La Casa Blanca cambia el nivel de la conversación

El 26 de agosto de 2026, la Casa Blanca declaró una emergencia nacional para proteger el sistema eléctrico de potencia a gran escala de Estados Unidos.

La decisión no fue presentada como una respuesta a una campaña hacktivista ni menciona a Z-Pentest Alliance. Su foco inmediato esta en la dependencia estadounidense de equipamiento eléctrico producido en el extranjero y la posibilidad de que determinados componentes, proveedores o servicios asociados introduzcan riesgos para la seguridad nacional.

Pero el lenguaje utilizado por la orden ejecutiva resulta difícil de separar de una discusión que desde hace tiempo excede la cadena de suministro.

El documento identifica como riesgos el sabotaje, la subversión, el acceso no autorizado, la acción remota maliciosa y la interrupción del suministro. Su alcance no termina en transformadores o generadores. Incluye software, firmware, servicios digitales, mantenimiento y capacidades de acceso remoto, y define expresamente como parte del bulk-power system a sistemas de control industrial, RTU, PLC, dispositivos electrónicos inteligentes, sistemas de control distribuido y sistemas instrumentados de seguridad.

La administración estadounidense sostiene además que un ataque exitoso contra este ecosistema puede tener consecuencias sobre la economía, la salud y seguridad humanas, la infraestructura crítica y la defensa nacional.

La declaración introduce así una dimensión política que resulta especialmente relevante para analizar la evolución de la amenaza OT: el acceso digital a determinados sistemas físicos ya no se trata solamente como un problema técnico de ciberseguridad. Puede convertirse en un problema de seguridad nacional.

Z-Pentest lleva tiempo operando sobre esa frontera

Como parte de su monitoreo de fuentes controladas por actores, iQBlack viene siguiendo una extensa secuencia de publicaciones de Z-Pentest relacionadas con sistemas industriales, automatización y entornos OT/ICS.

La heterogeneidad de los objetivos es significativa: tratamiento y distribución de agua, estaciones de bombeo, instalaciones hidroeléctricas, calderas, biogás, calefacción, irrigación, producción alimentaria, climatización, infraestructura agrícola y diferentes procesos industriales.

No todos esos entornos constituyen infraestructura crítica desde una definición jurídica estricta. Tampoco toda publicación del actor demuestra que la manipulación descrita haya ocurrido realmente. Pero una parte sustancial comparte una característica más importante para el análisis: la interfaz digital expuesta permite observar o modificar variables que existen fuera de la computadora.

En el corpus suministrado a iQBlack, Z-Pentest ha declarado, por ejemplo, acceso en Estados Unidos a una interfaz SCADA asociada con una instalación de petróleo y gas. El material describe visibilidad sobre presiones y caudales, niveles de fluidos, producción de petróleo, agua y gas, control de válvulas, tanques, alarmas y pozos, junto con capacidad declarada para modificar aspectos del proceso.

Otro registro bajo #OpUSA describe acceso a un sistema de producción alimentaria donde podían observarse recetas y parámetros de temperatura, humedad y tiempo, además de un estado de operación manual. El propio actor presentó ese acceso como capacidad para seleccionar recetas y alterar parámetros en tiempo real.

En otro caso estadounidense, Z-Pentest afirmó haber alcanzado una plataforma de Pentair Aquatic Eco-Systems utilizada para gestionar instalaciones de acuicultura, con visibilidad y modificación de temperatura, nivel de líquido y oxígeno disuelto.

Estar dentro no es todavía la consecuencia

Esta distinción resulta central. En OT/ICS, obtener una pantalla no equivale automáticamente a controlar todo el proceso. Tener acceso a una HMI tampoco demuestra conocimiento suficiente para producir un efecto determinado sin activar salvaguardas, alarmas o mecanismos de protección adicionales.

Por eso iQBlack mantiene separadas tres categorías que frecuentemente aparecen fusionadas en la propaganda de los actores: 

• acceso declarado, 
• manipulación declarada,
• impacto físico verificable.

Pero esa prudencia no reduce la importancia del acceso. Una estación de bombeo, una caldera, una planta de tratamiento o un proceso industrial existen para transformar una orden lógica en una acción física. Abrir una válvula, variar una presión, cambiar una temperatura, modificar una dosificación o alterar una secuencia no son solamente eventos informáticos.

Esta fue una de las conclusiones centrales de nuestro análisis reciente sobre NoName057(16). Los 53 accesos OT/ICS autoadjudicados que iQBlack examinó en aquel caso mostraban una transición desde la disrupción digital hacia sistemas capaces de influir sobre agua, energía, temperatura, bombeo, procesos químicos, agricultura y manufactura.

