El ataque a las apps de alerta de Ucrania y Rusia lanzó avisos falsos de amenaza nuclear en la noche del domingo. Lo confirmaron ambas capitales. Ninguna de las dos versiones ha sido verificada por terceros independientes.
La secuencia, en hora local de Kiev, se lee como un manual. A las 22:47, la aplicación Air Alarm declaró amenaza radiológica en la capital. Un minuto después llegó un mensaje escrito en ruso que anunciaba alerta nuclear para toda Ucrania y pedía calma porque ‘es Oreshnik volando’, en alusión al misil balístico de alcance intermedio con el que el Kremlin ha coqueteado con la ambigüedad nuclear. A las 22:49 cayeron dos avisos más: uno advertía de un ataque químico sobre Kiev y ordenaba no salir a la calle; el otro hablaba de combates urbanos. A las 23:53 empezaron a llegar los mensajes de cierre, uno por cada amenaza. Cinco alertas en seis minutos y medio.
Air Alarm es una de las aplicaciones más instaladas del país y cuenta con el respaldo del Ministerio de Transformación Digital ucraniano. El departamento la desactivó temporalmente para mantenimiento después de que, en sus propias palabras, quedara ‘aparentemente comprometida’. El apagón de emergencia no fue la única consecuencia: en la región de Leópolis, los altavoces de calle se activaron con una señal de peligro radiológico que nunca existió. La falsa alarma saltó del teléfono al espacio público.
Del lado ruso, el relato llegó unas horas más tarde. El Ministerio de Situaciones de Emergencia aseguró que su aplicación había sufrido ‘un ciberataque masivo’ que difundió información falsa a la población y sostuvo que el resto del sistema de aviso seguía operativo: sirenas, altavoces, mensajes de texto, televisión y radio. El medio ucraniano UNN fue más lejos y atribuyó el mensaje a Atesh, una guerrilla partisana que opera en territorio ocupado. La captura que ese grupo difundió por Telegram, descrita como presunta, hablaba de ojivas nucleares montadas en drones de ataque P1-Sun lanzadas contra todas las regiones rusas, animaba a hacer acopio de comida para tres semanas y venía con palabras malsonantes. Nada de eso ha sido confirmado por una fuente independiente.
Cinco alertas en seis minutos: la cadencia delata el método
Nadie teclea cinco avisos de nivel máximo en dos minutos.
Le adelanto que la cronología importa tanto como el origen. La cadencia apunta a una inyección programática: alguien con acceso a la cola de envío, a la API de notificaciones o al panel de administración disparó mensajes en serie. Y el contenido no parece improvisado. La progresión radiológica, química, combates urbanos y amenaza nuclear dibuja una escalada pensada para que el ciudadano medio no distinga el bulo del parte real hasta que sea tarde. El objetivo no era informar: era ocupar el canal.
Un sistema de alerta no se hackea para matar: se hackea para que nadie vuelva a creerle cuando diga la verdad.
Hay un detalle que ha recibido menos atención de la que merece. Natalya Zabolotna, responsable de la región de Vinnytsia, advirtió a los vecinos de que no pincharan el enlace incluido en el mensaje. Si el aviso llevaba un enlace, la operación no era solo de desgaste de confianza: era también una campaña de recolección de víctimas. Quien pulsara con el corazón acelerado podía acabar en una página de falso pago o en una descarga con payload incorporado. Nadie ha publicado aún el análisis de esa URL, y ahí empieza el terreno movedizo.
La coincidencia temporal tampoco es menor. Las alertas falsas cayeron minutos antes de que expirara un alto el fuego local en la región de Jersón, un paréntesis pactado para evacuar civiles de la localidad ocupada de Oleshki. Aprovechar la única ventana en la que la gente sale a la calle para sembrar el miedo tiene nombre en el oficio: operación de influencia con componente psicológico. No lo voy a escribir como certeza sin pruebas, pero tampoco lo voy a dejar pasar.
La atribución, a día de hoy, es un solar. Ni Kiev ni Moscú han publicado indicadores técnicos, ni hashes, ni dominios de mando y control, ni la más mínima huella del tradecraft empleado. Me consta que la tentación en los despachos occidentales es colgar el cartel al GRU en cuanto se pronuncia la palabra Ucrania, y tengo claro que Sandworm tiene antecedentes sobrados para figurar en cualquier lista de sospechosos. Pero antecedente no es prueba. Sin informe forense no hay atribución honesta.
Del KA-SAT al móvil: el oficio de envenenar la señal
Quien haya seguido esta serie de operaciones recuerda febrero de 2022. Horas antes de la invasión, un wiper conocido como AcidRain inutilizó miles de módems KA-SAT y dejó sin comunicaciones al mando ucraniano. La UE y el Reino Unido atribuyeron el asalto al GRU.
