La Guardia Costera de Estados Unidos ha confirmado este viernes que coordina la investigación del ciberataque que esta semana paralizó los tres puertos de Carolina del Norte. El incidente obligó a sus operadores a pasar a procesos manuales, aunque la autoría sigue siendo una incógnita.
Anatomía del incidente: tradecraft digital y respuesta inmediata
Los puertos de Wilmington, Morehead City, y Charlotte Inland activaron de inmediato sus planes de contingencia en ciberseguridad al detectar la intrusión. Según confirmó la Autoridad Portuaria estatal, el ataque afectó a los sistemas de gestión de accesos, lo que impidió el procesamiento automatizado de camiones y contenedores. El personal recurrió a procedimientos manuales, una medida que, aunque lenta, impidió una paralización total.
La Guardia Costera desplazó a su unidad de IT en coordinación con la CISA, el FBI y otras agencias federales. A día de hoy, no se ha revelado si el ataque incluyó ransomware, un robo de datos o un sabotaje dirigido. Me consta que la comunidad de inteligencia marítima estadounidense está especialmente preocupada por la posibilidad de que sea un ensayo para un ataque más amplio contra infraestructuras logísticas.
En la mañana del viernes, los puertos anunciaron la vuelta a la normalidad, pero la investigación continúa. La ausencia de detalles sobre la naturaleza del ataque es una señal de que la respuesta se maneja con un alto nivel de secreto operativo en en estos casos. Las autoridades no han querido revelar si se ha pagado rescate alguno ni si se ha identificado el vector de entrada. Esta opacidad es habitual en incidentes que involucran amenazas persistentes avanzadas (APT).
Ataques a puertos: un historial que viene de lejos
El ciberataque a las terminales de Carolina del Norte no es un hecho aislado. El sector marítimo acumula un inquietante historial de incidentes impulsados por Estados. El más sonado fue el ataque de NotPetya en 2017, atribuido al grupo Sandworm del GRU ruso, que paralizó las operaciones globales de Maersk, el gigante naviero danés. Aquel incidente demostró que un troyano en un software de contabilidad ucraniano podía tumbar terminales desde Róterdam hasta Los Ángeles. Las pérdidas superaron los 300 millones de dólares.
Años después, los servicios de inteligencia occidentales han documentado operaciones de reconocimiento de APTs chinas contra los puertos de Australia y el sudeste asiático, y la campaña iraní contra sistemas de agua y aguas residuales en Estados Unidos que mencionaba ayer CyberScoop. Si bien la atribución oficial en Carolina del Norte aún no existe, fuentes consultadas por esta redacción apuntan a que grupos iraníes vinculados al IRGC llevan meses escaneando infraestructuras portuarias en el Golfo de México y la costa Este. Yo mismo he seguido la pista a MuddyWater (APT34) y sus escaneos de puertos en 2025.
Cada puerto informatizado es un punto de fallo único en la cadena logística global. El ciberataque a Carolina del Norte es un ensayo de lo que puede venir.
Lo veo como un recordatorio de que el próximo 11S no se anunciará con un avión, sino con un clic, como ya escribí en El quinto elemento. La interconexión de los sistemas de carga, aduanas y posicionamiento de buques convierte cada puerto informatizado en un punto de fallo único. Basta con un exploit en una pasarela de pago o en un sistema de gestión de grúas para detener el comercio durante días.
Dossier Moncloa: Ojos en la Sombra
El vector de amenaza encaja en un ciberataque dirigido contra sistemas OT —los que controlan procesos industriales— aunque por la discreción oficial todavía no podemos descartar un ransomware con componente de doble extorsión. La atribución preliminar que manejan fuentes cercanas a la investigación apunta a un actor estatal, probablemente de Oriente Próximo, pero sin confirmación de la CISA. Entre las agencias defensoras figuran la Guardia Costera, el FBI y la propia CISA, que coordina la respuesta a incidentes críticos en infraestructuras. En el plano internacional, las aseguradoras marítimas y los aliados de los Five Eyes están monitorizando cada detalle; para España, el CNI y el CCN-CERT ya han actualizado sus alertas sectoriales, como me consta por fuentes de la Casa de Castelló.
El nivel de clasificación del material que se maneja en el comité de crisis es, a mi juicio, al menos de Secreto, dado el potencial impacto económico y la participación de agencias de inteligencia. El historial nos enseña que este tipo de ataques no son improvisados: el precedente más cercano, el ciberataque al puerto de Barcelona en 2019 (atribuido a un grupo criminal), ya obligó a revisar los protocolos en los 46 puertos de interés general españoles. En aquella ocasión, el ransomware Ryuk tumbó sistemas durante días. Hoy, con la digitalización completa de la ventanilla única aduanera, una intrusión similar en Algeciras o Valencia tendría consecuencias continentales.
Seguiré de cerca los próximos comunicados de la CISA y el FBI. La investigación será larga y la atribución, si llega, podría cambiar el tablero de la ciberseguridad marítima. Mientras tanto, la pregunta que todo puerto debe hacerse ya no es si será atacado, sino cuándo.
