¿Qué pasaría si China hackeara el suministro de agua de EE UU? Fui a un simulacro de guerra para averiguarlo

Ha transcurrido alrededor de una hora y diez minutos del juego de rol al que me han invitado a observar, una simulación de un ciberataque catastrófico contra las empresas de suministro de agua de Estados Unidos. Entonces todo empieza a parecer menos una divertida tarde jugando Dungeons & Dragons y más una amenaza plausible para la civilización.

Veinticuatro horas completas han transcurrido desde que los hackers interrumpieran el suministro de agua a 5,000 empresas de servicios públicos en Estados Unidos, en este escenario hipotético. Joshua Corman, el antiguo estratega de la Agencia de Seguridad de Infraestructura y Ciberseguridad que actúa como nuestro maestro de juego, se encuentra al frente de una sala de conferencias en un rascacielos con vistas a Times Square. Relata las últimas novedades a los participantes del juego: unas pocas docenas de ejecutivos de seguros organizados en seis equipos. Todos guardan un silencio inquietante.

“¿Están listos? Se va a poner más difícil”, advierte Corman. “Voy a compartir algunas cosas, y van a doler”.

Por supuesto, sigue siendo la misma tarde de abril en la que empezamos, pero en el transcurso del juego, los efectos indirectos de los cortes generalizados de agua comienzan a hacerse evidentes. Los sistemas de refrigeración de alimentos están fallando en los almacenes frigoríficos. La fabricación de medicamentos y productos químicos (que depende del agua) se ha visto afectada, lo que ha provocado escasez de insulina. Los sistemas de refrigeración de los centros de datos están fallando, causando interrupciones en los servicios en la nube. Lo más crítico es que 2,000 hospitales se encuentran sin agua, lo que dificulta la atención a los pacientes y, en algunos casos, obliga a realizar evacuaciones, ya que los sistemas de climatización se apagan y el calor de julio (el juego transcurre justo antes del Día de la Independencia de 2027) asfixia las instalaciones.

Peor aún, Corman está proyectando un video en loop en la pantalla, al frente de la sala, que muestra una tubería principal de agua rota: los hackers no solo han provocado una interrupción en los sistemas informáticos sino también, en al menos algunos casos, una destrucción física real que tardará mucho más en repararse. “Quienes viven río abajo no tienen presión de agua”, aclara Corman. “Todo depende del agua”.

(La tensión en la sala también alcanzó su punto máximo, en parte, debido a la decisión de Corman de negar a los participantes cualquier descanso organizado para ir al baño. “En una respuesta real a un incidente, no hay descansos”, explica Corman justo antes de que la enorme tubería de agua comience a brotar en pantalla. “Si tienen que ir al baño, vayan. Pero podrían perderse algo vital”. Nadie va al baño).

La tarea principal que Corman ha asignado para esta ronda a los equipos participantes, los cuales desempeñan el sorprendentemente crucial papel de las compañías de seguros, es decidir cómo distribuirán sus recursos (personal contratado para la respuesta a incidentes de ciberseguridad y dinero) y qué clientes tendrán prioridad.

¿Dependerá su respuesta de sus relaciones comerciales con los clientes? ¿O se centrarán en minimizar los daños para el mayor número de personas posible? Y dado que algunos indicios sugieren que este ciberataque catastrófico fue perpetrado por el ejército chino para obstaculizar la respuesta estadounidense a la invasión de Taiwán, ¿se exigirá a las aseguradoras que se centren en mantener operativas las instalaciones militares?

En esta pregunta queda implícita otra serie de posibilidades desastrosas para las propias aseguradoras: ¿Las llevará esta catástrofe a la bancarrota? ¿O invocarán una cláusula de exclusión por "acto de guerra" en sus pólizas de seguro (una cláusula estándar que exime a las aseguradoras de toda responsabilidad cuando estalla un conflicto armado) y no pagarán nada a sus clientes, arriesgándose así a convertirse en los villanos de la historia?

Los equipos tienen 15 minutos para decidir una política. "¿De acuerdo?", pregunta Corman. "Pongamos en marcha el cronómetro".

Fotoilustración: Jobanny Cabrera; Getty Images

De hecho, la mayoría de los expertos en China del mundo de la ciberseguridad coinciden en que este cronómetro en particular ya lleva años corriendo.

