Los fiscales federales acusaron a un hombre de Kansas por supuestamente iniciar sesión en un sistema informático en un sistema público de agua y alterar el proceso de limpieza y desinfección del agua potable de los clientes.
Una acusación formal presentada en el Tribunal de Distrito de los EE. UU. Para el Distrito de Kansas dijo que Wyatt A. Travnichek, de 22 años, del condado de Ellsworth, Kansas, fue empleado desde enero de 2018 hasta enero de 2019 en el Distrito de Agua Rural No. 1 del condado de Ellsworth, también conocido como el Post Rock Water District, la instalación atiende a más de 1,500 clientes minoristas y 10 clientes mayoristas en ocho condados de Kansas. Parte de las responsabilidades de Wyatt incluían iniciar sesión de forma remota en el sistema informático del distrito de agua para monitorear la planta fuera del horario de atención.
Iniciar sesión con intención dañina
A fines de marzo de 2019, según la acusación del miércoles, Post Rock experimentó una intrusión remota en su sistema informático que resultó en el cierre de los procesos de la instalación para garantizar que el agua sea segura para beber.
“El 27 de marzo de 2019 o alrededor de esa fecha, en el Distrito de Kansas, el acusado, Wyatt Travnichek, manipuló deliberadamente un sistema público de agua potable, es decir, el Distrito de Agua Rural No. 1 del Condado de Ellsworth”, alegaron los fiscales. “A saber: se conectó de forma remota al sistema informático del Distrito de Agua Rural de Post Rock y realizó actividades que cerraron los procesos en la instalación que afectan los procedimientos de limpieza y desinfección de la instalación con la intención de dañar el Distrito de Agua Rural No. 1 del Condado de Ellsworth”.
Las acusaciones se producen siete semanas después de que las autoridades de Oldsmar, Florida, dijeron que alguien irrumpió en el sistema informático de una planta de tratamiento de agua municipal y trató de envenenar el agua potable de los aproximadamente 15.000 residentes del municipio.
El intruso cambió el nivel de hidróxido de sodio en el agua a 11.100 partes por millón, un aumento significativo de la cantidad normal de 100 ppm. Mejor conocido como lejía, el hidróxido de sodio se usa en pequeñas cantidades para tratar la acidez del agua y eliminar metales. A niveles más altos, el corrosivo es tóxico.
Un operador de la instalación de agua descubrió rápidamente el cambio y lo revirtió. Si no se hubiera detectado el cambio, habría elevado el nivel de lejía a niveles tóxicos. Incluso entonces, las autoridades dijeron que la instalación contaba con múltiples medidas para evitar que el agua contaminada estuviera disponible para los residentes. No obstante, el incidente subrayó la posibilidad de que tales intrusiones tengan consecuencias fatales.
Compartiendo contraseñas
Un aviso de funcionarios en Massachusetts dijo más tarde que la instalación de Oldsmar usaba una versión no compatible de Windows sin firewall y compartía la misma contraseña de TeamViewer entre sus empleados. Los empleados utilizaron el software remoto para acceder a los controles de la planta conocidos como sistema SCADA, abreviatura de “control de supervisión y adquisición de datos”.
La acusación del miércoles no dijo cómo Wyatt supuestamente obtuvo acceso a las instalaciones de Post Rock. Su puesto anterior como empleado de una instalación que se conectaba de forma remota al sistema informático del distrito de agua de forma regular deja abierta la posibilidad de que los funcionarios de agua tampoco consiguieran obtener las credenciales al no cerrar la cuenta de acceso remoto de Wyatt después de que él se fue. Nadie en la instalación estaba disponible para responder preguntas para este artículo.
La acusación formal acusa a Wyatt de un cargo de manipulación de un sistema público de agua y un cargo de daño imprudente a una computadora protegida durante el acceso no autorizado. Si es declarado culpable, enfrenta una sentencia máxima de 25 años en prisión y $ 500,000 en multas. Los intentos de comunicarse con Wyatt para hacer comentarios no tuvieron éxito.