créditos: montaje a partir de una imagen de vickygharat y de jackmac34, de Pixabay
Putin no invade ―aunque también―, trolea. Contumaz y aplicado lector del Guerra Irrestricta, el manual de guerra híbrida por antonomasia, escrito en 1999 por los coroneles del Ejército Popular de Liberación Qiao Liang y Wang Xiangsui, ha llevado la guerra no convencional a las infraestructuras críticas. Hoy, al calor del apagón hispanoluso de mayo de 2025, haré un ligero repaso por otros ataques contra infraestructuras críticas y apagones (provocados, faltaría más) llevados a cabo por el Kremlin (pero no sólo). Tras el cero eléctrico de la Península, toca.
¿Europa a oscuras?: la energía como arma en la (no tan) nueva guerra híbrida
El lunes, 28 de abril de 2025, España y Portugal quedaron sumidas en el cero eléctrico. Un fallo en la red española con posible origen en Extremadura y/o, quizá, Andalucía provocaron, sobre el mediodía, el apagón general y la desconexión con el sistema eléctrico europeo. Esto último fue debido a un mecanismo de seguridad para que no se propagara al resto del continente, pero no sólo.
En un contexto geopolítico cada vez más tensionado, estas vulnerabilidades en la infraestructura pueden ser explotadas por potencias como Rusia, que ha hecho de la energía y del ciberespacio, dos de sus principales armas en la guerra híbrida. España ha sido una clase magistral para mostrar los efectos de un apagón de tal calibre y también para reiniciar el sistema desde cero, empeño que, por lo que cuentan los expertos, es todo menos fácil.
La primera reacción: ¿un ciberataque? Pero el río suena
Para muchos, el primer pensamiento que nos suscita el día (con parte de su noche) de caos en España y Portugal es que un acontecimiento tan grave sólo ha podido deberse a un ataque informático. De hecho, así lo sostuvo alguna autoridad autonómica. No fue el caso. Poder ser, es factible. Quizá fue un experimento que salió bien. Un simulacro. Tal vez, una advertencia. No, nada de eso.
Se descartó el ciberataque por parte de la misma Comisión Europea, aunque las autoridades españolas no cierran ninguna posibilidad, en la precavida idea de no pillarse los dedos. Con todo, el episodio evidenció la fragilidad de las infraestructuras eléctricas y la interdependencia continental de un sistema que presumía de robusto. Lo de la crisis reputacional ni hablamos. En un contexto en el que el gobierno se conjura para atraer inversores con la estabilidad económica como estandarte, bien no pinta. Queda para otro día.
Sin embargo, conspiraciones aparte, cabe pensar, por pura lógica militar, lo siguiente: si Rusia hubiera tenido la capacidad de dejar a Ucrania completamente sin electricidad, lo habría hecho. Y no en una oportunidad, sino en varias. Por todo lo dicho, la navaja de Ockham es la llave más aplicable: si Rusia no aplicó tal medida en Ucrania fue porque, simple y llanamente, no fue capaz. La falta de ganas no concurrió aquí.
En cualquier caso, los ciberataques en España no son nuevos: sólo en 2024 “se detectaron más de cien mil ciberataques y cada tres días hubo uno considerado como muy grave”. Por algo será que el gobierno español (y cualquier otro) tiene desde 2022 un Plan Nacional de Ciberseguridad y un refuerzo de las capacidades de España en ciberseguridad y ciberdefensa dotado con 1.157 millones de euros y aprobado, justamente, una semana después del apagón. Se trata de proteger ―ubicua palabra ahora― las «infraestructuras críticas» (esenciales).
Ucrania: campo de pruebas de la ciberagresión energética
Como se decía, no es por falta de ganas que Rusia no emprendió el apagado del sistema eléctrico ucraniano. El país lleva años siendo blanco de ataques híbridos ―y lo que no es híbrido, pero nos centramos en los híbridos― rusos, que combinan ciberataques, presión energética ―o chantajes al más puro estilo moldavo―, desinformación y sabotaje.
Ucrania, como país díscolo que no se pliega a la doctrina del rusky mir, se antoja especialmente llamativo para hacer unos experimentos que no se hacen ni en casa ni con gaseosa, precisamente. El laboratorio ucraniano ha resultado fantástico como banco de pruebas. Detrás hay muchos agentes que, por supuesto, el Kremlin niega que sean suyos. Son, por así decirlo, no-rusos, pero con toda la pinta de trabajar para ellos. BlackEnergy entra en este apartado.
