Los cables submarinos a través de los de los cuales pasa la energía eléctrica y las redes de telecomunicaciones se rompen y dejan a ciudades incomunicadas o sin electricidad. Los sistemas informáticos de varios hospitales de una de las mayores ciudades del mundo se caen y 800 operaciones quirúrgicas deben ser canceladas. Los gobiernos locales de un país del G-7 pierden su conexión a internet por ataques a la red terrestre de fibra óptica. Una serie de incendios provocados en conexiones de fibra óptica paralizan los trenes de alta velocidad de dos países.
No es un relato del Apocalipsis. Todo eso ha sucedido en seis países de Europa -Finlandia, Estonia, Reino Unido, Bélgica, Alemania y Francia- en los últimos tiempos.
Han sido ataques de diversos tipos. Barcos rusos y chinos han roto 11 cables de telecomunicaciones y de transporte de energía en el mar Báltico en los últimos 15 meses. Tres grandes hospitales londinenses sufrieron un ciberataque en junio. Las redes de fibra óptica de Francia han sido saboteadas al menos en dos ocasiones -abril y julio de 2024-, mientras que una serie de incendios paralizó la casi totalidad de la red de trenes de alta velocidad de ese país el verano pasado en una acción que también afectó al transporte ferroviario de pasajeros de Bélgica, Reino Unido y Alemania y dejó en tierra a un millón de personas.
Con todos esos antecedentes, no es de extrañar que el reciente cierre del aeropuerto londinense de Heathrow -el mayor de Europa y el quinto del mundo por tráfico de pasajeros- por el incendio de una simple subestación eléctrica desatara la especulación. La apertura de una investigación por posible terrorismo por el Gobierno británico reforzó la teoría de un sabotaje, a pesar de que no hay ninguna evidencia de ello. Por ahora, lo que el cierre de Heathrow ha puesto de relieve es la descoordinación de las autoridades, con el responsable de Red Eléctrica, John Pettigrew, alegando que había otras fuentes de suministro disponibles en el aeropuerto, o sea culpando indirectamente al máximo responsable de la instalación, Thomas Wildbye.
Esas acciones sólo ponen de manifiesto la vulnerabilidad de las llamadas infraestructuras críticas en todo el mundo y especialmente en Europa, un continente muy avanzado tecnológicamente, con una gran integración entre las diferentes economías, pero que hasta ahora no se había tomado excesivamente en serio la seguridad.
Ahí entra en juego un actor importante: Rusia. Las tensiones entre Moscú y Occidente, la invasión de Ucrania y, ahora, la guerra fría entre la Unión Europea y Rusia pueden acabar teniendo como campo de batalla las infraestructuras críticas europeas. Como declaró en noviembre el ex director de la Oficina Federal para la Protección de la Constitución -que es el nombre del servicio de espionaje de Alemania-, Thomas Haldenwang, "llevamos observando desde hace tiempo acciones agresivas de los servicios de inteligencia rusos. Rusia está usando todas las herramientas, desde la influencia en el debate político hasta los ciberataques a las infraestructuras críticas o sabotajes a una escala significativa".
Pero incluso aunque se lograra una distensión entre la UE y Reino Unido con Rusia, es probable que ese último país siguiera manteniendo esta guerra asimétrica contra las infraestructuras. "Cuando Rusia mira a Occidente, lo hace desde una percepción de debilidad relativa. Eso le lleva a adoptar una estrategia de sobreactuación y de exceso de agresión", explica una persona que ha desempeñado puestos oficiales en ese país. Según esa tesis, "se acabe o no la guerra de Ucrania, los rusos usarán el ámbito cibernético para atacar. Su objetivo es demostrar que, si quieren, pueden hacer mucho daño". Ése es el terreno de la guerra híbrida, un concepto acuñado hace 18 años que combina diferentes formas de combate -desde la propaganda hasta las acciones directas, pasando por el sabotaje y la ciberguerra- y al que el GRU, que es el servicio secreto de las Fuerzas Armadas rusas, destina gran parte de sus esfuerzos.
El temor a estas acciones de Moscú es precisamente uno de los motivos que están detrás de las tensiones entre la UE y Rusia. En Europa son muchos los que creen que el Gobierno de Vladimir Putin usa los ataques a infraestructuras críticas como una manera de probar la voluntad política de Occidente. Para los defensores de esa teoría, si Rusia logra un acuerdo de paz en Ucrania que considere favorable a sus intereses, se armará para atacar a los países bálticos en el futuro. Entre tanto, Moscú probará la voluntad política y la capacidad tecnológica europeas por medio de acciones de ciberguerra y sabotaje contra estas infraestructuras.