Z-Pentest introduce una variación importante sobre la misma ecuación. Para NoName057(16), OT/ICS aparece como una capacidad que se suma a un repertorio históricamente asociado con DDoS. Para Z-Pentest, la intrusión industrial tiene un peso mucho más visible dentro de su identidad pública.

Las propias autoridades estadounidenses llegaron a una lectura comparable. Un advisory conjunto de FBI, CISA, NSA, DOE, EPA y numerosos socios identificó a Z-Pentest entre los grupos prorrusos que aprovechan conexiones VNC insuficientemente protegidas y expuestas a Internet para alcanzar dispositivos de control OT dentro de infraestructura crítica.

No hace falta, por lo tanto, imaginar una capacidad excepcional para comprender el riesgo. Una consecuencia excepcional puede comenzar en una superficie de acceso extraordinariamente ordinaria.

El actor ya había explicado qué considera importante

La entrevista realizada por iQBlack a Z-Pentest aporta una capa especialmente útil porque permite contrastar esas publicaciones con la autodescripción del grupo.

Cuando se le preguntó si OT/ICS constituía el núcleo de su actividad, Z-Pentest respondió que era solamente una de varias áreas de trabajo. Pero frente a una pregunta sobre la diferencia entre demostración, intimidación y disrupción efectiva, el actor restó importancia al efecto puramente psicológico y sostuvo que la interrupción real del servicio resulta considerablemente más importante. La respuesta ayuda a interpretar muchas de sus publicaciones.

Mostrar una HMI puede servir para obtener visibilidad. Mostrar que esa HMI controla presión, bombeo, temperatura o combustión comunica algo diferente: la posibilidad de trasladar el acceso hacia la operación.

La entrevista también preguntó qué vuelve atractivo un entorno industrial: exposición remota, credenciales débiles, valor simbólico, país, sector o posibilidad de generar reacción pública. Z-Pentest respondió que prácticamente todos esos factores podían intervenir, salvo que negó que la publicidad fuese el criterio principal. El actor aseguró además que una parte importante de su actividad nunca se publica.

No es posible verificar esa última afirmación. Pero sirve para entender la construcción narrativa del grupo mediante la cual la actividad pública es presentada como una ventana, no como el inventario completo de capacidades.

Más sensible todavía fue su respuesta sobre los límites aplicados a operaciones contra infraestructura crítica. Z-Pentest sostuvo ante iQBlack que antiguamente evitaba determinadas infraestructuras civiles, pero que esa restricción había sido eliminada, y mencionó explícitamente sistemas energéticos y transporte entre los objetivos que considera disponibles dentro de su actual marco de confrontación.

Se trata de una declaración del actor, no de evidencia de que posea capacidad para ejecutar todos los escenarios que describe. Como indicador de intención declarada, sin embargo, resulta difícil ignorarla.

Estados Unidos no aparece solamente como un objetivo técnico

La dimensión de advertencia y presión se hizo especialmente visible el 23 de agosto. En una publicación dirigida explícitamente a Estados Unidos, Z-Pentest cuestionó si el país podía considerarse protegido por su distancia geográfica, sus bases y su propia percepción de seguridad. Minutos después, el actor afirmó haber comprometido una red de cámaras de tránsito estadounidense y sostuvo que podía observar movimientos de vehículos y equipamiento. Ambas publicaciones fueron etiquetadas #OpUSA, #FuckEastwood, #FuckRedCircus y #FreeVictoriaDubranova.

La relevancia de esas publicaciones no depende de aceptar literalmente la escala del acceso declarado. Su valor está en la secuencia comunicacional: Estados Unidos es presentado simultáneamente como objetivo, adversario geopolítico y destinatario de una advertencia. Tres días más tarde, el 26 de agosto, la Casa Blanca declaró la emergencia nacional sobre el bulk-power system. 

No existe base para afirmar que ambas cosas estén causalmente relacionadas, y establecer esa conexión sería incorrecto. La orden ejecutiva tiene antecedentes, objetivos regulatorios y fundamentos propios vinculados con equipamiento extranjero y seguridad de la cadena de suministro. La proximidad temporal, sin embargo, permite observar dos caras de un mismo problema estratégico.

Por un lado, un Estado que intenta reducir la posibilidad de acceso remoto, sabotaje y manipulación de infraestructura eléctrica sensible. Por otro, actores que incorporan precisamente el acceso a sistemas físicos como recurso de presión geopolítica.

La sofisticación no es la única variable

Esta discusión también conecta con otro frente que iQBlack viene observando. En la actualización de TRK25 Advanced SCADA analizamos una herramienta presentada como plataforma integrada para reconocimiento industrial, identificación de vulnerabilidades, acceso remoto, explotación, recolección y disrupción.

