Siete estados de EE.UU. sin control sobre su propia agua potable: lo que el FBI confirmó y lo que los gobiernos deberían hacer al respecto
No fue un súper exploit militar ni magia negra. Fue negligencia arquitectónica básica: miles de controladores industriales expuestos con IPs públicas en la Internet abierta, sin cifrado, sin autenticación criptográfica. Un escaneo masivo bastó.
Qué pasó, en corto
El FBI y la CISA confirmaron que un grupo atacante tomó control de controladores lógicos programables (PLCs) — Rockwell MicroLogics, Siemens, Schneider — en plantas de agua potable de siete estados. El método no fue sofisticado:
1. Escaneo masivo vía Censys/Shodan para encontrar dispositivos con IPs públicas expuestas.
2. Conexión directa a los controladores que escuchaban sin cifrado ni autenticación.
3. Cambio de contraseñas por defecto y alteración de la lógica de control.
4. Los operadores locales quedaron fuera de sus propios sistemas.
La recomendación de emergencia de CISA fue, literalmente: "desconecten los sistemas de Internet". En pleno siglo XXI, la respuesta ante un ciberataque a infraestructura crítica es priorizar el aislamiento manual. Eso dice mucho del modelo arquitectónico vigente.
El problema no es el atacante. Es la arquitectura.
Los PLCs compromised no tenían un "bug zero-day". No fueron víctimas de un exploit militar de millones de dólares. Estaban expuestos por diseño: con IPs públicas, puertos abiertos, protocolos de comunicación sin cifrar, y autenticación basada en contraseñas de fábrica.
El modelo SCADA/IoT industrial heredado asume que "poner un firewall arriba" alcanza. La realidad demostrada — una vez más — es que todo lo que escucha en la Internet pública termina siendo encontrado, escaneado y eventualmente comprometido.
La alternativa: un kernel de red soberano con superficie de ataque cero
El xionia-kernel — un proyecto de kernel de red P2P soberano escrito en Go puro, que nació de los aprendizajes y pruebas exitosas del prototipo Web5-Mesh — está siendo diseñado desde el primer commit para un mundo donde el host es hostil. Los tres principios que lo hacen estructuralmente inmune al tipo de ataque descrito:
Superficie de ataque CERO
Un nodo del kernel no tiene puertos escuchando en la Internet pública. No responde a ICMP. No existe para Shodan ni Censys. Toda comunicación viaja encapsulada sobre túneles P2P cifrados en capa overlay. Si un atacante escanea la IP pública del router de una planta, el puerto está cerrado y descarta en silencio. Sin logs, sin respuesta, sin existencia.
Autenticación por firma, no por contraseña
No existen las "contraseñas". Cada nodo tiene una identidad soberana (did:maia) generada criptográficamente. Para que dos dispositivos se hablen, se requiere un handshake Noise IK con claves públicas vinculadas a identidades verificables. Si la clave pública del emisor no está en la ACL local del nodo receptor, el paquete se destruye en user-space antes de tocar cualquier lógica de control.
Off-grid: funciona sin Internet
Si cortás la WAN, la red industrial sigue funcionando dentro de la malla P2P local: Ethernet interno, Wi-Fi, enlaces de radio Sub-GHz o VHF. La telemetría, las alertas y los comandos de control circulan de nodo a nodo sin exponer un solo bit al exterior. El aislamiento físico no es una respuesta de emergencia: es el estado natural del sistema.
Comparativa directa
| Aspecto | Modelo SCADA heredado | xionia-kernel |
|---|---|---|
| Descubribilidad | IP pública, visible en Shodan/Censys | Invisible: no escucha en Internet |
| Autenticación | Contraseñas de fábrica / por defecto | Firma Ed25519 + handshake Noise IK |
| Cifrado | Ninguno (protocolos industriales legados) | ChaCha20-Poly1305 E2E en cada paquete |
| Dependencia de Internet | Total — sin WAN, sin monitoreo | Ninguna — malla local autónoma |
| Control de acceso | Firewall perimetral (se perfora una vez) | ACL por nodo, por clave, por sesión |
| Respuesta ante ataque | "Desconectá de Internet" | El ataque no llega a existir |
Estado actual del proyecto
Esto no es un concepto teórico. La viabilidad de las comunicaciones P2P cifradas y la capa de ruteo overlay se validó exitosamente en la maqueta de prueba Web5-Mesh (PoC). Hoy, sobre esa base probada, se está construyendo de forma modular la arquitectura definitiva del xionia-kernel en Go:
├── go.mod ✅
├── STATUS_KERNEL.md ✅
├── RFC-0001.md ✅ APROBADO
├── pkg/
│ ├── bus/ bus.go + tests ✅
│ ├── identity/ identity.go + tests ✅
│ ├── session/ 🔄 en curso
│ ├── transport/ ⏳ interfaces → integración
│ ├── kernel/ ⏳ pendiente
│ └── signaling/ 🔴 pendiente
└── cmd/
├── xionia-node/ 🔴 pendiente
└── faro-server/ 🔴 pendiente
Los componentes primitivos de criptografía (Ed25519, X25519, ChaCha20-Poly1305), los handshakes de autenticación y el transporte sobre Noise IK probados en la maqueta original se están integrando directamente como módulos nativos del kernel.
Qué gana una infraestructura que adopta esta arquitectura
- Elimina la superficie de ataque de raíz: no hay puertos expuestos a Internet, no hay contraseñas que adivinar. El vector de ataque descrito por el FBI deja de existir.
- Soberanía tecnológica real: código abierto, auditable, sin dependencias de proveedores externos ni licencias privativas.
- Continuidad operativa sin Internet: ante un corte de WAN (sabotaje o desastre), la red industrial sigue operando de forma autónoma sobre enlaces locales.
- Auditoría criptográfica de cada comando: toda instrucción de control está firmada por una identidad verificable. Trazabilidad total de quién ejecutó qué acción.
- Escalabilidad soberana: corre eficientemente en hardware modesto (Raspberry Pi, mini PCs, SBCs o TV boxes recicladas) sin requerir servidores cloud ni infraestructura costosa.
La conclusión que ningún manual de compliance te va a decir
El ataque a las plantas de agua de EE.UU. no fue un fallo de inteligencia. El FBI sabía que esos dispositivos estaban expuestos. CISA había emitido alertas. El problema no era la información: era la arquitectura.
Seguir "parcheando" un modelo que expone dispositivos industriales a la Internet abierta es ponerle un curita a una hemorragia. La pregunta que los responsables de infraestructura deberían hacerse no es "¿cómo protegemos los PLCs que ya están expuestos?", sino "¿por qué están expuestos en primer lugar, y qué arquitectura hace que eso sea imposible por diseño?"
La respuesta se está construyendo desde la trinchera: es código abierto, está escrita en Go, corre en hardware accesible y no requiere pedirle permiso a nadie. Solo necesita ejecutarse.
De la maqueta de prueba a la arquitectura real
Web5-Mesh demostró que el concepto P2P soberano funciona. El xionia-kernel lleva esa experiencia al siguiente nivel.