Black Energy existe ―al menos, se detectó―desde 2007 y ya probó su capacidad saboteadora contra infraestructuras críticas en EE. UU. y organismos gubernamentales en Ucrania. Allí gobernaba Yúshchenko, quien llegó al poder tras la Revolución Naranja de 2004, un movimiento de protesta masiva contra el fraude electoral que había favorecido al candidato prorruso Víktor Yanukóvich. Yúshchenko abogaba por acercar al país a la Unión Europea y a Occidente. Y eso, claro está, no podía permitirlo Vladimir Putin (esta semana, precisamente, se cumplen veinte años desde que llegó al poder).
Ensayos generales: Ucrania, 2015, 2016 y 2022
Volviendo al mencionado malware, cuya generación apunta al Sandworm Team (vinculado al GRU o servicio de inteligencia ruso), se ha dado como fin atacar comunicaciones y sistema eléctrico en Ucrania, afectando a varias empresas del rubro de la electricidad. Usa archivos que se meten en Windows y Linux y borran el disco duro, uno de ellos es el llamado dstr (por aquello de “destroyer”, vamos, que lo de la sutileza no estaba entre sus prioridades): es el primer caso de herramientas cuyo cometido es provocar apagones y tiene lugar en 2014, coincidiendo con el inicio de la guerra en Ucrania (no, no empezó en 2022, que se lo pregunten a los ucranianos)
Un año después, a finales de 2015, para calentar (o para enfriar, según se mire) la Navidad ucraniana, que suele caer sobre el 6 de enero, un ciberataque con BlackEnergy deja a más de 230.000 personas sin electricidad (de una a seis horas dependiendo de la región). Atacó a tres compañías eléctricas en intervalos de media hora. Fue largamente planificado, probablemente desde principios de año.
No estuvo mal, pero se podía hacer mejor. Y se hizo: en 2016 un malware más perfeccionado sumió en la oscuridad a los kievitas. Su nombre, Industroyer, da fe de las pocas ganas de abstracción (industria + Destroyer.Muy agudo ). También se conoce al bicho como Crashoverride (que puede traducirse por “interrupción por fallo” o algo así: muy sutil, en su línea). Detrás, Sandworm (como no). Dicho ataque fue un punto de inflexión y otra asignatura más, probablemente, para los estudiantes de informática, (Apagón con ciberataque I, apagón con ciberataque II. Ni te presentes si no has aprobado Malware bancario I). la maliciosa herramienta interrumpió durante aproximadamente una hora el suministro eléctrico en Kiev. Los informáticos ucranianos solucionaron el problema con celeridad. Francamente debe encontrarse allí el mejor personal en asuntos de inteligencia y contrainteligencia cibernética. Y llevan años, décadas.
Industroyer atacó directamente los llamados sistemas de control industrial (ICS). Interruptores, disyuntores y protocolos industriales aparte, que no nos dice mucho a los legos, los que saben aseguran que el malware actúa manipulando los controles que encienden y apagan la electricidad en estaciones distribuidoras de electricidad, usando los mismos protocolos técnicos que usan normalmente los ingenieros para controlar estas redes.
Les hablan en su idioma para cargárselos, dejando los sistemas inoperativos. Las infraestructuras críticas resultan dañadas. Esto, en una guerra, es fundamental… o en su fase de preparación. En el apagón ibérico de mayo de 2025 se ha podido ver cómo (no) funciona un país sin comunicaciones, transportes, luz. Si esto lo aprovecha alguien para meter tanques, es letal.
Industroyer2 (aquí para los informáticos), como un T-1000 mejorado, implementó en marzo de 2022 un nuevo ataque, ya con descaro y acometida la invasión de Ucrania. Esta vez fue frustrado por los servicios de ciberdefensa ucranianos, que cooperaron con agentes privados. Algunos de ellos, en particular empresas como ESET y Microsoft, que ya sabían cómo se las gastaba Rusia y estaban preparados, jugaron un papel clave al compartir a tiempo datos que sirvieron para alertar a la inteligencia ucraniana. Ni que decir tiene que el ataque se planeó con antelación y como preparación de la invasión: tuvo lugar, de este modo, una infiltración inicial el 17 de febrero de 2022 (una semana antes de la invasión), produciéndose ciberataques destructivos (con malware como HermeticWipery CaddyWiper, este último sí logró cierto éxito), diseñados con alevosía para, además, dificultar la recuperación. El objetivo era dejar sin electricidad a millones de personas. Como viene siendo habitual, la autoría se atribuye al aludido Sandworm. De no haberse atajado a tiempo, la acción podría haber sido inmensamente dañina.