En mayo de 2023, Microsoft, la Agencia de Seguridad Nacional (NSA) y la CISA anunciaron el descubrimiento de lo que denominaron Volt Typhoon, un grupo de hackers al servicio del ejército chino. Los intrusos habían irrumpido en las redes de infraestructuras críticas en todo Estados Unidos continental y el territorio estadounidense de Guam, atacando objetivos relacionados con sectores que abarcaban desde la manufactura y las telecomunicaciones hasta la red eléctrica.

Estas brechas resultaron especialmente alarmantes porque los hackers parecían ir más allá del espionaje, práctica habitual de los ciberespías estatales chinos. En cambio, según Microsoft, buscaban desarrollar capacidades que pudieran interrumpir la infraestructura de comunicaciones críticas entre Estados Unidos y la región asiática durante futuras crisis. En otras palabras, Volt Typhoon se estaba "preposicionando", como lo expresaría otro informe de la CISA y la NSA a principios de 2024, sentando las bases para ciberataques a gran escala destinados a inhabilitar al ejército estadounidense en un momento estratégico crucial; quizás, según algunos analistas de ciberseguridad, en vísperas de una invasión de Taiwán.

Sin embargo, a medida que el gobierno estadounidense y la industria de la ciberseguridad seguían rastreando a Volt Typhoon, quedó claro que la lista de objetivos de los hackers no se limitaba a redes que permitieran el sabotaje de activos militares estadounidenses. Incluía los sistemas informáticos de una empresa de suministro de agua en Hawái, varios puertos estadounidenses y al menos un oleoducto y gasoducto con posible relevancia militar, pero también cientos de otras entidades, incluyendo infraestructuras de agua y electricidad tan pequeñas como los Departamentos de Electricidad y Agua de Littleton, Massachusetts, una ciudad con poco menos de 10,500 habitantes. “La única razón para atacar ese tipo de entidad es provocar el caos social en Estados Unidos”, declaró Brandon Wales, exdirector ejecutivo de CISA, a WIRED a principios de 2025. Según Wales, Volt Typhoon parecía estar preparándose para “provocar el caos en el país, para influir en nuestra libertad de acción geopolítica y en nuestra disposición a luchar”.

Incluso ahora, tres años después del descubrimiento inicial de Volt Typhoon, los analistas de inteligencia sobre amenazas aseguran que China continúa sus esfuerzos por prepararse para interrumpir la infraestructura civil estadounidense. Joe Slowik, exinvestigador de ciberseguridad de los Laboratorios Nacionales de Los Alamos, contratado por el Departamento de Energía, señala que Volt Typhoon (o un grupo de hackers relacionado en el que se ha convertido) sigue atacando la red eléctrica y las empresas de suministro de agua de Estados Unidos.

Algunas de estas intrusiones se detectan, señala Slowik. Otras pasan desapercibidas, en parte debido a los escasos presupuestos de seguridad de las empresas de servicios públicos municipales y en parte debido al modo sigiloso de operar de los hackers, conocido como "vivir de la tierra", que secuestra funciones legítimas de una red en lugar de instalar malware. “Es una técnica bastante buena”, observa Slowik, quien ahora dirige la investigación de amenazas en la empresa de ciberseguridad Dataminr. “Pero también consiste en aplicar esa técnica a áreas que realmente no tienen la capacidad para identificarla”.

El escenario que plantea el juego de guerra de Corman (5,000 empresas de suministro de agua hackeadas) no tendría precedentes. Tampoco es el resultado más probable de las intrusiones de Volt Typhoon, advierte Jen Easterly, quien fue directora de la Agencia de Seguridad de Infraestructura y Ciberseguridad cuando se descubrió la campaña de “hackeo” china. Sin embargo, Easterly, ahora directora general de la conferencia de ciberseguridad RSA, también advierte que la IA podría hacer que ese hipotético sabotaje masivo sea mucho más plausible, sobre todo en los próximos años, cuando su uso en ataques informáticos supere su uso por parte de los defensores.

Easterly afirma que se desconoce la magnitud de los preparativos de China, pero su intención es clara. “Lo que descubrimos fue solo la punta del iceberg”, comenta sobre su experiencia al frente de la respuesta a Volt Typhoon en CISA. “¿Creo que ha cambiado la estrategia deliberada de China de crear puntos de acceso en nuestra infraestructura civil más importante para poder lanzar ataques disruptivos en caso de una crisis en el estrecho de Taiwán? No, no lo creo”.

