Martes, 28 de julio de 2026
SEGURIDAD
¿Por qué España es un objetivo cibernético?
La pregunta ya no es si España será objetivo de una ofensiva híbrida, sino cuándo se hará evidente. La combinación de ciberataques latentes, desinformación y dependencia de infraestructuras críticas dibuja un escenario de riesgo sistémico. "La amenaza no busca colapsar el país, sino condicionarlo. El peligro es el ciberataque que no imaginamos", sostiene Antonio Legaz, experto en seguridad e inteligencia.
El autor incide en la importancia de la ciberseguridad para un país como España.Unsplash / Julio López
Alemania acaba de dar un paso sin precedentes. El 12 de diciembre de 2025, el Gobierno alemán convocó formalmente al embajador ruso en Berlín tras atribuir al grupo APT28 (conocido como Fancy Bear, vinculado al GRU ruso) un ciberataque contra el sistema de control del tráfico aéreo en agosto de 2024. Simultáneamente, acusó a Moscú de desplegar la campaña de desinformación "Storm-1516" para desestabilizar las elecciones federales alemanas mediante deepfakes, vídeos manipulados y webs pseudoperiodísticas. Berlín no solo identificó la firma de Moscú, sino que anunció contramedidas y sanciones individuales. Este episodio ilustra una realidad que España aún no ha asumido públicamente: la guerra híbrida ya no es escenario futuro, es un presente operativo.
España es simultáneamente más valiosa como objetivo y más vulnerable de lo que el debate público reconoce. Mientras las inversiones en defensa se disparan, la pregunta no es si España enfrenta amenazas similares a las de Alemania, sino cuándo se harán visibles.
"España sueña si cree que los equipos de Huawei de la Guardia Civil no pasan información a China", advirtió hace apenas dos días el almirante Rob Bauer, ex jefe militar de la OTAN, en una entrevista. Su declaración fue un diagnóstico de una vulnerabilidad que España lleva años cultivando sin darse cuenta.
Volt Typhoon ha permanecido sin detectar en sistemas estadounidenses durante más de cinco años utilizando técnicas de living-off-the-land (LOTL): explotan herramientas legítimas del sistema operativo (PowerShell, comandos administrativos) en lugar de instalar malware detectable. Para España, esta táctica es especialmente letal: el 40% de las organizaciones portuarias y marítimas españolas no invierte suficientemente en detección comportamental avanzada, confiando exclusivamente en antivirus tradicionales que buscan firmas de malware conocido.
Expertos de la empresa Zerod estiman que existe una probabilidad superior al 60% de que una infraestructura crítica española sufra un ataque grave con consecuencias sistémicas en los próximos cinco años. No es si ocurrirá, sino cuándo.
Primero, el estrecho de Gibraltar: catorce kilómetros que separan Europa de África, por donde transita el 20% del comercio marítimo mundial y donde pasan cables submarinos de telecomunicaciones (como el MAREA transatlántico) y gasoductos (Medgaz conecta Argelia con España). Un sabotaje coordinado (corte de cables más ciberataque a puertos) degradaría severamente la conectividad mediterránea. Aunque existe redundancia terrestre hacia Francia y Portugal, la congestión resultante y el aislamiento parcial del norte de África generarían disrupciones comerciales, logísticas y financieras durante semanas.
Segundo, los puertos españoles como Algeciras, Valencia y Barcelona gestionan el 65% del comercio español. En 2024, el sector transporte sufrió sesenta ciberataques graves, casi tres veces más que en 2023. Un ataque tipo NotPetya (el ransomware que costó 300 millones de dólares a Maersk en 2017) contra estos tres puertos simultáneamente generaría un efecto dominó en toda la cadena logística europea.
La OTAN lanzó en enero la Operación Baltic Sentry para proteger los cables submarinos en el Báltico tras sabotajes detectados (cables C-Lion Finlandia-Alemania cortados en noviembre). Esta iniciativa ha logrado disuadir nuevos ataques. Pero no existe equivalente mediterráneo, dejando a España expuesta. El recientemente presentado dron naval español SEAD 23 puede cubrir doce millas náuticas con sonar, insuficiente para vigilancia integral del Estrecho. Además, opera en superficie, incapaz de detectar submarinos rusos o ROV cortando cables a trescientos metros de profundidad.