Ucrania no es el único blanco, aunque sí el más importante para Rusia, claro. En 2018 hubo un ataque a los sistemas informáticos de Corea del Norte. Aunque no está confirmado que fuera el Industroyer, si es cierto que guardaba similitud con su sistema. Aquella vez, parece, fueron informáticos chinos. Se le apodó, medio en serio, medio en broma, el Olymipic Destroyer.
Aunque no son apagones, los ciberataques contra las comunicaciones son moneda corriente
Así las cosas y teniendo en cuenta los precedentes, expertos estadounidenses colocaron en la palestra la eventualidad de ataques mediante apagones en el país, algo que ya en 2021 veían plausible que ocurriera. De hecho, el Departamento de Energía actualizó dicho año su modelo de ciberseguridad para ayudar a las empresas del sector energético a evaluar y mejorar su protección. También se llevaron a cabo diversas iniciativas en el Congreso orientadas a fortalecer el crítico sector. Se trató de una de las primeras acciones de la administración Biden, lo que pone de relieve lo decisivo del asunto.
Y es que tenían que ponerse las pilas, pues Estados Unidos fue objeto de ataques informáticos a sus sistemas gubernamentales en 2020. Entre los afectados se cuentan SolarWinds, una empresa que no pertenece al gobierno pero que comprometió sistemas de gobiernos y empresas globales, incluido el Departamento de Defensa de EE. UU. Por la cantidad de información que manejaba. Además, El malware “SUNBURST” permitió la modificación de datos y el acceso remoto a dispositivos, afectando a entidades como Microsoft y el gobierno de EE. UU.
Twitter también fue pirateado, posibilitando el acceso a las cuentas de figuras prominentes, como Barack Obama y Elon Musk, además de obtener credenciales de empleados mediante un ataque de phishing. La cadena hotelera Marriott tampoco se libró -y ya van dos veces. En este último caso, se accedió a la información personal de 5.2 millones de huéspedes, incluyendo nombres y datos de contacto, a través de las credenciales de empleados de uno de los establecimientos hoteleros. Sin salir del hostelero sector, también estuvo en la diana de los ciberpiratas MGM Resorts: filtraron, en un foro de hackers datos personales de 10.6 millones de huéspedes, incluidos famosos y funcionarios gubernamentales. Aunque el incidente ocurrió en 2019, se divulgó en 2020.
Otra gran firma como Zoom tampoco fue inmune. Con el viento de cola del aumento en el uso de la plataforma por la pandemia, se vendieron en la dark web medio millón de cuentas de usuario expuestas en violaciones previas. También se registraron interrupciones en reuniones (llamadas “Zoom bombing”). En el ámbito de la salud, fue afectada la compañía de salud Magellan Health a través de otro phishing que proporcionó acceso a datos sensibles de pacientes y empleados
Saliendo de Estados Unidos, el sistema bancario griego también fue forzado: se trató de un rebote. Primero, un ataque a un sitio web de viajes, a través del cual pasó a las principales entidades de crédito del país. Los daños fueron cuantiosos, hasta el punto de que los bancos más importantes del país se vieron obligados a reemplazar 15.000 tarjetas de crédito y débito como medida de seguridad.
Ciberataques en Ucrania y derecho internacional humanitario
Esta forma de guerra ha sido considerada como crimen de guerra por un grupo de juristas de la Universidad de Berkeley (EE. UU.). Así, llevaron el caso al Tribunal Penal Internacional. No son lobos solitarios: expertos y gobiernos como el EE.UU. (cuando no estaba Trump, claro) y la UE arguyen que estos ataques podrían violar el Derecho Internacional Humanitario si están dirigidos contra civiles o infraestructura esencial.