Para Rusia, "atacar las infraestructuras críticas es el patrón-oro", explica Alejandro Romero, fundador y consejero delegado de la empresa de inteligencia digital Alto Intelligence. Un informe del think tank estadounidense Centro para los Estudios Internacionales y Estratégicos (CSIS, según sus siglas en inglés) publicado el día 18 de este mes sostiene que las infraestructuras críticas, entendidas como oleoductos y gasoductos, red eléctrica, y cables submarinos, han supuesto el 21% de las acciones de Rusia contra Occidente en los últimos tres años. Pero si a esa cifra se suman los ataques contra las redes de transporte y las empresas –dos conceptos que para muchos entran dentro de las infraestructuras críticas– el porcentaje llega al 69%. Según ese documento, Rusia llevó a cabo tres ataques contra Europa en 2022; en 2024, la cifra ya había alcanzado los 34.
Es probable que los números reales sean más altos. "Hay muchas amenazas híbridas que no se detectan o, si son descubiertas, no hay evidencia para atribuir la responsabilidad a nadie. Ése es el caso de Europa, donde Rusia lleva atacando las infraestructuras críticas por debajo del nivel de detección desde hace 20 años", sostiene Romero, que añade que "los ataques también sirven para recabar información, inteligencia y comprobar la resiliencia del adversario".
La fragilidad de las infraestructuras críticas es en parte consecuencia del propio crecimiento económico. Según la consultora especializada IoT Analytics, a finales del año pasado había 18.800 millones de dispositivos conectados a internet en todo el mundo. Eso genera una lista interminable de riesgos para las infraestructuras. Así es como el término infraestructuras críticas, que se popularizó hace 29 años, cuando Bill Clinton creó una comisión consultiva para mejorar su gestión y seguridad, se ha ampliado hoy hasta abarcar la casi totalidad de la actividad económica. En la actualidad, las infraestructuras críticas abarcan 11 sectores, que van desde la alimentación y distribución hasta la nube. Como explica Nicolás de Pedro, investigador del think tank británico Institute for Statecraft, "estamos descubriendo que hay muchas más infraestructuras críticas de las que creíamos, y que atacarlas es muy barato".
Algunas de esas vulnerabilidades son tremendamente sofisticadas. El año pasado, EEUU decidió subvencionar la fabricación por la empresa japonesa Mitsui de grúas portuarias para barcos contenedores. El objetivo es reemplazar las grúas de la empresa estatal china ZPMC que, según Washington, tienen un software que identifica el origen y el destino de los contenedores y pasa esa información a Pekín, que incluso podría hacer que esas máquinas dejen de funcionar.
Pero otras son muy simples. Nada hay tan pedestre como que un barco arrastre su ancla por el lecho marino durante 50 ó 100 kilómetros, partiendo así los cables submarinos a través de los cuales viaja más del 95% del tráfico de internet del mundo. Sin embargo, eso es lo que Dinamarca, Alemania y Suecia sospechan que hizo en noviembre el bulk carrier chino Yi Peng 3, que fue interceptado en aguas internacionales por la Armada danesa. Un mes después, Finlandia apresó por otro incidente similar en sus aguas territoriales al petrolero Eagle S, que forma parte de la flota fantasma que Moscú usa para eludir las sanciones internacionales por la invasión de Ucrania.
El Yi Peng 3 y el Eagle S fueron autorizados a seguir su rumbo tras uno y dos meses de detención, respectivamente, aunque varios de los tripulantes del navío ruso no pueden salir de Finlandia. Sus casos demuestran las complejidades de la lucha contra este tipo de acciones. El barco chino había sido apresado en aguas internacionales, lo que limitaba la capacidad de Dinamarca y otros países para retenerlo e inspeccionarlo. En cuanto al Eagle S, las eléctricas finlandesa y estonia no tenía ningún interés en quedárselo como indemnización por los cables submarinos que presuntamente había roto.
Esa falta de instrumentos jurídicos y operativos es consecuencia de la relativa novedad del problema. En muchos casos no está claro de qué autoridad es competencia la protección de esos sistemas. ¿Es cosa de las Fuerzas Armadas o de las de seguridad? A eso se suma el hecho de que muchas de estas infraestructuras pasan por varios países. La Unión Europea y la OTAN han reforzado la colaboración y, de hecho, drones estadounidenses están patrullando en busca de barcos sospechosos.
En un mundo cada vez más interconectado y dependiente de redes que transportan datos y energía de manera descentralizada y, al mismo tiempo, interconectada, estos incidentes, fortuitos o causados por gobiernos o ciberdelincuentes, van a continuar. El cierre de Heathrow, igual que el caos aeroportuario de agosto del año pasado, puede convertirse en parte de la normalidad del siglo XXI.