La madrugada del 29 de diciembre de 2025, un operador de turno en una planta de cogeneración polaca vio cómo las turbinas de vapor se paraban súbitamente. No era un fallo mecánico: un ciberataque acababa de cruzar la frontera invisible entre los sistemas informáticos y el control industrial. Lo que al principio se tomó por un error de mantenimiento resultó ser un asalto quirúrgico que dejó sin agua caliente y calefacción a 50.000 vecinos durante horas. El análisis del CERT polaco, publicado tras más de tres meses de investigación, acaba de revelar cómo unos atacantes pasaron del mundo IT al OT explotando un diseño de red que cualquiera podría tener en su planta.
El vector de entrada fue tan sencillo como demoledor. Todo arrancó en un parque eólico, donde un dispositivo Fortinet VPN y firewall estaba expuesto a internet. Desde ahí, los intrusos localizaron un router celular Teltonika RUTX50, montaron un túnel SSH y llegaron a una APN privada gestionada por el operador del sistema de distribución. Esa APN privada se convirtió en la autopista directa hacia el corazón operativo de la planta. El CERT polaco ha sido tajante: nunca antes se había documentado un vector de ataque como este en un incidente real.
La ruta del ataque: de una VPN Fortinet a los PLC Siemens
Una vez dentro de la red de control, los atacantes encontraron un PLC Wago que hacía de pasarela hacia la red operacional. Durante aproximadamente una semana hicieron reconocimiento silencioso. Luego conectaron con los PLC Siemens que gobernaban la turbina de vapor y el sistema de tratamiento de agua. Los pusieron en modo STOP, les asignaron una contraseña y bloquearon cualquier intento de los operadores por recuperar el control. El resultado fue inmediato: la turbina se apagó, el proceso de cogeneración colapsó y el suministro de agua caliente a 50.000 residentes quedó interrumpido.
El destrozo no acabó ahí. Los atacantes corrompieron la tabla de particiones del controlador Wago para inutilizarlo como puerta de entrada. Ni siquiera un reseteo de fábrica logró revivirlo, y los investigadores forenses se quedaron sin registros valiosos del dispositivo. Equipos de Moxa, variadores de frecuencia ABB y Schneider Electric también fueron tocados durante la intrusión, aunque el personal de la planta logró restablecer el servicio antes de que el corte se convirtiera en una emergencia mayor.
El diseño de red que permitió el ataque es más común de lo que a cualquiera le gustaría admitir. Los operadores de distribución exigen que la comunicación con las RTU se haga mediante protocolo serie DNP3.0, y así estaba configurado. Pero nadie había definido cómo gestionar la interfaz administrativa del router celular. Esa omisión burocrática abrió la puerta a un sabotaje OT que no necesitó ninguna vulnerabilidad de día cero. Bastó un dispositivo de borde alcanzable, una APN privada ya presente en el camino y la paciencia de un actor estatal.
Bastó una VPN mal configurada y una APN privada para que un actor estatal pusiera de rodillas una planta de cogeneración. No hizo falta un zero‑day.
Le pongo en contexto. El 29 de diciembre de 2025, Polonia sufrió una ofensiva coordinada contra treinta instalaciones de energía renovable y una gran planta de cogeneración. Aquel capítulo se documentó en enero de 2026, pero el episodio de la planta más pequeña quedó fuera por la complejidad del análisis forense. Ahora sabemos que ambos ataques compartían inquilino.
Sandworm y la sombra del GRU: una década de sabotaje eléctrico
ESET, la firma de ciberseguridad que destapó el wiper DynoWiper usado en la ofensiva del 29 de diciembre, ha atribuido la operación al grupo Sandworm, el escuadrón cibernético vinculado al GRU ruso. Lo hace con confianza media, un grado de certeza significativo cuando hablamos de actores que borran huellas con la meticulosidad de un servicio de inteligencia militar. Sandworm lleva una década apuntando a redes eléctricas, y su firma es inequívoca: el apagón de Ucrania en 2015, el ransomware destructivo NotPetya en 2017 y ahora Polonia.
Hay un simbolismo macabro en la fecha escogida. El 29 de diciembre no solo es pleno invierno, con la demanda energética disparada; además marcaba el 10.º aniversario del primer apagón inducido por código malicioso contra la red eléctrica ucraniana, aquella noche de 2015 en la que 230.000 personas se quedaron a oscuras. Entonces, como ahora, el vector fue el mismo: pasar de sistemas IT a OT mediante configuraciones de red débiles, sin necesidad de exploits sofisticados.
