atacado, una cifra que se interpreta como un gran desconocimiento de la verdadera exposición a amenazas cibernéticas.

Una amenaza real a la salud pública

“El riesgo no es solo digital: quedarse sin luz, calefacción o agua limpia durante horas puede tener consecuencias graves para la población”, explica Mickey Bresman, CEO de Semperis. “Las compañías deben asumir que las brechas ocurrirán y prepararse para responder de forma ágil y segura”.

La falta de resiliencia operativa convierte estos sectores en objetivos de alto valor para actores maliciosos, capaces de generar impactos que van más allá de lo económico: desde alteraciones del orden público hasta riesgos sanitarios.

Recomendaciones clave del estudio

El informe de Semperis propone una serie de medidas para fortalecer la resiliencia operativa frente a ataques cibernéticos:

• Identificar los componentes críticos (Tier 0) imprescindibles para la recuperación tras un ataque.
• Priorizar la respuesta y recuperación de estos sistemas, antes que los secundarios o de negocio.
• Documentar y practicar planes de respuesta mediante ejercicios reales, implicando a todo el personal relevante, no solo al área de TI.
• Asegurar una recuperación rápida y segura, evitando que los atacantes se infiltren en los sistemas de respaldo para mantener su presencia incluso tras un reinicio.

Una llamada a la acción urgente

“La infraestructura que garantiza nuestra electricidad y agua es la base de todo lo que hacemos”, recalca Inglis. “Y, sin embargo, seguimos confiando en que otros se encargarán de protegerla. Pero nadie más lo hará por nosotros. Hay que actuar ya”.

El estudio completo, que analiza respuestas de 350 profesionales de seguridad en empresas de servicios públicos, puede descargarse gratuitamente desde el sitio oficial de Semperis: https://www.semperis.com/the-state-of-critical-infrastructure-resilience.

Con este informe, Semperis refuerza su misión de proteger los servicios de identidad de las organizaciones más críticas del mundo, una labor que se ha convertido en una prioridad de seguridad nacional ante el creciente riesgo de ciberataques a gran escala.

Fuente: Estudio Semperis