Rand Water sufre incidente cibernético que afecta IT pero no compromete OT

El 3 de septiembre de 2026 Rand Water, el principal abastecedor de agua potable de Gauteng y provincias cercanas, notificó a los tenedores de su deuda que estaba gestionando un incidente de ciberseguridad. La empresa precisó que la afectación se limitó a “ciertos sistemas de tecnología de la información”. No se identificó al atacante, ni el vector de ataque, ni se confirmó el robo de datos.

Según el portal MyBroadband, la interrupción impactó el software de pagos y los sistemas GIS (geographic information system). El problema de GIS es crítico porque impide a los contratistas localizar la infraestructura subterránea, lo que representa un riesgo de seguridad física cuando se realizan excavaciones. En contraste, Rand Water aseguró que sus procesos de tratamiento de agua y los sistemas de control de calidad continuaron funcionando con normalidad y que el monitoreo seguía los estándares SANS 241 de agua potable.

La diferencia entre IT y OT es clave. Los sistemas IT abarcan correo electrónico, finanzas, recursos humanos y GIS, y están diseñados para confidencialidad e integridad. Los sistemas OT incluyen PLC, SCADA y sensores que dosifican químicos, regulan la presión de las bombas y monitorizan la calidad del agua; su prioridad es la disponibilidad y suelen operar con hardware que no se actualiza con frecuencia. Históricamente, ambas redes estaban aisladas, pero la creciente demanda de monitoreo remoto ha convergido sus entornos, creando un punto vulnerable donde un atacante que comprometa la capa IT puede acercarse a la OT.

El incidente muestra que la resiliencia de la infraestructura depende de una segmentación robusta entre IT y OT, planes de recuperación ante desastres (DR) probados y una divulgación transparente. Rand Water informó la brecha por obligación de la bolsa de valores (JSE), lo que sugiere que muchos operadores públicos sin esa obligación podrían estar bajoreportando incidentes similares.

En el contexto sudafricano, Rand Water se une a casos como el ransomware que paralizó a Transnet en 2021 y la encriptación de los sistemas del Bureau of Standards en noviembre de 2024. Todos comparten la raíz de una inversión crónica insuficiente en ciberseguridad del sector público. La lección principal para los profesionales de TI es reforzar la segmentación de redes, validar continuamente la integridad de los entornos OT y garantizar que los planes de DR se practiquen bajo presión.