El CCN-CERT gestionó más de 30.000 incidentes catalogados como críticos o muy altos en sus veinte años de historia, con un crecimiento del 1.384% en la última década. INCIBE reportó 97.348 incidentes en 2024 (aumento del 16,6% respecto a 2023). Pero estas cifras dependen de notificaciones voluntarias cuando el riesgo es alto, generando subregistro: ataques contenidos exitosamente o clasificados como riesgo medio no aparecen en estadísticas oficiales.
El CNPIC tiene 150 empleados para supervisar protección de más de 2.000 operadores críticos en toda España, aunque los operadores cuentan con personal cualificado propio que actúan coordinadamente con CNPIC. La Directiva NIS2 europea establece controles obligatorios, pero España carece de presupuesto y personal para verificación práctica. La normativa existe, la capacidad de hacer que se cumpla, es un asunto más complicado.
José Luis Rojo, socio de ciberseguridad de EY, señaló en abril que "se estima que faltaban unos 40.000 profesionales de ciberseguridad en España en 2024". Este déficit de talento es más grave que cualquier brecha tecnológica: puedes comprar herramientas avanzadas, pero no crear expertos en seis meses. Los programas de formación actuales producen 1.500 graduados anuales, insuficiente para cubrir la brecha en una década.
Sandworm, el grupo ruso que apagó Ucrania en 2015, utilizó precisamente esta vulnerabilidad: accedió a sistemas corporativos mediante phishing convencional, pero una vez dentro saltó a redes OT y controló directamente interruptores de subestaciones eléctricas. APT28 y Volt Typhoon replican esta doctrina.
Además, se calcula que el 85% de rúteres domésticos españoles nunca actualiza firmware manualmente, aunque muchos fabricantes implementan actualizaciones automáticas OTA. La explotación masiva de rúteres para crear botnets (como el malware Mirai en el pasado) sigue siendo APT vigente, aunque las vulnerabilidades críticas explotables remotamente en rúteres modernos son menos frecuentes que hace una década. Aun así, el compromiso de rúteres domésticos para enmascarar tráfico malicioso sigue siendo táctica documentada.
En España las tres autoridades tienen protocolos sobre papel y realizan ejercicios sectoriales anuales (CyberEx España desde 2016). Pero nunca ha simulado una crisis nacional con ciberataques simultáneos contra múltiples sectores interdependientes que entrene coordinación real entre ministerios, comunidades autónomas, fuerzas de seguridad y operadores críticos bajo presión.
España invirtió 370 millones de euros en ciberseguridad 2020-2024 y anunció 1.100 millones adicionales en 2025. Pero comparado con presupuestos ofensivos de adversarios estatales (China invierte 2.000 millones de dólares), opera con una desventaja asimétrica. Está protegiendo un castillo medieval con murallas más altas, cuando la amenaza llega por drones militares.
España enfrenta un trilema cibernético estructural: es objetivo geográfico valioso, tiene capacidades defensivas en proceso de consolidación (ENS avanzando, pero implementación heterogénea) y opera con interdependencias críticas que requieren modelado dinámico. No hay solución parcial. Requiere transformación doctrinal completa de "proteger cada instalación individualmente" a "resiliencia sistémica nacional" con modelado dinámico de interdependencias, inversión en vigilancia submarina, unificación de mando cibernético y simulacros multisectoriales.
La ventana de acción se cierra. Cada mes sin transformación es un mes en actores estatales maliciosos consolidan capacidades. Los guardias siguen vigilando las puertas de la casa española. La cuestión es vigilar también el interior y saber expulsar a tiempo al intruso que ya se ha sentado en el salón.
Cuando llegue ese momento, España descubrirá que la verdadera amenaza nunca fue el ataque que temía, sino el silencio que ignoró.
España es simultáneamente más valiosa como objetivo y más vulnerable de lo que el debate público reconoce. Mientras las inversiones en defensa se disparan, la pregunta no es si España enfrenta amenazas similares a las de Alemania, sino cuándo se harán visibles.
"España sueña si cree que los equipos de Huawei de la Guardia Civil no pasan información a China", advirtió hace apenas dos días el almirante Rob Bauer, ex jefe militar de la OTAN, en una entrevista. Su declaración fue un diagnóstico de una vulnerabilidad que España lleva años cultivando sin darse cuenta.
