El FBI y cuatro agencias de EE. UU. advierten que herramientas de IA se están usando para hackear PLCs de Siemens en infraestructura crítica

Cinco agencias federales estadounidenses han emitido un aviso conjunto de ciberseguridad advirtiendo que actores de amenazas utilizan herramientas de explotación generadas por IA para atacar los controladores lógicos programables (PLC) de la serie S7 de Siemens integrados en infraestructura crítica americana. La NSA, CISA, FBI, el Departamento de Energía y la Agencia de Protección Ambiental publicaron el miércoles el aviso AA26-231A, describiendo una campaña activa y en curso.

Los PLCs son computadoras industriales que automatizan procesos físicos en fábricas, plantas eléctricas, sistemas de agua y otras instalaciones críticas. Su compromiso puede causar daños en equipos, interrupciones prolongadas o incidentes de seguridad que afectan directamente al público.

La IA reduce la barrera de entrada para ataques ICS

Según el aviso, los atacantes usan IA para generar scripts de explotación en Python que aprovechan la biblioteca de código abierto snap7 para comunicarse directamente con los PLCs S7 de Siemens a través del protocolo S7comm. Estas herramientas proporcionan acceso de lectura y escritura a la memoria del PLC, datos de configuración y programas de lógica escalera — el código que dicta el comportamiento de la maquinaria física.

Las herramientas están disfrazadas de software legítimo de monitoreo de tecnología operativa (OT), lo que dificulta su detección en redes industriales. Los atacantes usan servicios de escaneo de internet como Censys y ZoomEye para identificar PLCs de Siemens expuestos.

Seis sectores de infraestructura crítica en el punto de mira

El aviso identifica seis sectores objetivo principales: manufactura crítica, energía, sistemas de agua y aguas residuales, química, alimentos y agricultura, e instalaciones comerciales. Las agencias también señalan que los PLCs S7 de Siemens se usan ampliamente en la base industrial de defensa.

Los modelos activamente atacados incluyen PLCs Siemens S7-200, S7-300, S7-400, S7-1200 y S7-1500, una gama que abarca tanto hardware con soporte activo como dispositivos fuera de vida útil.

Reconocimiento ahora, disrupciones más tarde

Las agencias caracterizan la actividad actual como reconocimiento persistente — recopilar acceso y datos en lugar de interrumpir operaciones de inmediato — sugiriendo que los atacantes se están preparando metódicamente para posibles ataques futuros.

La advertencia sigue a un incidente en julio donde hackers atacaron más de 30 instalaciones de agua en Minnesota, causando fallas en equipos y forzando a algunas instalaciones a operar manualmente. Posteriormente, CISA advirtió de un aumento más amplio en ataques contra PLCs expuestos en infraestructura de agua estadounidense.

Las organizaciones que operan hardware Siemens S7 deben actuar de inmediato: inventariar todos los PLCs, aplicar parches de seguridad disponibles, bloquear el acceso directo a internet de los dispositivos PLC, reforzar controles de acceso y monitorear redes OT. El aviso completo está disponible en el portal CISA bajo referencia AA26-231A, según reportó primero BleepingComputer.