Un ciberataque a BAE Systems ha paralizado la maquinaria de avisos de quiebra de la justicia federal de EE. UU. Desde el pasado 9 de octubre, ningún tribunal federal de quiebras del país emite notificaciones, ni en papel ni en formato electrónico.
El sistema afectado es el Bankruptcy Noticing Center, conocido por sus siglas BNC. Es la pieza que produce y transmite los avisos en todos los casos de quiebra a escala nacional. Lo opera BAE Systems, contratista de defensa, por encargo de la propia judicatura federal. El BNC no es un portal administrativo menor: es la arteria por la que circula la información procesal de miles de casos.
El contratista de defensa que sostiene la maquinaria judicial de EE. UU.
La Administrative Office of the U.S. Courts confirmó el incidente en un comunicado publicado el jueves 15 de octubre. Según ese texto, el suceso afectó a la infraestructura tecnológica de BAE Systems y a los sitios web que sostienen las operaciones del centro. La oficina añadió que el contratista investiga y trabaja en la restauración, sin dar plazos.
Un portavoz de BAE Systems respondió a CyberScoop con una fórmula breve: ‘Somos conscientes de un incidente de seguridad aislado en el sistema del BNC y hemos tomado medidas inmediatas para abordarlo’. Y remató: ‘Ningún otro sistema se ha visto afectado’. Eso es todo. Ni causa, ni alcance real, ni calendario. La compañía sostiene que el daño está contenido, pero no ofrece ni un dato que permita comprobarlo.
La interrupción ha tumbado varias webs oficiales: bnc.uscourts.gov, bankruptcynotices.uscourts.gov y notices.uscourts.gov, además del National Creditor Registration Service. El viernes 16 de octubre seguían caídas. La producción de avisos está detenida desde el 9 de octubre, sin fecha de vuelta.
El primer aviso lo dio un escueto mensaje colgado el martes 13 en la web de los tribunales de quiebra. Hablaba de una ‘interrupción del servicio a escala nacional’ y no mencionaba actividad cibernética alguna. Hubo que esperar al comunicado del jueves, firmado por el secretario judicial Joe Falzone, para que apareciera por primera vez la expresión ‘incidente de ciberseguridad’. Dos días de diferencia entre el hecho y la palabra que lo nombra.
En el oficio, la diferencia entre una avería y un ataque no la marca el daño, sino el momento en que alguien se atreve a decir ‘incidente’.
Tradecraft del incidente: qué se sabe, qué se calla y por qué importa
Ni el comunicado de la Administrative Office ni la respuesta de BAE Systems identifican la causa. No dicen si los atacantes accedieron a información. No estiman cuándo volverá el servicio. Esa opacidad, en un sistema que maneja datos personales de acreedores y deudores de todo el país, es el verdadero problema. Le pongo en contexto: no hablamos de una web de trámites, hablamos de un registro con direcciones postales de millones de ciudadanos que participan en procedimientos de insolvencia.
Ni el FBI ni la CISA han confirmado su implicación en la investigación, aunque la Agencia de Ciberseguridad y Seguridad de Infraestructuras tiene competencia directa sobre incidentes en infraestructuras críticas federales. Y esto lo es, por mucho que nadie quiera ponerle la etiqueta.
El incidente es el segundo en dos años que golpea al sistema judicial federal estadounidense. En 2025 ya hubo una brecha grave en el sistema electrónico de presentación de casos, un episodio que obligó a revisar protocolos internos. Ahora el golpe llega por el flanco del contratista. Cuando atacas a la judicatura, no siempre entras por el tribunal: entras por quien le gestiona las notificaciones.
Y ahí está la lección de tradecraft que yo extraigo. Los grupos de ciberespionaje atacan cada vez menos el objetivo final y cada vez más al proveedor. Es el patrón de SolarWinds en 2020: no penetras a los 18.000 clientes uno por uno, penetras al proveedor de software que los sirve a todos. BAE Systems es, en este caso, un nodo con miles de conexiones. Un solo punto de intrusión. Un solo exploit bien colocado. Verá usted que la próxima brecha de la que se hable no será de un banco ni de una teleco, será de quien les lleva la nómina.
El oficio se llama atacar la cadena de suministro.
Dossier Moncloa: Ojos en la Sombra
Estamos ante un incidente cuya atribución, a día de hoy, es imposible. No hay grupo APT reivindicado, no hay campaña de ransomware con firma conocida, no hay nota de rescate hecha pública. Podría ser un ataque de Estado, podría ser cibercrimen, podría ser —aunque menos probable— un fallo interno grave disfrazado de incidente de seguridad. Quien le diga lo contrario, le vende humo.
Tengo claro que el tipo de material comprometido acota la gravedad. El BNC no guarda secretos militares ni materiales de inteligencia. Guarda nombres, direcciones y datos procesales. No es Top Secret, es información personal protegida por ley. Y eso, para un atacante, vale dinero. Estimo el nivel de clasificación en Confidencial, con toda la carga sensible que eso implica.
El precedente que importa aquí no es SolarWinds, es la cadena de suministro de proveedores judiciales y administrativos. El adversario no necesita el secreto de Estado, necesita el punto de entrada. La infraestructura crítica ya no es solo la presa o la central nuclear: es también el contratista que imprime los avisos.
Lo escribí hace años en El quinto elemento: ‘El próximo 11S empezará con un clic’. Entonces sonaba a boutade. Hoy es un comunicado oficial que reconoce un ‘incidente de ciberseguridad’ y no sabe cuándo volverá a funcionar. Lo que cambia ahora es la contrainteligencia: el CNI y el Centro Criptológico Nacional tienen en su radar desde hace tiempo la dependencia de contratistas en infraestructuras administrativas. España opera su sistema judicial electrónico con proveedores externos. La pregunta no es si están auditados; la pregunta es cuánto.
El silencio de BAE Systems es la parte más informativa de todo el caso.
La judicatura asegura que los tribunales siguen admitiendo nuevas demandas, abriendo casos y tramitando papel. También advierte de un riesgo colateral: los listados de direcciones que usan los abogados para servir documentos, pueden no incluir a quienes se registraron a través del programa electrónico del BNC. Es decir, hay gente que podría no recibir una notificación que le afecta legalmente. Eso, en un procedimiento de quiebra, puede traducirse en la pérdida de un derecho. El daño del incidente no es solo técnico: es procesal y, con el tiempo, económico.
Hay que seguir la pista a tres cosas. Primera: si la Administrative Office publica un informe técnico con la causa y el alcance; de momento, dos comunicados y ni un dato. Segunda: si la CISA entra formalmente en la investigación y con qué atribución técnica. Tercera: si el Congreso abre una investigación sobre la dependencia de contratistas de defensa para funciones administrativas sensibles. En ciberguerra, el silencio institucional es la norma, no la excepción.
Mientras tanto, los tribunales de quiebra de Estados Unidos siguen sin poder notificar. Y el contratista que les sostiene el sistema, un gigante de defensa con contratos de miles de millones, prefiere no decir por qué. Le contaré más cuando alguien decida hablar.