"El presidente Pedro Sánchez reconoció en abril que «España sufre más de 100.000 ciberataques al año y uno de cada tres es considerado muy grave»"Las cifras oficiales pintan un cuadro alarmante pero incompleto. El presidente Pedro Sánchez reconoció en abril que "España sufre más de 100.000 ciberataques al año y uno de cada tres es considerado muy grave". El ministro para la Transformación Digital, Óscar López, añadió que desde 2015 los ciberataques han aumentado un 300%. Sin embargo, estas cifras brutas requieren matización. Muchos ataques son simples escaneos automatizados de puertos sin intención maliciosa real. Los ciberataques verdaderamente complejos y críticos contra infraestructuras españolas rondan los cinco anuales en años especialmente activos. Pero estos números ocultan una realidad más inquietante: los ataques que España teme no son los que pueden paralizarla. La verdadera amenaza es silenciosa, persistente y podría estar presente en sistemas críticos españoles.
La nueva doctrina del ciberataque
Imagine que un ladrón entra en su casa pero no roba nada. En lugar de eso, memoriza dónde están las llaves, desactiva alarmas sin que usted se entere y deja la puerta trasera ligeramente entreabierta. Cuando regrese (quizás dentro de años) podrá vaciar su hogar en minutos sin que nadie lo detecte. Esta metáfora describe con exactitud lo que grupos como Volt Typhoon (vinculado a inteligencia china) están ejecutando en infraestructuras críticas occidentales.Volt Typhoon ha permanecido sin detectar en sistemas estadounidenses durante más de cinco años utilizando técnicas de living-off-the-land (LOTL): explotan herramientas legítimas del sistema operativo (PowerShell, comandos administrativos) en lugar de instalar malware detectable. Para España, esta táctica es especialmente letal: el 40% de las organizaciones portuarias y marítimas españolas no invierte suficientemente en detección comportamental avanzada, confiando exclusivamente en antivirus tradicionales que buscan firmas de malware conocido.
"En un escenario hipotético de escalada geopolítica, España podría enfrentar activación de accesos latentes en los sectores energético, portuario y de telecomunicaciones"Sandworm (grupo ruso responsable del apagón eléctrico ucraniano de 2015) y APT28 (también ruso) operan bajo la misma lógica: acceso persistente sin destrucción inmediata. Su objetivo no es el ciberespionaje comercial, sino preparar la capacidad de sabotaje para momentos de crisis geopolítica. En un escenario hipotético de escalada geopolítica, España podría enfrentar activación de accesos latentes en los sectores energético, portuario y de telecomunicaciones. Aunque las infraestructuras críticas españolas cuentan con proveedores certificados y contramedidas (muchas están aisladas de Internet y requieren fallo humano para compromiso remoto), el riesgo no desaparece: solo se desplaza al factor humano y a la cadena de suministro.
Expertos de la empresa Zerod estiman que existe una probabilidad superior al 60% de que una infraestructura crítica española sufra un ataque grave con consecuencias sistémicas en los próximos cinco años. No es si ocurrirá, sino cuándo.
¿Por qué España no puede dejar de ser un objetivo?
España no eligió ser objetivo prioritario. Su posición geográfica lo decidió por ella. El país concentra tres vectores geoestratégicos irrenunciables que lo convierten en nodo crítico para Europa.Primero, el estrecho de Gibraltar: catorce kilómetros que separan Europa de África, por donde transita el 20% del comercio marítimo mundial y donde pasan cables submarinos de telecomunicaciones (como el MAREA transatlántico) y gasoductos (Medgaz conecta Argelia con España). Un sabotaje coordinado (corte de cables más ciberataque a puertos) degradaría severamente la conectividad mediterránea. Aunque existe redundancia terrestre hacia Francia y Portugal, la congestión resultante y el aislamiento parcial del norte de África generarían disrupciones comerciales, logísticas y financieras durante semanas.
Segundo, los puertos españoles como Algeciras, Valencia y Barcelona gestionan el 65% del comercio español. En 2024, el sector transporte sufrió sesenta ciberataques graves, casi tres veces más que en 2023. Un ataque tipo NotPetya (el ransomware que costó 300 millones de dólares a Maersk en 2017) contra estos tres puertos simultáneamente generaría un efecto dominó en toda la cadena logística europea.
