Apagón Masivo en la Península: ¿Fue España Víctima de un Ciberataque a Gran Escala?

Millones sin luz en España y Portugal el 28 de abril. INCIBE investiga si un ataque informático coordinado contra la red eléctrica pudo causar el colapso. Análisis técnico de una hipótesis que pone en jaque la seguridad de infraestructuras críticas.

Fecha: 28 de abril de 2025

La Sombra de la Duda Cae Sobre el Gran Apagón Ibérico

El lunes 28 de abril de 2025 quedará marcado en la memoria colectiva de España y Portugal. Un apagón sin precedentes sumió en la oscuridad a millones de ciudadanos y empresas en la Península Ibérica y afectó incluso a zonas del sur de Francia. El corte de suministro eléctrico, ocurrido en plena jornada laboral, paralizó infraestructuras críticas: trenes y metros se detuvieron, los semáforos se apagaron sumiendo el tráfico en el caos, las comunicaciones por internet y telefonía móvil sufrieron cortes intermitentes y servicios esenciales como hospitales o refinerías tuvieron que activar sus generadores de emergencia para mantener operaciones mínimas.

Mientras las compañías eléctricas, coordinadas a nivel nacional y europeo, trabajaban contrarreloj para diagnosticar la causa y restablecer el suministro, una sombra inquietante comenzó a planear sobre el incidente: la posibilidad de que no se tratara de un fallo técnico fortuito, sino de un ciberataque masivo y coordinado contra el corazón digital de la red eléctrica. Esta hipótesis cobró fuerza cuando el Instituto Nacional de Ciberseguridad (INCIBE) de España confirmó oficialmente que sus expertos estaban investigando activamente si un ataque informático podría estar detrás del colapso (computerworld.es).

La pregunta es inevitable y alarmante: ¿Es técnicamente posible un sabotaje de tal magnitud? ¿Podrían actores hostiles, ya sean estatales o criminales, «apagar» un país entero desde un teclado? ¿Quién podría tener la capacidad y la motivación para hacerlo? Este informe especial de Canarias en Portada profundiza en los detalles técnicos de cómo podría ejecutarse un ataque así, las vulnerabilidades inherentes a nuestros sistemas eléctricos, los posibles sospechosos y la plausibilidad real de un escenario que, hasta hace poco, parecía confinado a la ciencia ficción o a guiones de cine catastrofista.

Anatomía de un Ciberataque Eléctrico: ¿Cómo Tumbar una Red Nacional?

Realizar un ciberataque a gran escala contra la red eléctrica de un país es un desafío técnico monumental, pero los expertos en ciberseguridad industrial coinciden: no es imposible. Implicaría vulnerar los complejos Sistemas de Control Industrial (ICS) y de Supervisión, Control y Adquisición de Datos (SCADA) que gestionan en tiempo real la generación, transmisión y distribución de la electricidad.

En términos simplificados, un atacante necesitaría seguir una serie de pasos metódicos para infiltrarse, tomar el control y causar un daño físico significativo:

1. Infiltración Inicial: La Puerta de Entrada

Los atacantes podrían penetrar las redes corporativas (IT) de las compañías eléctricas usando técnicas habituales:

• Phishing dirigido: Engañar a empleados para que revelen credenciales o ejecuten malware.
• Explotación de vulnerabilidades: Atacar servidores web, VPNs u otros sistemas expuestos a internet que no estén correctamente parcheados.
• Ataques a la cadena de suministro: Comprometer a un proveedor tecnológico o de servicios que tenga acceso legítimo a la red de la eléctrica.

Intentos de acceso ilícito a sistemas de Red Eléctrica de España (REE) ya han sido detectados y neutralizados en el pasado (eldebate.com). Además, grupos de hackers avanzados como Dragonfly (presuntamente vinculado a Rusia) lograron «acceso sin precedentes a sistemas operativos de empresas energéticas de Europa y EE.UU.» entre 2015 y 2017, adquiriendo potencial para sabotear el sistema, según alertó Symantec (thehackernews.com).

2. Movimiento Lateral: Del Escritorio a la Sala de Control (IT a OT)

Una vez dentro de la red corporativa, el objetivo es saltar a la red de Tecnología Operacional (OT), donde residen los sistemas críticos SCADA/ICS. Esto requiere:

• Elevar privilegios: Obtener credenciales de administrador.
• Explotar conexiones: Aprovechar puntos de conexión entre IT y OT (estaciones de ingeniería, bases de datos compartidas, VPNs mal configuradas). La teórica separación total o «air-gap» entre redes a menudo no es tan estricta en la práctica.