Hace apenas dos meses, el exdirector de ciberseguridad de la NSA, Rob Joyce, expresó la advertencia de forma aún más contundente en un artículo para The Cyber ​​Defense Review, argumentando que la amenaza que representa Volt Typhoon sigue siendo tan clara y presente como siempre.

“China ha colocado, en la práctica, el equivalente digital de explosivos en la columna vertebral de la sociedad estadounidense”, escribió Joyce. “Mantiene el acceso en silencio. Esperando”.

El simulacro

A pesar de que ha sido una amenaza constante para la ciberseguridad de EE UU durante más de tres años, Volt Typhoon (o lo que sea en lo que se haya convertido ahora) nunca ha llegado a dar el paso y llevar a cabo un ciberataque realmente destructivo en ningún incidente confirmado. Entender la amenaza que representa sigue siendo un ejercicio de imaginación.

De ahí el simulacro de guerra cibernética que estoy aquí para presenciar. El evento, organizado por CyberAcuView, una organización de ciberseguridad del sector asegurador, invitó a unos 30 ejecutivos de seguros. Me permitieron asistir con la condición de que ni ellos ni sus empleadores sean identificados.

Corman, que ha dirigido docenas de simulacros de guerra de este tipo, dice que me pidió que participara en este ejercicio en particular por dos razones: primero, pocas personas comprenden el papel fundamental de los seguros en medio de una emergencia de ciberseguridad. La primera llamada de las víctimas de un ataque informático suele ser a su compañía de seguros, que luego aprueba y da acceso a bufetes de abogados y proveedores de respuesta a incidentes de ciberseguridad en las horas siguientes.

En segundo lugar, Corman argumenta que las compañías de seguros actúan como agentes clave en este juego: tienen un fuerte incentivo financiero para evaluar el riesgo de forma objetiva ("jugarse el pellejo", como lo expresa Corman) sin exagerarlo ni minimizarlo.

Alrededor de la una de la tarde, tras las presentaciones y las reglas básicas ("No luchen contra el escenario"), Corman comienza. Cita la película clásica de hackers de 1983, WarGames, y se dirige a los presentes: “¿Jugamos un juego?”.

El día uno es el 1ro de julio de 2027. El New York Times publicó esa mañana un titular sobre el creciente temor a una invasión china de Taiwán. La ola de ataques cibernéticos perpetrada por una banda de ransomware ha consumido aproximadamente un tercio de la capacidad de respuesta ante incidentes de ciberseguridad de Estados Unidos. Mientras tanto, la industria de la ciberseguridad advierte sobre tres vulnerabilidades en dispositivos de borde de red, como cortafuegos y VPN (del tipo que Volt Typhoon ha utilizado durante mucho tiempo para infiltrarse en la red de sus víctimas), que están siendo explotadas por hackers no identificados.

Entonces, los participantes escuchan el verdadero disparo de salida: un aviso restringido del gobierno federal de EE UU indica que miles de empresas de suministro de agua han sufrido brechas de seguridad, sus sistemas de control no responden y, según informes extraoficiales, se han producido daños materiales. La primera tarea de los ejecutivos es determinar si comunicarán esta noticia a los clientes y cómo lo harán. Luego, dado que esto casi con seguridad superará su capacidad para destinar fondos a las víctimas, deberán decidir cómo priorizar a los clientes afectados.

Comienzan las sesiones de trabajo en grupos. En mi mesa surge casi de inmediato una discusión sobre si se debe alertar o no a la amplia cartera de clientes corporativos de la aseguradora. La mayoría de los participantes prefiere compartir la noticia con todos los clientes. Un jugador discrepa, argumentando que el modelo habitual de seguros establece que es el cliente quien primero informa del incidente a la aseguradora junto con la reclamación, y no al revés.

“¿Entonces sí? ¿No?”, pregunta un jugador a la mesa.

“No lo hagan”, responde el que se resiste. El detractor es rápidamente superado en votos y deciden alertar a todos sus clientes.

Corman está recorriendo las mesas, repartiendo sorpresas. Se acerca a la mía, le pide a alguien que tire un dado de 20 caras, luego mira el resultado y le dice al grupo sin explicación que todos los especialistas en respuesta a incidentes de Dragos, CrowdStrike y Mandiant (algunos de los mayores proveedores de respuesta a emergencias de ciberseguridad para servicios industriales como las empresas de suministro de agua) no están disponibles, aparentemente ocupados con otras víctimas. Mi mesa tendrá que buscar especialistas en otras empresas más pequeñas o suplicar la ayuda de agencias gubernamentales. “Perfecto”, responde un jugador.