"La Armada Española detectó 65 buques de guerra y submarinos rusos en aguas españolas en el último año mientras buques patrullan el Mediterráneo sin vigilancia submarina continua española"Tercero, España alberga 17 de los 46 puertos de interés general con infraestructuras críticas energéticas e industriales. La Armada Española detectó 65 buques de guerra y submarinos rusos en aguas españolas en el último año, mientras buques especializados como el Yantar (equipado con vehículos submarinos para cortar cables) patrullan el Mediterráneo sin vigilancia submarina continua española.
La OTAN lanzó en enero la Operación Baltic Sentry para proteger los cables submarinos en el Báltico tras sabotajes detectados (cables C-Lion Finlandia-Alemania cortados en noviembre). Esta iniciativa ha logrado disuadir nuevos ataques. Pero no existe equivalente mediterráneo, dejando a España expuesta. El recientemente presentado dron naval español SEAD 23 puede cubrir doce millas náuticas con sonar, insuficiente para vigilancia integral del Estrecho. Además, opera en superficie, incapaz de detectar submarinos rusos o ROV cortando cables a trescientos metros de profundidad.
Tres vigilantes que se mantienen distantes
España tiene tres autoridades competentes en ciberseguridad de infraestructuras críticas: el CNPIC (Ministerio del Interior), el CCN-CERT (Defensa/CNI) e INCIBE-CERT (empresas y ciudadanos). En crisis reales, las tres actúan conjuntamente: si es infraestructura privada, lidera INCIBE, si es pública, CCN-CERT, si es crítica público-privada (como el apagón de 2025), coordinan las tres simultáneamente.El CCN-CERT gestionó más de 30.000 incidentes catalogados como críticos o muy altos en sus veinte años de historia, con un crecimiento del 1.384% en la última década. INCIBE reportó 97.348 incidentes en 2024 (aumento del 16,6% respecto a 2023). Pero estas cifras dependen de notificaciones voluntarias cuando el riesgo es alto, generando subregistro: ataques contenidos exitosamente o clasificados como riesgo medio no aparecen en estadísticas oficiales.
El CNPIC tiene 150 empleados para supervisar protección de más de 2.000 operadores críticos en toda España, aunque los operadores cuentan con personal cualificado propio que actúan coordinadamente con CNPIC. La Directiva NIS2 europea establece controles obligatorios, pero España carece de presupuesto y personal para verificación práctica. La normativa existe, la capacidad de hacer que se cumpla, es un asunto más complicado.
José Luis Rojo, socio de ciberseguridad de EY, señaló en abril que "se estima que faltaban unos 40.000 profesionales de ciberseguridad en España en 2024". Este déficit de talento es más grave que cualquier brecha tecnológica: puedes comprar herramientas avanzadas, pero no crear expertos en seis meses. Los programas de formación actuales producen 1.500 graduados anuales, insuficiente para cubrir la brecha en una década.
El sistema nervioso de España
Según la x63 Unit de Cipher, los ciberataques a infraestructuras españolas aumentaron un 43% en 2024, con especial impacto en el sector energético, que concentró alrededor del 9% de esos incidentes. Sin embargo, el verdadero problema no es la cantidad, es que el 60% de sistemas de control industrial (SCADA) que gestionan redes eléctricas, plantas de agua y refinerías operan con tecnología diseñada antes de 2010, cuando la ciberseguridad simplemente no era parámetro de diseño."Según la x63 Unit de Cipher, los ciberataques a infraestructuras españolas aumentaron un 43% en 2024, con especial impacto en el sector energético"Estos sistemas fueron creados para estar aislados físicamente. Ahora están conectados a redes corporativas para eficiencia operativa. Aquí surge un debate técnico importante: las infraestructuras críticas tienen obligatoriedad de aplicar el ENS y pasar auditorías, lo que en teoría garantiza segmentación adecuada entre redes IT (corporativas) y OT (operacionales). Sin embargo, la realidad operativa presenta matices: la segmentación existe sobre papel, pero su implementación práctica varía según el operador y la antigüedad de los sistemas.
Sandworm, el grupo ruso que apagó Ucrania en 2015, utilizó precisamente esta vulnerabilidad: accedió a sistemas corporativos mediante phishing convencional, pero una vez dentro saltó a redes OT y controló directamente interruptores de subestaciones eléctricas. APT28 y Volt Typhoon replican esta doctrina.