Una de sus características más relevantes era que la superficie explotable no tenía por qué encontrarse en el protocolo industrial. Sistemas operativos, acceso remoto, autenticación, gateways y otros componentes que sostienen a la aplicación OT podían constituir el camino hasta ella.

El advisory estadounidense sobre hacktivismo prorruso refuerza precisamente esa idea desde otro ángulo: VNC expuesto y deficientemente asegurado puede ser suficiente para alcanzar un dispositivo de control industrial.

Esto modifica la forma de medir capacidad. Un actor no necesita desarrollar un Stuxnet para producir un problema OT. Puede necesitar solamente encontrar una interfaz que nunca debió estar expuesta, obtener credenciales previsibles, atravesar una capa de acceso remoto mal configurada o alcanzar un sistema cuya segmentación no corresponde con su función física.

La sofisticación del atacante importa. Pero importa mucho más la fragilidad del objetivo.

El antecedente estadounidense ya incluye consecuencias físicas

En diciembre de 2025, el Departamento de Justicia estadounidense sostuvo que CARR había atacado sistemas públicos de agua potable en varios estados, causando daños en controles y el derrame de cientos de miles de galones de agua. También atribuyó al grupo un ataque contra una instalación de procesamiento de carne en Los Ángeles que habría provocado pérdida de producto y una fuga de amoníaco. El DOJ describió públicamente a CARR como también conocido como Z-Pentest. 

Aquí existe una tensión de atribución que conviene preservar. Durante su entrevista con iQBlack, Z-Pentest rechazó expresamente la equivalencia entre Z-Pentest y CARR y afirmó que esta última ya no existía como estructura independiente. El grupo sí reconoció coordinación operativa y solidaridad política con NoName057(16). 

No necesitamos resolver esa controversia para comprender el riesgo. La posición oficial estadounidense demuestra que las autoridades ya vinculan este ecosistema con actividad física sobre infraestructura crítica. 

El problema aparece antes de que exista el ataque

La declaración presidencial del 26 de agosto se concentra en el bulk-power system y en riesgos introducidos mediante equipamiento extranjero. Pero uno de sus conceptos más importantes es más amplio: una infraestructura crítica no puede evaluarse únicamente por su componente principal.

La Casa Blanca incluye explícitamente software, firmware, servicios digitales, mantenimiento y acceso remoto dentro de la superficie que debe considerarse al evaluar riesgo. Es el mismo problema que venimos observando desde otra dirección:

• Una HMI puede ser la interfaz visible.
• El riesgo puede comenzar en el servicio remoto que conduce hasta ella.
• El PLC puede controlar el proceso.
• La exposición puede residir en una arquitectura que decidió hacerlo accesible.

Una infraestructura puede ser físicamente robusta y, al mismo tiempo, depender de una cadena digital donde una credencial, un gateway o una configuración deficiente termina conectando Internet con aquello que mueve agua, energía, combustible, temperatura o presión.

Por eso, la seguridad no puede incorporarse después como una capa decorativa. Debe formar parte de la materia prima con la que el servicio es diseñado, adquirido, conectado, mantenido y operado.

Cierre analítico

Z-Pentest no demuestra por sí solo la existencia de una amenaza capaz de provocar una interrupción sistémica del bulk-power system estadounidense. La orden ejecutiva de la Casa Blanca tampoco fue emitida como respuesta a sus publicaciones. Confundir ambos hechos debilitaría el análisis. Lo que sí puede observarse es una convergencia.

Estados Unidos está elevando el riesgo de acceso remoto, sabotaje y manipulación de sistemas eléctricos a una cuestión formal de seguridad nacional. Las agencias estadounidenses llevan meses advirtiendo sobre colectivos prorrusos que acceden a dispositivos OT mediante superficies remotas insuficientemente protegidas. Y Z-Pentest, desde el otro lado de esa ecuación, continúa publicando sistemas donde afirma poder observar o alterar variables asociadas con procesos físicos.

El corpus monitoreado por iQBlack muestra que el problema tampoco termina en electricidad. Agua, bombeo, tratamiento, calefacción, petróleo y gas, agricultura y producción industrial forman parte de la misma superficie observable.

El desafío, entonces, no consiste solamente en preguntarse si un actor hacktivista dispone de capacidades extraordinarias. Consiste también en preguntarse cuántos procesos físicamente relevantes continúan siendo alcanzables sin necesitarlas.

Cuando la respuesta a esa pregunta involucra agua, energía, presión, temperatura, combustión o distribución, el significado del acceso cambia. Porque el ataque puede comenzar en una interfaz, pero la consecuencia no tiene ninguna obligación de permanecer allí.