Lo que el informe del CERT polaco nos dice con educación técnica es que el salto de IT a OT ya no depende de un ingeniero malicioso dentro de la planta ni de un ataque de cadena de suministro. Basta con encontrar un dispositivo de borde mal asegurado y una ruta lógica hacia la red de control. En el caso polaco, la APN privada fue el camino más corto entre un Fortinet expuesto y un PLC Siemens. El factor humano —la decisión de no securizar la interfaz administrativa del router— hizo el resto.
Dossier Moncloa: Ojos en la Sombra
El vector de amenaza que retrata este incidente no es una novedad conceptual, pero sí lo es en su ejecución real. Se trata de un sabotaje OT puro, ejecutado sin malware de por medio más allá del wiper DynoWiper, y basado en el movimiento lateral a través de una APN privada. Es un patrón que cualquier operador de infraestructura crítica debería estar simulando ya en sus ejercicios de contrainteligencia cibernética. Por mi experiencia, sé que pocos lo están haciendo. Ya advertí en El quinto elemento que “el próximo 11S empezará con un clic, y lo hará desde el sistema de alguien que no se ha actualizado”. Esta vez el clic fue un túnel SSH sobre un router Teltonika.
Las agencias implicadas dibujan un tablero tripartito. En el lado atacante, Sandworm responde a la Dirección Principal de Inteligencia del Estado Mayor ruso, con un historial de sabotaje eléctrico que incluye Ucrania, los Juegos Olímpicos de Invierno de 2018 y ahora Polonia. En el lado defensor, el CERT Polonia ha demostrado una capacidad forense notable —tres meses de análisis— y una transparencia que otros Estados europeos deberían emular. Los terceros que miran son todos nosotros: la OTAN, el INTCEN de la UE, el CNI español y el CCN‑CERT. Polonia es territorio aliado y frontera este de la Alianza, y un sabotaje a su red energética en pleno invierno es un mensaje inequívoco.
El nivel de clasificación estimado del material técnico recogido por el CERT es difícil de precisar sin acceso a los registros originales, pero a juzgar por la naturaleza de los sistemas comprometidos —PLC Siemens, variadores de frecuencia, routers industriales— y la participación de un grupo APT con capacidades militares, estimo que los detalles de la investigación forense manejan material de clasificación Reservado o superior dentro de los canales bilaterales de la OTAN. Lo que ha trascendido al público es solo la capa de concienciación. La capa operativa —indicadores de compromiso, técnicas de pivoteo, trazabilidad de las IP de origen— circula ya por los centros de fusión de inteligencia de los Five Eyes y, confío, por los grupos de trabajo del CCN‑CERT.
Si usted sigue de cerca las operaciones de Sandworm, recordará que en 2017 el grupo fue capaz de tumbar desde sistemas informáticos ucranianos hasta la red logística de Maersk con NotPetya, un ransomware que jamás pretendió cobrar rescate. Aquel golpe costó miles de millones de euros en daños colaterales. La lección de Varsovia es más modesta en escala, pero más inquietante en su sencillez técnica. No hizo falta un payload destructivo planetario; bastó con conocer la arquitectura de red de una planta pequeña y tener la paciencia de un servicio de inteligencia. La próxima víctima no tiene por qué estar en el flanco este de la OTAN. España alberga más de 8.000 infraestructuras críticas conectadas a internet, y el CNI lo sabe mejor que nadie.
El cierre del informe del CERT polaco deja un regusto amargo: “Los atacantes dañaron algunos dispositivos mientras trataban de cubrir sus huellas, y en el caso del Wago el controlador no pudo ser recuperado ni con un reseteo de fábrica”. Eso es contrainteligencia aplicada sobre hardware industrial, no una simple intrusión oportunista. Y demuestra que, cuando un Estado decide sabotear, el borrado de pruebas está tan planificado como el ataque mismo. El siguiente hito concreto que vigilo es la próxima actualización del informe de amenazas del ODNI sobre infraestructuras energéticas europeas, prevista para otoño. Para entonces, este incidente ya habrá sido metabolizado por los servicios de inteligencia de los Veintisiete. La pregunta no es si veremos otro caso similar, sino si la próxima planta estará mejor preparada que la de aquella madrugada polaca.
