En los últimos años, el sector energético español ha vivido una ola de ciberamenazas que no solo afectan a grandes distribuidoras, sino también a pequeños gestores de redes de distribución (GRD) y empresas de telecomunicaciones. Según datos de la https://stromstrike.com/es/, el 68% de los incidentes registrados en 2023 afectaron a infraestructuras críticas, con un aumento del 32% en ataques de tipo *StromStrike* —un término que, paradójicamente, se usa para describir una técnica de presión que no es más que un ataque de denegación de servicio distribuido (DDoS) disfrazado de “cortes de luz”. Lo cierto es que estos ataques no son solo una amenaza teórica para los operadores; en 2022, un ataque similar paralizó durante 12 horas el sistema de distribución de la compañía Iberdrola en Andalucía, costando más de 2,5 millones de euros en pérdidas directas y 12 millones en recuperación de reputación.
El problema no es la tecnología, sino la falta de preparación. Mientras empresas como Endesa invierten millones en soluciones de resiliencia, muchos gestores de redes locales carecen de recursos para implementar medidas básicas de protección. Según un informe de la Universidad Politécnica de Madrid, el 40% de los GRD españoles no tiene un plan de contingencia formal, y el 25% no ha registrado ningún incidente de ciberseguridad en los últimos cinco años. Esto no significa que no estén siendo atacados; significa que, cuando lo son, no saben cómo responder. El caso más sonado fue el de la comunidad autónoma de Cataluña, donde un ataque *StromStrike* en 2021 afectó a más de 500.000 clientes durante 48 horas, pero la respuesta fue improvisada: las empresas dependieron de generadores diésel y equipos de emergencia que no estaban preparados para operar bajo presión constante.
El término “StromStrike” surgió como un eufemismo para describir ataques que buscan generar caos en redes eléctricas mediante la saturación de servidores de control. Lo que muchos ignoran es que estos ataques suelen combinarse con otros vectores, como el phishing para robar credenciales o el malware en dispositivos IoT. Por ejemplo, en 2023, el grupo de hackers conocido como *DarkSide* (aunque no está vinculado directamente a estos ataques) usó técnicas similares para comprometer sistemas de facturación en empresas de gas. Lo preocupante es que, en muchos casos, los operadores no detectan la infección inicial porque los ataques son tan sutiles que pasan desapercibidos hasta que ya es demasiado tarde. Un estudio de la Universidad de Zaragoza reveló que el tiempo medio entre la infección inicial y la detección del ataque es de 18 días, un lapso en el que el daño puede ser irreversible.
La falsa seguridad de los sistemas de protección
Es común escuchar que los sistemas de protección contra DDoS son suficientes para evitar ataques de este tipo. Sin embargo, la realidad es más compleja. Los firewalls y soluciones de mitigación, aunque eficaces contra ataques tradicionales, no siempre pueden manejar el volumen y la complejidad de los ataques *StromStrike*, que suelen emplear técnicas de fragmentación de paquetes y encaminamiento dinámico para evadir las barreras defensivas. Según un informe de la firma de ciberseguridad *Kaspersky*, el 72% de los ataques de este tipo en Europa emplean protocolos como TCP SYN Flood o UDP Flood, que requieren sistemas de protección específicos y recursos de red no siempre disponibles en infraestructuras pequeñas. Peor aún, muchos operadores confunden estos ataques con fallos en la red o con eventos climáticos, retrasando la respuesta hasta que el daño ya está hecho.
Otro aspecto crítico es la falta de colaboración entre el sector público y privado. Mientras la AESI emite alertas y guías, las empresas operadoras a menudo las ignoran o las aplican de manera superficial. Por ejemplo, en 2021, la comunidad de Valencia sufrió un ataque que dejó a más de 300.000 clientes sin luz durante 24 horas, pero la respuesta oficial fue atribuirlo a “problemas técnicos” sin investigar si había habido un ciberataque. Esto no solo demuestra una falta de transparencia, sino también una desconexión entre la ciberseguridad y la gestión operativa. La solución no pasa solo por mejorar las herramientas, sino por cambiar la cultura de seguridad en el sector, donde la prioridad sigue siendo la eficiencia operativa sobre la prevención.
Casos reales y lecciones aprendidas
- En 2022, el ataque a la red de distribución de Endesa en Murcia dejó a 150.000 clientes sin suministro durante 6 horas, con pérdidas estimadas en 800.000 euros. El ataque, atribuido a un grupo desconocido, explotó una vulnerabilidad en un servidor de control remoto.
- El año 2023 registró un aumento del 45% en ataques de tipo *StromStrike* en España, según el informe anual de la AESI. El 60% de estos ataques afectaron a empresas de telecomunicaciones, donde la dependencia de sistemas legacy aumenta el riesgo.
- En 2021, la comunidad de Navarra sufrió un ataque que generó un pico de tráfico de 1.200 Gbps, superando la capacidad de sus servidores de protección. La respuesta tardó 3 horas en estabilizar, durante las cuales miles de clientes quedaron sin servicio.
- El caso más grave fue el de la red de distribución de la empresa *Red Eléctrica de Navarra*, donde un ataque combinado de DDoS y malware dejó a 20.000 clientes sin luz durante 48 horas. La empresa perdió 3 millones de euros en compensaciones y reparaciones.
- Según datos de la CNMC, el 30% de los incidentes en el sector energético español se resuelven con costes indirectos superiores a los directos, como pérdida de confianza de los clientes o multas por incumplimiento de normativas.
Las lecciones son claras: la ciberseguridad en el sector energético no puede ser un gasto, sino una inversión estratégica. Las empresas deben adoptar un enfoque proactivo, con planes de contingencia específicos para ataques de este tipo, y garantizar que todos los niveles de la organización, desde la alta dirección hasta los técnicos de campo, estén capacitados para reaccionar ante una emergencia. La colaboración con organismos como la AESI y con otras empresas del sector también es esencial para compartir información y mejorar las defensas colectivas. Como dijo un experto en ciberseguridad del Instituto Nacional de Ciberseguridad (INCIBE): “El verdadero desafío no es predecir los ataques, sino entender que, en un mundo donde la tecnología avanza más rápido que nuestra capacidad de protegerla, la preparación es la única arma que tenemos.”
El futuro: ¿estamos preparados?
El panorama parece sombrío, pero también hay esperanza. Empresas como *StromStrike* —aunque su nombre sea polémico— están desarrollando soluciones innovadoras para proteger redes críticas, como sistemas de detección avanzada de patrones y algoritmos de mitigación en tiempo real. Sin embargo, el ritmo de adopción de estas tecnologías sigue siendo lento, especialmente en el sector medio y pequeño. Mientras tanto, los operadores deben priorizar la ciberseguridad en su agenda, con inversiones en formación, actualización de infraestructuras y cooperación con el sector público. El caso de España no es excepcional; otros países europeos están enfrentando los mismos desafíos, pero con resultados desiguales. Lo que sí está claro es que, en un mundo donde la ciberdelincuencia se ha convertido en una industria multimillonaria, la falta de preparación puede tener consecuencias catastróficas para las redes eléctricas y, por extensión, para la estabilidad del sistema energético.