Esta escasez hace que la cuestión de a qué clientes ayudar primero sea aún más delicada. En la mesa redonda se llega a un consenso general de que priorizarán a los clientes por tamaño, empezando por los más grandes, según sus ingresos.

Mientras cada mesa presenta sus decisiones por turnos, otras mesas dicen que han optado por dar prioridad a los clientes por orden de llegada, o por seguir un concepto vagamente definido de "seguridad nacional" según lo define el gobierno, aunque no está claro quién en el gobierno va a ofrecer esa definición.

Una mesa redonda pregunta dónde han estado los responsables de respuesta a incidentes de CISA, la principal agencia de defensa cibernética del país, durante todo este tiempo. Corman señala que CISA lleva más de un año sin un director confirmado por el Senado y ha sufrido una importante pérdida de personal. Algunas mesas sugieren que solicitarán ayuda a expertos en ciberseguridad del ámbito académico o de la Guardia Nacional.

Pronto queda claro que nada de eso será suficiente.

Fotoilustración: Jobanny Cabrera; Getty Images

Un juego sin ganadores

Llega el segundo día de la simulación y Corman expone la nueva realidad: se han roto numerosas tuberías principales de agua en todo el país. La sequía provocada por el hombre se ha extendido a hospitales, centros de datos, sistemas de refrigeración y la industria manufacturera.

Entonces, Corman lanza otra sorpresa: reproduce una declaración en video pregrabada de un oficial militar ficticio en la que solicita la ayuda de las compañías de seguros para hacer frente a la amenaza geopolítica que representa China, la primera vez que se menciona el nombre de ese país en el juego hasta el momento. “Lo que más me preocupa es nuestra capacidad para proteger la movilidad militar, un elemento clave de la seguridad nacional”, les comenta el oficial.

Corman reparte la tarea del segundo día: a medida que la crisis se extiende, ¿cómo priorizarán ahora qué empresas de agua merecen sus recursos? Las respuestas de la ronda anterior, de apenas unos minutos antes, del tipo “los clientes más importantes primero” o “el primero en llegar es el primero en ser atendido”, parecen ahora ingenuas hasta la médula. ¿Se centrarán en restablecer el suministro de agua en los lugares donde puedan salvar más vidas, como en las ciudades con alta densidad de hospitales? ¿O intentarán minimizar el daño económico? ¿O atenderán la petición de los militares de centrarse en la seguridad nacional, priorizando esencialmente la respuesta militar a la posible invasión china de Taiwán?

Por suerte, nadie en la sala es un monstruo

Tras 15 minutos de conversaciones en grupos reducidos, los equipos coinciden en su veredicto: su prioridad será salvar vidas humanas, aunque ninguno explica cómo tomarán las innumerables decisiones imposibles que se derivan de esa respuesta.

Después de que los seis equipos dieran la misma respuesta, solo una persona alza la voz para plantear un punto incómodo. Dar prioridad a las personas por encima de todo lo demás puede no ser una opción. “La respuesta fácil es la seguridad pública, la vida humana”, señala. “La más difícil es cuando tienes a los reguladores llamando, cuando los accionistas hacen preguntas”.

“Si el Tesoro llama y pregunta por las cifras, y nosotros respondemos que nos enfocamos en la vida humana, no sé si ese sea realmente el talk track”, continúa, utilizando un término de ventas que se refiere a un guion telefónico con puntos clave para las conversaciones con los clientes. O bien, agrega, si un funcionario le dice a la empresa que debe enfocarse en las telecomunicaciones o en la infraestructura de “doble uso” (es decir, elementos que podrían tener importancia militar), eso podría convertirse en la “prioridad número uno”, sostiene.

En otras palabras, tomar las medidas más directas para proteger a las personas de cualquier daño en medio de un ciberataque catastrófico podría requerir romper contratos, ignorar las exigencias de las fuerzas armadas o contradecir directamente una estrategia más amplia del gobierno de EE UU en los primeros días de una guerra en curso.

“No estuvimos de acuerdo en eso como grupo”, aclara. “No va a haber consenso”.