Aquello fue sabotaje puro.
Lo del domingo es otra cosa. No destruye nada, no apaga la luz, no paraliza una brigada. Contamina la señal. Y una señal contaminada, en un país donde los misiles llegan con diez minutos de aviso, mata igual que un corte de electricidad, solo que más despacio.
Las hipótesis técnicas razonables son tres. La primera, el compromiso de las credenciales de un operador con permiso para emitir avisos: el escenario más barato y el más difícil de detectar. La segunda, la manipulación de la cadena de suministro del proveedor de notificaciones push, que daría al atacante acceso a todas las instalaciones de golpe. La tercera, un topo o un empleado descontento dentro del propio ministerio. Cualquiera de las tres encaja con la firma temporal del incidente y ninguna puede descartarse hasta que Kiev publique su análisis.
El problema de fondo es arquitectónico. Ucrania construyó buena parte de su defensa civil sobre aplicaciones móviles porque son rápidas, baratas y escalables. También son un punto único de fallo. La desconexión temporal de Air Alarm, por justificada que fuera, dejó a millones de personas sin el canal que usan a diario para saber si bajar al refugio. El remedio duró más que la enfermedad.
Herbert Lin, investigador de la Universidad de Stanford, lo resumió con precisión en la BBC: ‘Creo que es la primera vez que le ocurre a una aplicación oficial de información ucraniana, pero sospecho que no será la última’. Tiene razón, y por un motivo incómodo: el coste de atacar una app de alertas es ridículo comparado con el rendimiento que obtiene el atacante en pánico, cobertura mediática y desgaste institucional.
Dossier Moncloa: Ojos en la Sombra
El vector es ciberataque con componente de guerra psicológica, y conviene decirlo con precisión porque la etiqueta importa. No hay aquí exfiltración masiva ni sabotaje físico: hay manipulación de un canal oficial para inyectar mensajes falsos y erosionar la confianza en la institución que los emite. La técnica exacta está por determinar; el efecto, no.
En el reparto de papeles, Ucrania aparece como víctima y defensora a la vez: Ministerio de Transformación Digital, Servicio de Seguridad (SBU) y Centro para la Contrarestación de la Desinformación. Rusia se presenta como segunda víctima, lo cual exige cautela. Puede ser retaliación de un grupo afín, puede ser una operación de bandera falsa para dotar de coartada al propio aparato y puede ser, simplemente, el aprovechamiento oportunista de un incidente real por parte de una guerrilla partisana. Los terceros que miran son los de siempre: el CCDCOE de Tallin, la OTAN, la UE y, más cerca de casa, el CNI y el CCN-CERT. Nadie ha movido ficha públicamente, y ese silencio también informa.
Mi estimación de clasificación: el informe forense interno de Kiev será de nivel Reservado; los detalles de arquitectura del sistema de de alertas, Confidencial; y si existe una lista nominal de operadores con permiso de emisión, ahí hay material Secreto. El precedente que mejor ilumina este asunto es el asalto a la cadena de suministro de SolarWinds en 2020, atribuido al SVR. Cuando el atacante no entra por la puerta principal sino por el proveedor, la defensa tradicional no ve nada hasta que el daño está hecho. Con un añadido para el oficio: aquí el daño no se mide en servidores cifrados, se mide en ciudadanos que apagan la alerta porque ya no se la creen.
España no es espectadora neutral en esta discusión. El sistema ES-Alert, que envía avisos masivos por Cell Broadcast, es técnicamente más robusto que una aplicación porque no depende de un producto instalado ni de una tienda de aplicaciones. Pero también tiene su plano de gestión, sus credenciales y sus operadores. La alerta que se envió a la provincia de Valencia el 29 de octubre de 2024, durante la DANA, demostró que el sistema funciona; también demostró que un mensaje enviado a tiempo y mal redactado puede salvar vidas o condenarlas. Si usted dirige un centro de emergencias, la pregunta que debería estar haciéndose esta semana no es si su app es segura, sino cuántas personas tienen permiso para escribir en ella y quién audita ese permiso.
Lo escribí hace años en El quinto elemento: el próximo 11S empezará con un clic. Sigo pensando que es la única frase de aquel libro que no ha envejecido mal. Los plazos que manejo: Kiev dice que publicará el análisis del incidente, Moscú sigue restaurando su aplicación y el próximo boletín de amenazas del CCN-CERT tendrá que decidir si incorpora la manipulación de canales públicos de emergencia a su catálogo de riesgos. Ahí se verá si hemos aprendido algo o si seguimos confundiendo notificar con proteger.