3. Toma de Control: Manipulando los Interruptores Digitales

Dentro de la red OT, los atacantes buscarían controlar componentes clave:

• Controladores Lógicos Programables (PLCs): Dispositivos que operan físicamente equipos en subestaciones (abrir/cerrar interruptores, regular transformadores). Comandos maliciosos o reprogramación podrían desestabilizar voltajes, frecuencias o disparar protecciones coordinadamente (eldebate.com).
• Servidores SCADA y HMI (Interfaces Hombre-Máquina): Inyectar malware para controlar remotamente las consolas de los operadores o mostrarles información falsa. En el ataque a Ucrania de 2015, los hackers tomaron el control de las estaciones SCADA, bloquearon a los operadores y cortaron la luz simultáneamente (eldebate.com).

4. Sabotaje y Ocultación: Causando el Caos y Borrando Huellas

Un ataque sofisticado no solo apagaría la luz, sino que intentaría:

• Deshabilitar sistemas de seguridad: Anular protecciones automáticas o alarmas para que el daño sea mayor antes de ser detectado.
• Destruir evidencia: Desplegar malware «limpiador» (wiper) para borrar discos duros en las salas de control, dificultando el análisis forense y la recuperación. Esto se observó en Ucrania en 2015 y 2016 (es-us.noticias.yahoo.com).
• Sabotaje de bajo nivel: Cargar firmware malicioso en dispositivos de comunicación (como convertidores serie-ethernet) para dejar «ciegos» a los operadores, como ocurrió en Ucrania 2015 (es-us.noticias.yahoo.com).

5. El Efecto Físico: Provocando el Apagón en Cascada

Con el control asegurado, los atacantes podrían:

• Desconectar subestaciones clave simultáneamente: Inducir una caída brusca de frecuencia que active protecciones automáticas en otras partes del sistema, generando un efecto dominó.
• Sobrecargar líneas o transformadores: Enviar órdenes para exceder los límites operativos y forzar desconexiones o incluso causar daños físicos (aunque esto último es más complejo y detectable).
• Utilizar malware especializado: Herramientas como «Industroyer» (también conocido como CrashOverride), usado en Kiev en 2016, están diseñadas específicamente para hablar los protocolos industriales y automatizar la apertura de interruptores en múltiples subestaciones (wired.com). Los expertos advirtieron que Industroyer es modular y podría adaptarse a redes europeas para causar apagones más amplios (wired.com).

6. Mantener la Interrupción: Dificultando la Recuperación

Para que el apagón sea duradero, los atacantes podrían:

• Mantener persistencia: Asegurarse de que el malware se reactive si los sistemas se reinician.
• Atacar los esfuerzos de restauración: Dirigirse a centros de control de respaldo o generadores de emergencia.

No obstante, la experiencia de Ucrania en 2015 (donde se recuperó el suministro manualmente en 6 horas) muestra que sin acciones persistentes, el impacto puede ser limitado. Un ataque verdaderamente masivo buscaría efectos más prolongados o daños difíciles de reparar.

Técnicamente, un ciberataque coordinado podría causar un apagón generalizado. Se ha demostrado a menor escala y en simulaciones. Sin embargo, requiere una combinación letal de acceso privilegiado, malware muy específico y un conocimiento profundo de la operación de la red eléctrica. Las defensas y protocolos de aislamiento existen, por lo que un colapso total simultáneo exigiría una sofisticación y coordinación sin precedentes públicos hasta la fecha. Aun así, la amenaza es reconocida: ya en 2021, cerca del 30% de los ciberataques en España se dirigían al sector energético (eldebate.com), una señal alarmante del interés hostil en estas infraestructuras.

Las Grietas del Sistema: Vulnerabilidades en el Corazón Digital de la Red Eléctrica

Los sistemas SCADA/ICS que controlan nuestras redes eléctricas no son invulnerables. Presentan debilidades inherentes, fruto de su diseño original para entornos aislados y la posterior conexión a redes digitales modernas. Estas son algunas de las principales grietas que un atacante podría explotar:

• Software Obsoleto y Sin Parches: Muchas instalaciones operan con sistemas operativos antiguos (Windows XP, etc.) o software SCADA propietario que no se actualiza por temor a interrumpir el servicio. Estos sistemas pueden tener vulnerabilidades conocidas y explotables. Recientemente, en 2024, se descubrieron fallos críticos en MicroSCADA X de Hitachi Energy, usado en miles de subestaciones globalmente, que permitían ataques severos (darkreading.com).
• Protocolos Industriales Inseguros: Protocolos como Modbus, DNP3 o IEC 60870-5-104, diseñados hace décadas, a menudo carecen de cifrado o autenticación robusta. Si un atacante accede a la red OT, puede enviar comandos falsos que los equipos obedecerán. Las credenciales por defecto no cambiadas en PLCs o RTUs son otro vector común (eldebate.com).
• Segmentación Débil entre IT y OT: Aunque la separación es un principio básico, en la práctica existen conexiones necesarias (mantenimiento remoto, monitorización). Si la segmentación no es perfecta (firewalls mal configurados, falta de zonas desmilitarizadas – DMZ), una brecha en la red corporativa puede saltar a la red de control. Vulnerabilidades en sistemas intermedios, como bases de datos o estaciones de ingeniería, también son un riesgo. A principios de 2025, CISA (EE.UU.) alertó de un fallo en el software TeleControl Server de Siemens que permitía tomar control a través de una base de datos conectada (industrialcyber.co).
• Dispositivos Perimetrales y Terceros: La seguridad de la red también depende de la robustez de routers, firewalls industriales, convertidores de medios, y equipos de comunicación remota (RTUs). Se han reportado fallos en equipos de grandes fabricantes como ABB o Schneider Electric (industrialcyber.co). Además, los proveedores externos con acceso para soporte pueden ser un vector de entrada si sus propios sistemas son comprometidos (ataques de cadena de suministro).
• Manipulación de Sensores y Protecciones: Un atacante avanzado podría intentar falsear lecturas de sensores (temperatura, carga) para engañar a los sistemas automáticos o desactivar relés de protección en momentos críticos. El caso del firmware malicioso en convertidores en Ucrania 2015 es un ejemplo (es-us.noticias.yahoo.com).
• Errores Humanos y de Configuración: La ingeniería social para engañar a operadores o simples errores en la configuración de seguridad (un puerto abierto, una contraseña débil) pueden crear vulnerabilidades explotables sin necesidad de malware complejo.

El panorama es preocupante. Cada mes se descubren decenas de nuevas vulnerabilidades en equipos de control industrial, muchas afectando al sector energético (industrialcyber.co). Los operadores libran una batalla constante para parchear y mitigar riesgos sin afectar la continuidad del suministro. La tradicional «seguridad por oscuridad» de los sistemas SCADA ya no es una defensa efectiva en un mundo hiperconectado.

Los Sospechosos Habituales: ¿Quién Pudo Pulsar el Botón del Caos?

Si el apagón del 28 de abril hubiese sido un ciberataque deliberado, ¿quiénes serían los principales sospechosos? En el complejo mundo de las ciberamenazas contra infraestructuras críticas, destacan tres categorías principales de actores:

1. Actores Estatales (Grupos APT): Guerra Híbrida y Geopolítica

Los ciberataques más sofisticados y dañinos contra redes eléctricas han sido atribuidos a grupos vinculados a servicios de inteligencia o ejércitos de naciones.

• Rusia: Es el principal foco de preocupación en Europa. El grupo Sandworm (vinculado al GRU ruso) protagonizó el primer apagón por hackeo en Ucrania (2015), repitió con Industroyer en Kiev (2016) e intentó un nuevo sabotaje masivo en 2022, frustrado en el último momento (es-us.noticias.yahoo.com, wired.com). Ucrania atribuye estos actos directamente a Rusia. Además, el grupo Dragonfly (posiblemente FSB ruso) infiltró profundamente redes energéticas en España, Francia y EE.UU. entre 2015-2017 (thehackernews.com, attack.mitre.org).
• Otros Estados: China (grupos como RedEcho acusados de espiar la red india) e Irán (malware Triton contra plantas petroquímicas) también han demostrado capacidades e interés en infraestructuras críticas.
• Motivación: Desestabilizar economías rivales, ejercer coerción geopolítica, enviar mensajes de poder o como parte de una estrategia de guerra híbrida. Estos actores suelen operar de forma encubierta, dificultando la atribución.

2. Cibercriminales: Lucro por Encima de Todo

Bandas de ransomware y otros grupos criminales también han puesto sus ojos en el sector energético, aunque su motivación principal es económica.

• Objetivo: Cifrar sistemas y exigir un rescate. El apagón sería más un daño colateral que un fin en sí mismo.
• Ejemplos: El ataque a Colonial Pipeline (oleoducto en EE.UU., 2021) causó disrupciones por precaución. En Rumanía, Electrica Group sufrió un ataque de ransomware a finales de 2024 que afectó sistemas corporativos pero no los SCADA gracias a la segmentación (csoonline.com).
• Riesgo: Aunque menos probable que busquen un apagón masivo (por el riesgo de persecución), no se descarta que grupos más agresivos o en connivencia con estados puedan hacerlo para forzar pagos, o usar la extorsión amenazando con causar daños (modelo «double extortion»). INCIBE ha advertido del auge de ransomware contra infraestructuras críticas.