Además, se calcula que el 85% de rúteres domésticos españoles nunca actualiza firmware manualmente, aunque muchos fabricantes implementan actualizaciones automáticas OTA. La explotación masiva de rúteres para crear botnets (como el malware Mirai en el pasado) sigue siendo APT vigente, aunque las vulnerabilidades críticas explotables remotamente en rúteres modernos son menos frecuentes que hace una década. Aun así, el compromiso de rúteres domésticos para enmascarar tráfico malicioso sigue siendo táctica documentada.
En España las tres autoridades tienen protocolos sobre papel y realizan ejercicios sectoriales anuales (CyberEx España desde 2016). Pero nunca ha simulado una crisis nacional con ciberataques simultáneos contra múltiples sectores interdependientes que entrene coordinación real entre ministerios, comunidades autónomas, fuerzas de seguridad y operadores críticos bajo presión.
El conflicto que España no imagina
El peligro no es el ciberataque que España imagina: masivo, atribuible, equivalente a una declaración de guerra. El peligro es el ciberataque que no imagina: silencioso, gradual, sin atribución clara, diseñado para erosionar confianza pública sin cruzar el umbral del Artículo 5 de la OTAN."El verdadero valor estratégico no está en apagar una subestación eléctrica durante seis horas, sino en robar datos clasificados de ministerios, presupuestos, contactos diplomáticos y planes estratégicos"Bauer advirtió que "Europa debe prepararse para ciberataques, sabotajes y otras actividades de zona gris". Pero añadiría un matiz crítico: la guerra híbrida más eficaz no son los ciberataques a infraestructuras (cada vez más costosos, difíciles y con impacto reducido gracias a contramedidas), sino la desestructuración mediante guerra de información y propaganda. Rusia y otros actores han intentado injerencia en procesos catalanes y hay evidencias de operaciones para polarizar y desestabilizar mediante desinformación. A ello se suma el uso de herramientas como Pegasus en el entorno hispano-marroquí, que ha mostrado hasta qué punto el espionaje digital contra líderes políticos, activistas y responsables de seguridad puede reconfigurar agendas y generar desconfianza interna de forma silenciosa. El verdadero valor estratégico no está en apagar una subestación eléctrica durante seis horas, sino en robar datos clasificados de ministerios, presupuestos, contactos diplomáticos y planes estratégicos que proporcionen ventaja informacional duradera.
España invirtió 370 millones de euros en ciberseguridad 2020-2024 y anunció 1.100 millones adicionales en 2025. Pero comparado con presupuestos ofensivos de adversarios estatales (China invierte 2.000 millones de dólares), opera con una desventaja asimétrica. Está protegiendo un castillo medieval con murallas más altas, cuando la amenaza llega por drones militares.
España enfrenta un trilema cibernético estructural: es objetivo geográfico valioso, tiene capacidades defensivas en proceso de consolidación (ENS avanzando, pero implementación heterogénea) y opera con interdependencias críticas que requieren modelado dinámico. No hay solución parcial. Requiere transformación doctrinal completa de "proteger cada instalación individualmente" a "resiliencia sistémica nacional" con modelado dinámico de interdependencias, inversión en vigilancia submarina, unificación de mando cibernético y simulacros multisectoriales.
La ventana de acción se cierra. Cada mes sin transformación es un mes en actores estatales maliciosos consolidan capacidades. Los guardias siguen vigilando las puertas de la casa española. La cuestión es vigilar también el interior y saber expulsar a tiempo al intruso que ya se ha sentado en el salón.
Cuando llegue ese momento, España descubrirá que la verdadera amenaza nunca fue el ataque que temía, sino el silencio que ignoró.
Etiquetas
Democracia, Seguridad, ciberataques, Guerra Híbrida, España, Mediterráneo, Energía, internet, hacker, Rusia, Ucrania Ahora en portada
27 de julio de 2026
27 de julio de 2026
Noticias relacionadas
Hace 35 semanas
La ex número dos del CNI: "La cooperación europea ha pasado a ser una obligación, no una opción"
Hace 35 semanas
Bruselas a ciegas: la falta de cultura de inteligencia que pone en riesgo las instituciones europeas
Hace 53 semanas
Tecnología, poder y dependencia: el pulso europeo que puede favorecer a España
Lo más leído