Fin del juego

En este punto, Corman, de forma abrupta y afortunadamente, finaliza el juego para dar paso a una sesión de lecciones aprendidas. Durante esta ronda, muestra una diapositiva que representa parte de la infraestructura afectada por los efectos secundarios de los ciberataques. Junto a cada elemento, aparece una larga fila de signos de dólar multicolores y siluetas de personas, que representan las pérdidas económicas y las víctimas humanas.

Corman me asegura, cuando le pregunto después, que no tiene sentido contarlas como si fueran una puntuación o una falta. Son menos una medida cuantitativa de las pérdidas que una confirmación cualitativa de que las cosas se han puesto muy mal. Ha dejado claro su punto: si este juego tiene algún ganador, no está aquí.

En una llamada posterior para analizar el juego, le pregunto a Corman: ¿Era realmente posible ganar su juego? ¿O siquiera cambiar su resultado? ¿O se trataba de una especie de “Kobayashi Maru”, una prueba imposible diseñada para enseñar algún otro tipo de lección?

Corman entiende la referencia a Star Trek, pero no está de acuerdo con la analogía. Había jugadas que los participantes podrían haber hecho y que habrían sido importantes, explica, como dar prioridad desde el principio a la recuperación de agua en las ciudades con hospitales. También le interesaba ver si alguno de los equipos invocaba las exclusiones de sus pólizas de seguro basadas en actos de guerra (un argumento que dio lugar a prolongadas batallas legales tras los miles de millones de dólares en daños causados por el ciberataque ruso NotPetya en 2017), o si tenían previsto reclamar al Gobierno federal el reembolso de sus gastos en virtud de la Ley de Seguros contra Riesgos de Terrorismo (TRIA, por sus siglas en inglés). Sin embargo, nada de eso surgió en la partida de mi mesa, debido en parte a la incertidumbre que reinaba el segundo día sobre quién estaba detrás de la campaña de piratería informática.

Pero sí, Corman añade: el objetivo del juego no era crear una competencia para ganar. En cambio, se diseñó para “abrumar”; para “sacar a la luz y desmontar suposiciones”.

Más concretamente, explica Corman, quiere demostrar al sector que, si incluso una versión relativamente leve del potencial ataque informático de Volt Typhoon se produjera en las condiciones actuales (Corman sostiene que la versión real podría ser mucho peor que la inactividad de 5,000 servicios de abastecimiento de agua), superaría la capacidad del sector asegurador para gestionarlo.

Mark Camillo, director general de CyberAcuView, que coorganizó el juego de guerra junto a Corman, manifiesta que los resultados muestran que un ciberataque cataclísmico bien podría ser “no asegurable”: los costos de un suceso de este tipo llevarían sin duda a la quiebra al sector si las aseguradoras no invocaran las exclusiones por “acto de guerra” que las eximirían de responsabilidad (lo que, a su vez, causaría un daño enorme a la confianza que la sociedad estadounidense deposita en los seguros). Una de las lecciones del juego, sostiene Camillo, es que las compañías de seguros podrían necesitar un fondo gubernamental como el TRIA (centrado en el terrorismo) para ayudar a cubrir sus costos, que se repondría con los pagos de los asegurados en los años posteriores a un desastre cibernético.

Pero Corman piensa que la lección más importante es que el sector de los seguros, quizá incluso más que el Gobierno de EE UU, tiene el poder único de cambiar todo esto (no aprendiendo a responder en medio de una catástrofe de piratería informática, sino centrándose en cómo prevenirla). Podría, por ejemplo, exigir a través de las pólizas de seguro que los clientes se protejan mejor, obligándoles a revisar sus redes en busca de dispositivos vulnerables y sin parches que Volt Typhoon aprovecha, o exigiéndoles que se unan a grupos de intercambio de información sobre ciberseguridad. Actualmente, según Corman, solo el 0.3% de las 151,000 empresas de suministro de agua del país forman parte de esas organizaciones, una cifra de afiliación espantosamente baja en comparación con grupos similares en sectores como el financiero o el eléctrico.

“La idea es ayudar a las aseguradoras a darse cuenta de que esto no va a salir como ellas pensaban”, resume Corman. “Y hacerlas reflexionar sobre qué podrían hacer de forma diferente una vez que salgan de la sala”.

Como enseña la lección final de WarGames, al fin y al cabo, hay juegos en los que la única jugada ganadora es no jugar (o, al menos, no hacerlo según las reglas del adversario).

Artículo originalmente publicado en WIRED. Adaptado por Andrea Baranenko.