3. Hacktivistas, Insiders y Otros: Motivaciones Ideológicas o Personales

• Hacktivistas: Grupos con motivaciones políticas o ideológicas (ej. ecoterrorismo) podrían intentar sabotajes, pero generalmente carecen de la capacidad técnica para un ataque a esta escala. Sus acciones suelen limitarse a desfiguraciones web o filtraciones.
• Amenazas Internas (Insiders): Un empleado descontento, negligente o sobornado con acceso a sistemas críticos representa un riesgo. Aunque existen controles (doble autorización, monitorización), no es imposible que un insider facilite un ataque externo o actúe directamente. Sin embargo, los sabotajes internos graves son históricamente muy raros.

Conclusión Parcial: Dada la escala y la coordinación que requeriría un apagón como el del 28 de abril, la sospecha principal recaería sobre un actor estatal o un grupo APT patrocinado por un estado. La investigación buscaría «firmas» digitales (malware específico, tácticas, técnicas y procedimientos – TTPs) que pudieran vincular el ataque a grupos conocidos. Las alertas previas sobre exploración de redes energéticas europeas por parte de actores estatales refuerzan esta hipótesis (es-us.noticias.yahoo.com).

La Maquinaria del Caos: Medios Técnicos Necesarios para un Apagón Masivo

Orquestar un ciberataque capaz de provocar un apagón a escala nacional o internacional no es tarea para aficionados. Requiere una planificación meticulosa y una inversión significativa en recursos técnicos y humanos:

• Acceso Prolongado y Sigiloso: Los atacantes necesitarían haber estado dentro de las redes objetivo durante semanas o meses, mapeando sistemas y desplegando malware sin ser detectados. Esto exige una infraestructura de Comando y Control (C2) sofisticada y encubierta. En Ucrania 2022, Sandworm estuvo dentro desde febrero para atacar en abril (es-us.noticias.yahoo.com).
• Equipo Multidisciplinar: Haría falta un equipo coordinado de hackers (expertos en redes, sistemas operativos, penetración), ingenieros eléctricos o de sistemas de control (para entender cómo manipular la red) y desarrolladores de malware (para crear herramientas a medida como Industroyer). Los grupos APT estatales disponen de estas capacidades.
• Conocimiento Profundo de la Red: Los atacantes necesitarían información detallada sobre la topología de la red eléctrica, sus puntos débiles, las protecciones existentes y los procedimientos operativos. Esto se obtiene mediante reconocimiento interno, espionaje o análisis de fuentes abiertas.
• Malware y Exploits Sofisticados: Probablemente se requerirían herramientas de malware personalizadas y exploits de día-cero (vulnerabilidades no conocidas públicamente) para evadir defensas y tomar control de sistemas críticos sin ser detectados.
• Capacidad de Ataque Simultáneo y Coordinado: Para maximizar el impacto y superar las defensas automáticas de la red (que intentan aislar fallos), sería necesario atacar múltiples puntos clave (subestaciones, centrales, redes de comunicación) casi al mismo tiempo. Esto exige una coordinación precisa, posiblemente automatizada.
• Recursos Financieros y Logísticos: Montar y ejecutar una operación así tiene un coste elevado (infraestructura C2, desarrollo de malware, posible compra de exploits, personal especializado). Esto apunta de nuevo a actores con respaldo estatal o grandes organizaciones criminales.

En definitiva, un ciberataque de la magnitud hipotetizada para el apagón del 28 de abril sería una operación compleja, costosa y de alto riesgo, más propia de una campaña de ciberguerra o espionaje patrocinada por un estado que de actores menores.

Entre la Sospecha y la Evidencia: ¿Cuán Plausible es el Ciberataque?

Llegados a este punto, y con la investigación oficial en curso, debemos sopesar la plausibilidad de la hipótesis del ciberataque frente a otras explicaciones para el apagón del 28 de abril:

Argumentos a favor de la Hipótesis Cibernética:

• Magnitud y Sincronía: Un apagón tan extenso y aparentemente simultáneo en varios países es inusual para un fallo técnico convencional, que suele ser más localizado o progresivo.
• Investigación Oficial: El hecho de que INCIBE y potencialmente otras agencias europeas estén investigando activamente la pista cibernética le otorga credibilidad. No se descarta ninguna hipótesis.
• Contexto Geopolítico: Las tensiones internacionales y el historial de ciberataques a infraestructuras críticas hacen que la posibilidad de un ataque deliberado sea un escenario contemplado por los servicios de inteligencia.

