Grupo vinculado a Irán derribó planta británica durante cuatro días en ataque descrito como prueba de concepto

Un informe del Telegraph publicado el 23 de agosto expuso lo que las fuentes de seguridad británicas clasifican como el primer ciberataque que causó la interrupción de una planta eléctrica en el Reino Unido. El atacante, vinculado al Cuerpo de la Guardia Revolucionaria Islámica (IRGC) de Irán, mantuvo un pequeño generador desconectado durante cuatro días consecutivos en julio. Funcionarios consultados por CNBC y Cybernews confirmaron el incidente el domingo, afirmando que la red nacional nunca estuvo en riesgo.

El objetivo no fue divulgado. El gobierno solicitó confidencialidad sobre la identidad de la planta afectada, y fuentes militares describieron la operación como un ejercicio demostrativo, no como un intento de causar daño colectivo. Según el Telegraph, el objetivo del IRGC era demostrar que puede penetrar y desactivar activos sensibles cuando lo desee, un cálculo que se alinea con el momento diplomático: Londres recientemente autorizó a Washington a operar contra Irán desde bases británicas, y Teherán señala que posee vectores de retaliación más allá del teatro militar convencional.

El Centro Nacional de Ciberseguridad fue activado inmediatamente después de la intrusión, y el gobierno británico convocó una reunión reservada con los CEOs de las operadoras de energía, además de enviar orientación escrita a las empresas del sector. No hubo declaraciones públicas del operador de la planta afectada, y el Ministerio de Energía mantuvo silencio cuando fue cuestionado sobre el caso por el Telegraph.

El ataque coincidió con una ola paralela en utilities de EE. UU.

El incidente británico no fue aislado. Fuentes citadas por el informe del Telegraph y replicadas por Cybernews describen una ola simultánea contra la infraestructura de agua en Estados Unidos, que afectó a operadoras en 12 estados y llegó a la Casa Blanca. Ninguno de los incidentes estadounidenses causó interrupciones prolongadas en el servicio, pero todos fueron tratados como parte de la misma campaña coordinada.

La lectura conjunta cambia el cálculo de riesgo para los directores de seguridad en operadoras de utilities de ambos lados del Atlántico. En el Reino Unido, el sector se había preparado principalmente contra ransomware financiero. En el caso británico, el vector fue un actor estatal con un objetivo de señalización geopolítica, no de extorsión. Esto eleva la matriz de amenazas a un nivel en el que la seguridad operacional (OT) necesita lidiar con adversarios que aceptan riesgos legales y sanciones internacionales a cambio de mensajes políticos.

El Departamento de Energía de EE. UU. ya había elevado el nivel de alerta para las operadoras de agua en 2024, y una directiva de junio de la CISA comenzó a exigir segmentación obligatoria entre TI corporativa y sistemas de control industrial. No existe una directiva equivalente hoy en el Reino Unido a nivel regulatorio, solo orientación técnica del NCSC.

Qué hacer con la lectura de 'prueba de concepto'

Para los CIOs de operadoras críticas en Europa continental y Asia, el punto central del informe es que el IRGC demostró su capacidad para mantener el objetivo indisponible durante cuatro días enteros, tiempo suficiente para forzar el uso de reservas técnicas en caso de que el objetivo fuera mayor. La palabra que circula en Whitehall, según el Telegraph, es "escalable". La misma técnica aplicada a una unidad de carga base produciría un apagón regional.

Las operadoras alemanas y polacas ya habían incrementado los gastos en detección en sistemas ICS/SCADA tras los ataques rusos a la red ucraniana. En Japón, donde Mizuho y MUFG comenzaron a realizar ejercicios de guerra cibernética contra la infraestructura financiera, la preocupación equivalente es que el sector eléctrico sirva de escalón para atacar bancos que dependen de energía continua. Fuera de la OCDE, Brasil sigue teniendo el sector de utilities parcialmente expuesto: el ONS reforzó la seguridad perimetral tras el apagón de 2023, pero alrededor del 40% de las distribuidoras aún mantienen convergencia TI/OT sin segmentación lógica auditada, según un informe de febrero del Centro de Estudios de Seguridad de la Información del CERT.br.

La nueva geografía del riesgo cibernético estatal contra utilities exige una respuesta que la mayoría de las operadoras aún no tiene: capacidad de forense en OT con fuerzas conjuntas del organismo nacional de ciberseguridad, y un manual de contención que acepte detener la producción antes de decidir si el adversario es criminal o estatal. Mientras esta distinción dependa de un análisis post-facto, cuatro días fuera de línea será el piso, no el techo.