Ciberseguridad y redes eléctricas: Lecciones del apagón ibérico del 28 de abril de 2025

El pasado 28 de abril de 2025, España y Portugal sufrieron un apagón eléctrico masivo que paralizó servicios esenciales, afectó el transporte, interrumpió comunicaciones y dejó sin suministro eléctrico a millones de personas durante varias horas. Aunque las autoridades inicialmente atribuyeron la causa a una avería técnica, pronto se abrió la posibilidad de un ciberataque como causa o factor agravante. Este incidente reavivó el debate sobre la vulnerabilidad de las infraestructuras críticas ante amenazas digitales.

Las Redes eléctricas: una infraestructura crítica vulnerable 

Las redes eléctricas modernas son sistemas interconectados y automatizados que dependen de tecnologías de información para supervisar, controlar y equilibrar la generación y el consumo de energía. Esta digitalización ha mejorado la eficiencia y la capacidad de respuesta de los sistemas eléctricos, pero también ha abierto nuevas puertas a los ciberatacantes.

Los sistemas SCADA (Supervisory Control And Data Acquisition) y otros sistemas automatizados de protección y control son esenciales para el funcionamiento diario de una red eléctrica. Sin embargo, si estos sistemas son comprometidos, pueden convertirse en herramientas para sabotear la estabilidad de la red.

 

Tácticas de ciberataques contra redes eléctricas 

Ahora pasaremos a describir detalladamente los mecanismos técnicos mediante los cuales un atacante puede inducir oscilaciones peligrosas en la red eléctrica. Entre las principales tácticas se encuentran:

• Manipulación de la generación: Alterando instrucciones en sistemas SCADA para provocar sobrecargas o caídas.

• Desconexión de generadores clave: Inyección de comandos que sacan de servicio generadores críticos.

• Reconfiguración de relés de protección: Cambios en la configuración para inducir reacciones inapropiadas.

• Falsas alarmas de sobrecarga: Generación de eventos que obligan a desconectar equipos sin necesidad.

• Alteración de la frecuencia: Modificación de los controles que estabilizan la frecuencia de la red.

• Ataques distribuidos coordinados: Ciberataques simultáneos en múltiples puntos para amplificar el impacto.

Hay varios casos reales que anticiparon lo que vivió la península ibérica. El incidente del 28 de abril no es el primero que pone de manifiesto la fragilidad de las redes eléctricas ante ataques digitales:

• Ucrania (2015): Hackers desactivaron remotamente subestaciones eléctricas mediante acceso a SCADA, dejando sin electricidad a más de 225.000 personas. . Utilizaron malware y técnicas de ingeniería social para acceder a los sistemas.

• Stuxnet (2009-2010): Aunque dirigido a instalaciones nucleares en Irán, demostró cómo un malware puede destruir equipos físicos a través de software.

Estos ataques revelan la sofisticación que pueden alcanzar los actores maliciosos, especialmente cuando cuentan con el respaldo de estados-nación.

 Como ejemplo, Stuxnet fue descubierto en junio de 2010 por la empresa de seguridad bielorrusa VirusBlokAda, aunque se estima que comenzó a propagarse en 2009

Esto significa que pasó aproximadamente un año antes de ser detectado, lo que resalta la sofisticación del ataque y la dificultad para identificarlo.

En cuanto al tiempo que podría tomar descubrir un malware completamente nuevo creado por un estado-nación, especialmente si utiliza inteligencia artificial, depende de varios factores:

 Si el malware emplea técnicas avanzadas como ofuscación de código, vulnerabilidades de día cero o capacidades de autoaprendizaje, podría pasar meses o incluso años antes de ser detectado. Suele estar diseñado para operar de manera sigilosa y atacar infraestructuras críticas, por lo que podría permanecer oculto durante largos períodos, como ocurrió con Stuxnet aunque las herramientas de ciberseguridad están mejorando constantemente, un malware generado con inteligencia artificial podría crear miles de variantes para evadir los sistemas de detección.

El apagón del 28 de abril da varias señales de una intrusión. Aunque las investigaciones siguen en curso, varios indicios apuntan a un posible componente cibernético en el apagón ibérico:

• Desconexiones inexplicables de múltiples generadores en España y Portugal.

• Alteraciones en la frecuencia que dificultaron la reconfiguración automática de la red.

• Fallos sincronizados en los sistemas de comunicación entre centros de control.

• Coincidencia temporal con un aumento en el tráfico malicioso en infraestructuras críticas.

 Inteligencia artificial y malware de nueva generación 

El uso de inteligencia artificial por parte de ciberatacantes está cambiando las reglas del juego. La IA puede generar malware adaptativo, capaz de evadir mecanismos tradicionales de detección. Este tipo de software puede tardar años en ser detectado, como ocurrió con Stuxnet.

Las nuevas amenazas incluyen:

• Malware polimórfico que cambia constantemente su código.

• Backdoors con activación diferida.

• Bots coordinados que lanzan ataques distribuidos desde nodos comprometidos.

Frente a esta amenaza creciente, es urgente reforzar la ciberseguridad de las redes eléctricas con acciones concretas:

• Implementación de arquitecturas Zero Trust.

• Segmentación estricta de redes operativas y de IT.

• Simulacros de respuesta ante ciberincidentes a gran escala.

• Uso de inteligencia artificial para la detección proactiva de anomalías.

• Auditorías periódicas de seguridad en todos los niveles del sistema.

El apagón del 28 de abril debe ser una llamada de atención. No basta con mejorar la infraestructura física de nuestras redes eléctricas; también es imprescindible blindarlas digitalmente. Los ciberataques ya no son una amenaza hipotética: son una realidad tangible que puede paralizar países enteros. La ciberseguridad no es una opción, es una condición para la estabilidad nacional.