Naciones Unidas, por su parte, también ha investigado si los ataques a la infraestructura eléctrica en invierno constituyen un castigo colectivo, prohibido por las Convenciones de Ginebra. Pistas no faltan porque Kremlin, en cualquier caso, tira mucho de cortar el gas para que el país de turno se pliegue a sus exigencias. Moldavia es un ejemplo del que luego se discurrirá. En fin: no hace falta ser un lince para saber que Rusia está detrás de los ataques. Es de domino público, como se ha dicho, que el Sandworm está vinculado al GRU. Otra cosa es demostrarlo, y es ahí donde radica la dificultad. Tampoco ayuda que el marco legal no es del todo claro, porque los informáticos siempre van por delante de las normas y corren malos tiempos para el derecho internacional con la administración Trump.
Moldavia y Transnistria: la presión híbrida más allá del Dombás
En Moldavia, Rusia ha desplegado su estrategia de desestabilización híbrida con intensidad creciente. Rusia utiliza el gas como arma de presión sobre Moldavia, país totalmente dependiente del suministro ruso. Moscú ha recurrido al chantaje energético en momentos clave, como en 2006, con amenaza de corte de suministro y 2021, cuando impuso precios inasumibles justo antes del invierno. Esta estrategia responde al giro europeísta del gobierno moldavo encabezado por Maia Sandu y a su firme postura sobre Transnistria (que de hecho es de facto integrada en la administración federal rusa). Aunque Moldavia intenta integrarse en el mercado energético europeo para librarse del abrazo de oso (nunca mejor dicho) ruso, su situación sigue siendo precaria, agravada por el contexto de la guerra en Ucrania. En 2022, Moscú vuelve a cortar el suministro de gas, dejando sin calefacción a cientos de miles de personas. Este mismo año, se producen además explosiones y sabotajes en Tiráspol contra infraestructuras de seguridad. Se habla de operaciones de falsa bandera y Ucrania y la UE denuncian la escalada terrorista, mientras que Moscú se declara “preocupado”: ya, como el en Dombás.
En 2023, Rusia revocó un decreto que reconocía la soberanía moldava sobre Transnistria, lo que refuerza el temor a una posible extensión del conflicto. Mientras tanto, el estancamiento militar ruso en Ucrania mantiene la tensión – y el miedo- en la región. Rusia parece cebarse contra el pequeño país encajonado entre Ucrania y Rumanía, sufriendo Moldavia injerencia y manipulación electorales, con campañas de desinformación, compra de votos y financiación encubierta de partidos prorrusos que intentan socavar el acercamiento a la UE. También ha estado el dinero ruso presente en Rumanía: el supuesto candidato-independiente-hecho-a-sí-mismo Călin Georgescu era menos lobos: estaba untado por dinero ruso. Venció la primera vuelta de las pasadas elecciones rumanas en diciembre de 2024. La justicia anuló el resultado por las razones esbozadas. Da igual, porque hay banquillo: en abril de 2025 otro ultraderechista, George Simion dirigido por Georgescu desde la grada, venció la primera vuelta de las anuladas presidenciales. La ultraderecha rumana, como explicaba aquí, ansía Moldavia. Además, Georgescu es fan de Putin ¿no será que siendo tana amigos, se haya pensado en repartir Moldavia? Venga, la zona rumanoparlante para Rumanía y a mísera franja de Transnistria para los rusos. Ahí lo dejo.
La interconexión europea con la Península Ibérica y la oportunidad perdida de la crisis energética moldava de 2006: MidCat y BarMar
Todo se relaciona (geoestratégicamente): tras la crisis del gas moldava de 2006, la UE propuso diversificar su suministro energético. Una de las mejores opciones era el gas argelino, que llegaba a través de España. Pero Francia bloqueó la interconexión gasista entre la Península Ibérica y el resto de Europa, temerosa de perder su papel como intermediario energético. Y eso que no había llegado aún la invasión de Ucrania a gran escala. Por eso, al final, como los malos alumnos, la búsqueda de suministro alternativo de gas se hizo desde 2022 a última hora, mal y con la presión de la administración Trump exigiendo que el gas que le compraran fuera a él. La Unión Europea tiene en 2025 por costumbre examinar la desconexión de cada país del gas ruso y leer la cartilla al interesado en el caso de no hallar progresos.