Argumentos en Contra y Evidencias Alternativas:

• Versión Técnica Predominante: Las primeras declaraciones de las compañías eléctricas (como la portuguesa e-Redes, visao.pt) y fuentes no oficiales apuntan a un fallo técnico en la red de transporte europea, posiblemente una avería en líneas de alta tensión internacionales que provocó una sobrecarga y un efecto cascada.
• Ausencia (Pública) de Pruebas: Hasta el momento, no se ha informado públicamente de la detección de malware específico, comandos anómalos en los sistemas SCADA, intrusiones confirmadas en los centros de control o reivindicaciones por parte de algún grupo atacante.
• Recuperación Relativamente Rápida: Aunque con dificultades, gran parte del suministro se restableció en cuestión de horas. Un ataque deliberado y sofisticado podría haber intentado obstaculizar activamente la recuperación o prolongar el caos, lo cual no parece haber ocurrido según las informaciones iniciales de REE sobre maniobras de reposición (computerworld.es).
• Opinión de Expertos: Analistas consultados por medios portugueses se mostraron cautos, calificando la hipótesis de rumor mientras no haya datos concretos (visao.pt). Otros expertos recuerdan la complejidad de ejecutar un ataque perfecto contra las múltiples capas de protección de la red europea (eldebate.com).

Evaluación de Plausibilidad: A día de hoy, la hipótesis del ciberataque es técnicamente plausible pero no está confirmada. La explicación del fallo técnico en cascada parece, por ahora, contar con más indicios preliminares. Sin embargo, la investigación debe seguir su curso. Un ataque bien ejecutado podría intentar simular un fallo técnico. Solo un análisis forense digital exhaustivo de los sistemas afectados podrá determinar si hubo manipulación externa.

Lecciones del Pasado y la Defensa de la Red Europea

Independientemente de la causa final de este incidente, sirve como un crudo recordatorio de la dependencia de nuestra sociedad moderna en la electricidad y la creciente amenaza cibernética sobre ella.

• El Espejo de Ucrania: Los ataques sufridos por Ucrania (2015, 2016, 2022) han sido un campo de pruebas para las tácticas de ciberguerra contra redes eléctricas y han ofrecido valiosas lecciones sobre cómo se pueden ejecutar estos ataques y también cómo responder (la recuperación manual fue clave en 2015).
• La Preparación de Europa y España: Organismos como INCIBE (respuesta a incidentes), el Centro Criptológico Nacional (CCN-CERT, adscrito al CNI), la Red Europea de Gestores de Redes de Transporte de Electricidad (ENTSO-E), el Centro Europeo de Coordinación de la Respuesta a Emergencias (ERCC) y las propias compañías eléctricas invierten continuamente en mejorar la ciberseguridad. Se realizan ejercicios de simulación (como Cyber Europe), se implementan directivas como la NIS2 para elevar el nivel de exigencia y se operan Centros de Operaciones de Seguridad (SOCs) para monitorizar amenazas.
• Desafíos Pendientes: La superficie de ataque sigue creciendo con la digitalización, la interconexión y la integración de energías renovables (con miles de nuevos puntos conectados). Persiste la escasez de talento especializado en ciberseguridad industrial, y la necesidad de una colaboración público-privada e internacional aún más estrecha es fundamental.

Una Llamada de Atención Urgente

El gran apagón del 28 de abril de 2025 ha generado una profunda conmoción y ha puesto sobre la mesa, con más fuerza que nunca, la vulnerabilidad de nuestras infraestructuras críticas más esenciales. La hipótesis de un ciberataque masivo, aunque pendiente de confirmación por la investigación oficial liderada por INCIBE y sus homólogos europeos, es un escenario plausible que obliga a una reflexión seria.

Si bien los primeros indicios parecen inclinarse hacia un fallo técnico complejo en la red interconectada europea, la mera posibilidad de un ataque deliberado subraya la urgencia de reforzar la ciberresiliencia del sistema eléctrico. La inversión continua en tecnologías de detección y protección, la formación especializada, el intercambio de inteligencia de amenazas y la cooperación transfronteriza no son opciones, sino necesidades imperativas para prevenir o mitigar futuros incidentes, ya sean accidentales o malintencionados.

Los próximos días y semanas serán cruciales. Los análisis técnicos detallados de los registros de los sistemas SCADA/ICS y las investigaciones forenses digitales determinarán la causa raíz de este histórico apagón. Canarias en Portada seguirá informando puntualmente sobre los avances de esta investigación que mantiene en vilo a España y a toda Europa.