Resumen

  • El análisis publicado por Forescout el 5 de agosto dice que una consulta Shodan del día 3 halló 4.407 controladores con el puerto EtherNet/IP 44818 expuesto.
  • Estados Unidos sumó 2.844 resultados, el 65%; Canadá 513, España 146, Italia 109 y Australia 96.
  • Más del 70% de los resultados estadounidenses estaba en grandes redes móviles, lo que indica una superficie de enrutamiento celular, no una brecha de la operadora.
  • Forescout encontró 22 hosts en ciudades citadas en la campaña contra servicios de agua, pero no pudo confirmar que estuvieran comprometidos.
  • Diecinueve parecían susceptibles por firmware a CVE-2017-16740; no se confirmó ni el requisito de Modbus TCP activo ni la explotación.
  • El FBI informa de incidentes en al menos siete estados desde el 27 de julio, mientras Forescout dice 12; siete es el registro oficial y el conflicto debe conservarse.

Exposición es el primer denominador, no el total de incidentes

Los 4.407 proceden de una búsqueda de dispositivos públicos con el puerto 44818. Son resultados de una consulta definida en un momento concreto. No son sistemas de agua, organizaciones únicas, víctimas ni controladores comprometidos. Una organización puede operar varios y algunos sirven procesos industriales diferentes.

La precisión no resta gravedad. Un PLC alcanzable desde internet ofrece una ruta de descubrimiento e interacción que debería eliminarse o mediarse estrictamente. Pero convertir exposición en compromiso impide entender qué debe corregirse.

El enrutamiento celular concentra la superficie

Más del 70% de los resultados de Estados Unidos aparecía en redes de grandes operadoras móviles. Los routers celulares conectan activos remotos donde una línea fija es costosa, pero pueden crear una ruta pública hacia equipos que su propietario creía aislados.

La concentración no prueba que una operadora fuera vulnerada ni que posea los PLC. Muestra dónde coinciden direccionamiento, rutas, cortafuegos y configuración del cliente. La solución requiere inventario y aislamiento por el propietario, y ayuda del proveedor para localizar extremos y ofrecer direcciones privadas o controles gestionados.

La mezcla de equipos revela vidas útiles largas

MicroLogix 1400 representó el 50%, CompactLogix 1769 el 22%, MicroLogix 1100 el 8% y ControlLogix 5590 otro 8%. La presencia de familias antiguas refleja la longevidad industrial. Reemplazar puede exigir parada, revalidación y cambios en el proceso físico.

Por eso importan controles compensatorios: retirar rutas públicas, proteger acceso remoto con pasarelas autenticadas, vigilar protocolos y conservar copias recuperables de la lógica.

Veintidós coincidencias no son veintidós compromisos

Forescout cruzó su escaneo con ciudades mencionadas en la campaña y halló 22 hosts; 19 estaban en la misma red móvil. Es una coincidencia útil para priorizar, pero la firma afirma que no pudo confirmar que esos aparatos hubieran sido comprometidos.

Geografía y conectividad comunes pueden proceder de compras y diseños semejantes. No establecen dueño común, atribución ni ruta única de intrusión. Los 22 forman una cola urgente de revisión, no una lista de víctimas.

La susceptibilidad por firmware mantiene una condición ausente

Diecinueve parecían susceptibles, según su firmware, a CVE-2017-16740. El aviso de Rockwell define el alcance. Forescout añade que la explotación exige Modbus TCP habilitado, algo que no pudo verificar a distancia. No hay prueba de uso de la vulnerabilidad en la campaña.

Susceptibilidad, explotabilidad y explotación son fases distintas. Debe corregirse el riesgo, pero sin fusionarlas en el relato.

El FBI fija los efectos operativos confirmados

FBI y EPA dicen que servicios de al menos siete estados reportaron incidentes desde el 27 de julio. Los actores cambiaron direcciones IP y contraseñas, causando pérdida de monitorización o control; hubo presión perdida e inundación, y una víctima encontró modificado su proyecto PLC. No existe atribución.

Forescout menciona al menos 12 estados. Como el FBI mantiene el aviso oficial, siete es la cifra defendible hasta que se actualice. La discrepancia debe quedar visible y demuestra que estadísticas de escaneo no sustituyen expedientes de incidentes.

Escaneos independientes no forman una serie limpia

Censys contó 4.148 hosts Rockwell o Allen-Bradley el 30 de julio y atribuyó el 59% a Verizon Business, AT&T Mobility y T-Mobile USA. Forescout obtuvo 4.407 con Shodan el 3 de agosto. Motores, consultas, fechas y clasificación difieren, por lo que la diferencia no puede llamarse crecimiento.

En la propia serie de Forescout, la exposición cayó de 7.814 en marzo de 2020 a 4.169 en junio de 2026, antes de subir a 4.407. Sugiere reducción de largo plazo, un residuo persistente y un rebote reciente bajo el mismo método.

Fuentes