El escandaloso agujero por el que cualquiera puede paralizar Europa sin disparar un tiro

Europa anda estos días buscando espías rusos detrás de los congeladores. Los supermercados de diversos países han sufrido ataques informáticos contra sus sistemas de refrigeración, con temperaturas disparadas, alimentos inutilizados y establecimientos obligados a retirar mercancías. La escena tiene todos los ingredientes de una película de espionaje de bajo presupuesto: un ordenador, unos frigoríficos y miles de yogures y varitas de cangrejo convertidos en víctimas de la geopolítica. Las autoridades investigan los incidentes y su posible relación con operaciones de sabotaje. La autoría, de momento, no está acreditada, aunque algunos ya han decidido quién es el culpable. Lo curioso es que, antes de averiguar quién ha entrado, casi nadie parece interesado en explicar por qué la puerta estaba tan abierta, por qué las medidas de seguridad efectivas brillaban por su ausencia.

Y es que esta historia me resulta extraordinariamente familiar. Tanto que podría haberla escrito ya hace ocho años, cambiando los frigoríficos por los depósitos de las gasolineras. Entonces tampoco hacían falta sofisticados servicios de inteligencia, algoritmos revolucionarios ni conocimientos reservados a los mejores hackers del planeta. Bastaba con tener conexión a internet y encontrarse con una seguridad informática que parecía diseñada por el departamento de bromas de una empresa de juguetes.

La seguridad industrial y la contraseña de los hermanos Marx

Corría aproximadamente 2018 y, desde ASPERTIC, la Asociación Mediterránea de Peritos de las TIC, que entonces presidía, habíamos comprobado la exposición de los sistemas de control de más de 250 instalaciones relacionadas con depósitos de combustible. La documentación que hicimos pública identificaba 189 gasolineras o tanques españoles con una vulnerabilidad verdaderamente preocupante. Determinados equipos, fabricados en China, eran accesibles desde internet y conservaban las credenciales predeterminadas. La más común de todas  ellas merece pasar a la historia de la ciberseguridad: 1.2.3.4. Sí, los cuatro primeros números. Ni siquiera había que esforzarse demasiado para recordarla. Para mayor gloria de la industria tecnológica, buena parte de los sistemas identificados no exigían contraseña alguna. Aquello no era una política de seguridad: era una invitación.

Hablamos de instalaciones relacionadas con el almacenamiento y control de combustibles, de sistemas que supervisaban niveles, alarmas y parámetros industriales. Una manipulación malintencionada podía interferir en su funcionamiento y, dependiendo de las protecciones físicas existentes, generar situaciones de riesgo considerable y catástrofe previsible. No afirmábamos que cualquiera pudiera provocar una explosión pulsando un botón, pero sí que existían accesos injustificadamente expuestos en instalaciones donde un error podía salir muy caro. El origen chino de los equipos era un dato de fabricación, no una explicación del problema. Porque el verdadero misterio no estaba en Pekín, sino bastante más cerca: ¿quién había instalado aquellos dispositivos, quién los mantenía y quién debía comprobar su seguridad?

Lo habíamos advertido repetidamente al Ministerio de Industria desde años anteriores. La acogida institucional no fue precisamente entusiasta. A fuerza de comprobar que nuestras comunicaciones no producían ninguna solución verificable, terminamos presentando, el 16 de febrero de 2018, la correspondiente denuncia ante la Fiscalía de Medio Ambiente de Barcelona y trasladando los hechos a las instituciones europeas. No era una cuestión menor. Estábamos hablando de infraestructuras con riesgos para la seguridad de las personas, el medio ambiente y el abastecimiento. Pero, al parecer, entre recibir una advertencia y hacerse cargo de ella existe un complicado procedimiento administrativo que la ciencia todavía no ha conseguido descifrar.

La denuncia llegó a los medios de comunicación y el asunto acabó también en el Senado. El Gobierno respondió oficialmente el 25 de septiembre de 2018 a una pregunta presentada en marzo. Y allí apareció una de esas pequeñas joyas que justifican conservar los boletines parlamentarios para las generaciones futuras. Según la respuesta gubernamental, “desde el punto de vista de la seguridad industrial no existía posibilidad de manipular telemáticamente los tanques. Sin embargo, en aquella misma contestación se recomendaba separar las redes industriales de internet, eliminar cuentas predeterminadas y utilizar contraseñas robustas”. Es decir, que no podía suceder aquello contra lo que, por prudencia, se recomendaba protegerse. Una forma particularmente elegante de tener razón en cualquier circunstancia.