Sin embargo, en 2006, con el susto en el cuerpo de lo que podría pasar si a los rusos les da por cortar el gas, había alternativas que, por ejemplo, hubieran evitado la situación que se dio en la Península Ibérica en mayo de 2025: estamos hablando de dos interesantes proyectos de interconexión europea, MidCat y BarMar. Ambos pretenden acabar con el la insularización energética peninsular. El primero se marcaba el objetivo de traer gas desde Argelia al continente europeo, pasando por España y saliendo a Europa a través de los Pirineos. Sin embargo, se argumentó que los costes ecológicos y de otra índole podrían ser elevados. En realidad ―dicen las malas lenguas― Francia no mostró interés porque estaba bien como estaba, y España irrumpiendo en el mercado ener gético europeo trayendo gas desde el Magreb podía romper la baraja. y el proyecto pasó a mejor vida. En realidad, ni siquiera España lo consideró la mejor opción tres años antes.
El gasoducto Midcat, se inició en los 2000 con una inversión estimada de 3.000 millones de euros y fue abandonado en varias ocasiones pese a intentos de reactivación en 2013 y 2019. Aunque Ribera apoyó su construcción como instrumento estratégico a medio plazo, España ya está interconectada a Francia a través de Navarra y Euskadi. No se consideraba suficiente, ya que MidCat podría haber triplicado la capacidad. Si hubiera operado en 2025, España se habría salvado del apagón
Pero llegamos a 2022 y Olaf Scholz quiere terminar con la dependencia alemana -y, por ende, europea- del gas ruso, por lo que presiona en septiembre de dicho año para “hacer algo”. Así que el proyecto es sustituido por el BarMar (de Barcelona-Marsella). Y es que Alemania se lo había montado muy bien, con gas ruso barato a espuertas: Angela Merkel firmó contratos de suministro de gas con la Rusia de Putin sin que la anexión ilegal de Crimea y la desestabilización del Dombás provocadas por él le produjeran la menor desazón espiritual…Tenían un proyectazo, incluso: los gasoductos Nord Stream1 y 2. Pero le salió rana. Y tanto, pues precisamente fueron saboteados por el Kremlin en septiembre de 2022, con permiso de la teoría del sabotaje estadounidense, claro. Aquí nadie sabe nada o nadie quiere hacerse responsable.
La entonces ministra española Teresa Ribera (desde 2024, vicepresidenta primera y comisaria de Competencia de la Comisión Europea) culpaba en 2022 a Francia de no avanzar en este sentido. No es la única que piensa igual: Maria da Graça Carvalho,ministra de medio ambiente y energía de Portugal, culpaba también a Francia de mantener el status quo. La razón: como tiene muhca energía nuclear, no le interesa interconexión ibérica alguna. No negaba las dificultades para avanzar en el proyecto del gasoducto Midcat con eel país galo, pese a que beneficiaría especialmente a este país. España defendió que su construcción fuera financiada por la UE, ya que ayudaría a garantizar el suministro energético europeo y permitiría el transporte futuro de gases renovables e hidrógeno verde. España, de hecho, ya asumía costes por su alta capacidad de regasificación, clave para el continente (Alemania, por ejemplo, no posee tanta capacidad). La guerra en Ucrania, como he apuntado, reactivó el interés en el Midcat, también respaldado, lógicamente, por Portugal y sectores empresariales.
Incluso Italia, que está en una situación similar a la española, puesto que es una península, propuso la construcción de un gasoducto si fracasaba Midcat. Seguimos en 2022, con el miedo a que se termine el gas ruso. Es cierto que la soldadura de Italia al continente es más amplia que la española y no depende de un solo país como en el caso ibérico. Si los italianos buscan fuentes alternativas de gas, cómo no será de perentorio para España.
Finalmente, como solución de compromiso, se optó por el mencionado BarMar, un nuevo corredor de energía verde (hidrógeno) submarino. En realidad, todavía no es tan verde. Hasta que se haga realidad, se prevé una fase de transición en la que circulará gas. El proyecto aún plantea muchas incógnitas sobre su capacidad, financiación, coste y viabilidad técnica, ya que la infraestructura para el hidrógeno en Europa aún está en una fase incipiente. Años se prevén para que esté operativo, por lo que el sueño de desengancharse por completo del gas ruso se viene un poco abajo en el medio plazo.
En fin, existían dos factores a favor de poner fin no sólo al aislamiento eléctrico ibérico, sino del mismo modo, de paso, surtir de fuentes alternativas de gas a toda Europa. El primer factor es la existencia de iniciativas de interconexión europea desde 2000: el segundo, el aviso de la guerra del gas dado por Rusia desde 2006. Se llegó a 2022 y Europa quedó pillada con el paso cambiado. Tres años después, el apagón hispanoportugués es piedra de toque de la oportunidad perdida de la que hablaba al principio.