Lo veo claro: el ciberataque que ha expuesto los datos de 31.000 titulares reales de sociedades en Liechtenstein no es obra de un delincuente de poca monta. Es una operación de inteligencia económica de primer orden. Los detalles del golpe los confirmó el propio gobierno del Principado a finales de julio, aunque la investigación sigue abierta y la atribución técnica oficial brilla por su ausencia.
El registro de beneficiarios últimos de empresas y fundaciones es una mina de inteligencia. Ahí constan nombres reales, fechas de nacimiento, nacionalidades, países de residencia y, lo más jugoso, el porcentaje exacto de control o propiedad de cada persona. Hablamos de la auténtica caja fuerte digital de los accionistas fantasma, un objetivo de altísimo valor para cualquier servicio de inteligencia extranjero o grupo APT con patrocinio estatal.
Le pongo en contexto si no ha seguido esta historia: la base de datos se creó para cumplir con los estándares del Grupo de Acción Financiera Internacional (GAFI) y las directivas europeas contra el blanqueo. Irónicamente, la herramienta diseñada para destapar el dinero sucio se ha convertido en el vector de ataque perfecto para quien quiera fichar, chantajear o reclutar a las élites financieras que esconde el Principado alpino. Y créame, Liechtenstein esconde muchas más de las que imagina.
Un registro de titulares reales en el punto de mira
La intrusión tuvo lugar en la madrugada del miércoles al jueves de la semana pasada. Los equipos de respuesta lo detectaron el jueves por la mañana, sellaron los sistemas y los tiraron abajo de inmediato. Las autoridades han insistido en que no hay pruebas de que se alterara o borrara ningún registro, lo cual es casi peor: el objetivo fue el robo puro de información, no el sabotaje. Ese perfil de ataque, la exfiltración limpia y discreta, es la firma de un servicio de inteligencia, no de un grupo de ransomware en busca de rescate.
Los datos expuestos incluyen el nombre completo, fecha de nacimiento, nacionalidad, país de residencia y la naturaleza y extensión de la propiedad o control de cada titular. Con ese botín, un servicio extranjero puede trazar redes fiduciarias enteras, identificar testaferros, detectar sanciones evadidas o construir perfiles de vulnerabilidad para operaciones posteriores de HUMINT. Sostengo desde hace tiempo que el verdadero campo de batalla de la inteligencia económica se libra en los registros mercantiles y las listas de titulares reales. Lo que pasó en Liechtenstein es la demostración.
El robo de datos del registro no busca destruir, busca fichar. Fichar para influir, para anticipar, para controlar. Eso es inteligencia de Estado con todas las letras.
Anatomía de la exfiltración: el arte del sigilo digital
Aunque el gobierno del Principado no ha revelado el vector técnico, el patrón recuerda a intrusiones de tipo APT respaldadas por Estados. Lo más probable es que los atacantes hayan empleado un zero-day o una campaña de spear-phishing muy dirigida, con un payload que les diera acceso persistente al servidor del registro sin activar las alarmas. No se ha reportado cifrado de datos ni nota de extorsión; solo sustracción silenciosa. Eso descarta a los ciberdelincuentes comunes y pone el foco en agencias como el SVR, el GRU o el MSS chino, que llevan décadas coleccionando este tipo de inteligencia patrimonial.
No es la primera vez que un paraíso fiscal centroeuropeo se convierte en blanco. En 2017, los Paradise Papers destaparon cómo cientos de clientes españoles utilizaban Liechtenstein para aparcar su patrimonio. Aquella filtración fue masiva y vía despacho de abogados, pero este ataque es quirúrgico: quién está detrás de cada sociedad, con su fecha de nacimiento y su nacionalidad. Un servicio de inteligencia no necesita más para empezar a tirar de un hilo que acabe en un diplomático, en un empresario con conexiones en Moncloa o en un testaferro de una red de evasión de sanciones.
Me consta que el CNI y el CCN-CERT monitorizan de cerca este tipo de incidentes, sobre todo cuando hay españoles en las bases de datos comprometidas. Le recuerdo que no es raro que grandes patrimonios nacionales mantengan fundaciones en el Principado para blindar inversiones. La cuestión no es si algún español figura en los 31.000 registros; la cuestión es cuántos y con qué nivel de exposición.
Alguien ha entrado en la nevera de los secretos financieros y ha sacado una foto de todo lo que había dentro. Saber quién la tiene ahora es la única pregunta que importa.
Dossier Moncloa: Ojos en la Sombra
Si tuviera que apostar, y teniendo en cuenta el historial de los grandes servicios, diría que la huella apunta hacia el espionaje ruso o chino, pero sin descartar a un actor occidental con intereses en cartografiar las redes de oligarcas rusos sancionados. El SVR lleva años perfeccionando la técnica de infiltrarse en registros mercantiles de paraísos fiscales caribeños y europeos. El GRU, por su parte, ya demostró con operaciones como NotPetya que puede combinar la destrucción con la recopilación de inteligencia. Y el MSS chino tiene una sed insaciable de información corporativa.
El vector de amenaza es inequívoco: una intrusión cibernética a un registro gubernamental con fines de inteligencia económica y, potencialmente, de presión diplomática encubierta. La agencia atacante, aunque no confirmada, se mueve con el sigilo de un servicio estatal; la defensora es la pequeña pero competente autoridad de ciberseguridad del Principado, que actuó con rapidez al detectar la brecha. En tercera línea miran atentamente todos los servicios de inteligencia financiera europeos, incluido el Sepblac español, y cada agencia de contrainteligencia que protege a sus nacionales con patrimonio oculto.
La clasificación estimada del material expuesto es, como mínimo, de nivel Confidencial y, para según qué figuras, claramente Reservado o superior. Estamos hablando de datos que en manos de un adversario pueden construir un mapa de vulnerabilidad personal y corporativa de altísimo valor para cualquier operación de bandera falsa o para un reclutamiento forzado. Ya advertí en El quinto elemento que el próximo 11S empezará con un clic. Esta intrusión tiene todas las papeletas para ser el clic que antecede a una operación de influencia mucho más amplia.
La intrahistoria de esta crisis ofrece una lectura paralela. El Principado es un socio financiero histórico de España, y un agujero en su registro de titulares reales puede tener consecuencias directas para la Agencia Tributaria y para el Ministerio de Economía. Fuentes de la Casa de Castelló, con las que he podido contrastar estas horas, indican que el CNI ya ha ofrecido colaboración técnica a las autoridades de Vaduz, aunque sin confirmación oficial. Lo que está en juego no es solo la privacidad de 31.000 personas: es la confianza en el sistema europeo de lucha contra el blanqueo, un sistema que ahora está agujereado por donde más duele.
Reconozco que me preocupa más lo que no sabemos que lo que nos han contado. La ausencia de atribución clara, la rapidez con la que se ha sellado la información, y el hecho de que no haya habido un goteo de datos en foros oscuros sugieren que el botín está en manos de quien no necesita venderlo. Ese es el peor escenario.
El espionaje no se mide por las redes que se desmantelan, sino por las que siguen activas el tiempo suficiente como para que ya no importe.