Después de la denuncia y de que la prensa retratara la situación, tuvimos noticia de posibles contactos del Ministerio con los responsables de seguridad de las petroleras. Ignoramos qué medidas se adoptaron finalmente y si las vulnerabilidades quedaron corregidas. Nadie nos acreditó su subsanación. Ojalá se resolvieran todas, porque sería una excelente noticia. Pero una cosa es solucionar un problema y otra bastante distinta conseguir que deje de aparecer en los titulares.

Ocho años después, los frigoríficos descubren internet

Volvamos a noviembre de 2026. Los ataques a los sistemas de refrigeración europeos no han surgido de la nada. Francia ya había advertido oficialmente en octubre de compromisos de controladores de refrigeración conectados remotamente. La agencia francesa de ciberseguridad, ANSSI, recomendaba medidas tan extraordinarias como evitar la exposición directa a internet, actualizar los sistemas y cambiar las contraseñas predeterminadas. Exactamente el tipo de recomendaciones que escuchábamos en 2018. Ocho años de evolución tecnológica para descubrir que una contraseña de fábrica no debería convertirse en patrimonio hereditario de una instalación industrial.

No sabemos todavía si todos los incidentes recientes comparten vulnerabilidad, autores u objetivos. Tampoco puede darse por demostrada su integración en una operación estatal de guerra híbrida. Pero sí conocemos el denominador común de los riesgos descritos: sistemas industriales conectados, configuraciones insuficientemente protegidas y una cadena de responsabilidades que acostumbra a diluirse entre fabricantes, instaladores, mantenedores, operadores y administraciones. Todos participan en la tecnología, pero encontrar al responsable de su seguridad puede convertirse en una disciplina olímpica.

Mientras tanto, Bruselas legisla. Tenemos la Directiva NIS2, el Reglamento de Ciberresiliencia y una colección de obligaciones sobre seguridad desde el diseño, gestión de vulnerabilidades y configuraciones seguras. Bien está. Aunque sería deseable que la legislación sirviera también para cambiar lo que sucede dentro de las instalaciones y no únicamente para engordar los informes de cumplimiento. Porque la ciberseguridad no consiste en comprar un certificado, colocar un logotipo en la página web y confiar en que los delincuentes respeten la documentación corporativa.

El problema de fondo es político, industrial y cultural. Hemos conectado a internet gasolineras, frigoríficos, abastecimientos de agua, hospitales, fábricas y sistemas energéticos con una alegría extraordinaria, mientras tratábamos su seguridad como un accesorio opcional y a veces como una molestia. Ahora descubrimos que un ataque informático puede interrumpir servicios esenciales sin necesidad de bombardearlos. Es mucho más barato y, en ocasiones, también más difícil de atribuir. La guerra híbrida existe, pero eso no convierte automáticamente cada incidente en una operación militar. Lo que sí hace es aprovechar las debilidades que nosotros mismos hemos dejado disponibles por estulticia.

Por eso, antes de convocar otra rueda de prensa sobre las amenazas que acechan a Europa, quizá nuestros gobernantes deberían responder algunas preguntas bastante menos cinematográficas: ¿cuántos dispositivos industriales siguen accesibles desde internet?, ¿quién comprueba que sus contraseñas hayan cambiado?, ¿qué controles se exigen a los proveedores?, ¿y qué ocurre cuando alguien denuncia una vulnerabilidad y la administración prefiere mirar hacia otro lado?

En 2018 denunciamos un riesgo que considerábamos gravísimo. En 2026 vemos cómo otros sistemas industriales sufren ataques que recuerdan peligrosamente aquellas debilidades. No sabemos si quienes recibieron nuestras advertencias actuaron después con la diligencia necesaria. Y esa falta de respuesta también forma parte del problema.

Europa busca ahora a los responsables de haber entrado en sus frigoríficos. Haría bien en investigar igualmente quién dejó abierta la puerta.

Porque el enemigo podrá ser muy sofisticado, pero cuando encuentra una contraseña como 1.2.3.4., el trabajo se lo hemos hecho nosotros.