Cuarenta vuelos desviados, 14 países y 100 millones de euros robados: los ciberataques recorren Europa con Rusia en el punto de mira. En apenas una semana, la guerra híbrida ha dejado de ser un concepto de manual para convertirse en congeladores fundidos, aviones escoltados por cazas militares y redacciones evacuadas.
Del congelador del súper al cielo cerrado: qué ha pasado
Vamos por partes. La primera grieta llegó por el frío. En la noche del 10 al 11 de octubre, cientos de supermercados franceses vieron sus cámaras frigoríficas convertidas en hornos: los atacantes usaron una vulnerabilidad del software del fabricante danés Danfoss. A comienzos de noviembre el patrón saltó a Bélgica, Estonia, Finlandia, Luxemburgo, Suecia e Irlanda. Mismo guion: producto perdido y silencio oficial.
Después, el objetivo cambió de naturaleza. Tres centros de la Agencia Francesa de la Sangre vieron cómo sus cámaras, diseñadas para mantenerse a -30 grados, quedaban programadas a 110 a través de un proveedor de refrigeración. Las alarmas sonaron a tiempo y ninguna muestra de sangre resultó alterada. La agencia nacional de ciberseguridad, la Anssi, asumió la investigación sin señalar culpables.
El miércoles 4 de noviembre llegó el golpe más caro. El banco bretón Crédit Mutuel Arkéa admitió operaciones fraudulentas por más de 100 millones de euros, convertidos de inmediato en criptomonedas. La puerta de entrada habría sido el sistema de un proveedor comprometido días antes. La fiscalía de París abrió diligencias, aunque ningún vínculo probado une este caso con los demás.
Qué se juega España: aeropuertos, turismo y una Europa que se cierra
El cielo fue el siguiente escenario. El 18 de octubre, un vuelo de Austrian Airlines de Tel Aviv a Viena se desvió a Sofía. El 3 de noviembre, una decena de aviones de Ryanair, SAS, LOT y Wizz Air recibieron amenazas. El jueves 5 la ola se desbordó: 27 vuelos señalados y un Airbus A320 de Aer Lingus con 151 pasajeros escoltado por un Rafale hasta la base de Évreux.
Un día después, el viernes 6, la amenaza bajó del cielo y entró en las redacciones. La televisión pública irlandesa RTÉ, la radio Newstalk y el diario Irish Independent fueron evacuados; Nova TV en Bulgaria, Sky News en el Reino Unido y TF1 en Francia recibieron correos firmados por un tal Mikhail Andropov. «Pero esto es solo el principio», decía uno de ellos.
Cada alerta falsa inmoviliza un avión y moviliza cazas: el miedo rinde más que el explosivo y cuesta una fracción.
El coste, en cambio, es muy real. Según Eurocontrol, desviar un vuelo de medio radio cuesta entre 55.000 y 75.000 euros, y cada alerta arrastra equipos de desactivación de explosivos y, a veces, cazas. La media histórica europea era de dos falsas alarmas al mes; esta vez se contaron más de una docena en cuatro días, con unos 40 vuelos afectados y ni una sola bomba real.
Los expertos lo llaman swatting: la falsa alarma de emergencia que basta para desplegar fuerzas especiales.
España no aparece en la lista pública de los 14 países golpeados, y conviene no leerlo como un salvoconducto. Ryanair, una de las aerolíneas con más vuelos en el país, estuvo entre las señaladas el 3 de noviembre; Iberia, Vueling y Air Europa operan en ese mismo espacio aéreo.
Cada amenaza creíble contra un vuelo con destino u origen en Madrid o Barcelona activa un protocolo que cuesta dinero, retrasa a miles de pasajeros y golpea la imagen de un país que vive del turismo.
Hay un segundo flanco, menos visible. La directiva europea NIS2 obliga ya a hospitales, bancos, aeropuertos y suministradores de energía a notificar incidentes en plazos muy cortos, y en España la primera línea recae en el Instituto Nacional de Ciberseguridad y en el centro de protección de infraestructuras críticas.
De la cumbre de Madrid al umbral del artículo 5
Conviene recordar el precedente. En la cumbre de Madrid de junio de 2022, la OTAN aprobó un concepto estratégico que situaba a Rusia como amenaza directa. Desde entonces, los incidentes en la zona gris no han dejado de crecer: cables submarinos cortados en el Báltico, incendios sospechosos, drones sobre aeropuertos daneses y alemanes.
El 24 de septiembre, la inteligencia militar danesa avisó de que Moscú «probablemente» intensificaría su campaña híbrida. A mediados de octubre, el jefe del MI5, Ken McCallum, lo dijo sin rodeos: los servicios rusos buscan quedarse por debajo del umbral del artículo 5, el de la defensa colectiva.
Y aquí está la clave: nadie ha acusado formalmente a Moscú de esta ola. El comisario Tzitzikostas considera «demasiado pronto» vincular los casos; el Kremlin, por boca de Dmitri Peskov, tacha las sospechas de «absolutamente absurdas». Los correos de Roma iban firmados por los «combatientes del Estado masculino», un grupo ultranacionalista prohibido en Rusia desde 2021 cuyo fundador lo niega. Invocar a un grupo clandestino también es una forma de no firmar el ataque.
El calendario de la próxima semana dirá mucho. Los expertos europeos en seguridad se reúnen en Bruselas para estudiar una respuesta común; Dublín acogerá el jueves 12 y el viernes 13 a medio centenar de líderes europeos; y Suecia restablece sus controles fronterizos seis meses desde ese mismo 12 de noviembre.
Mientras no haya atribución oficial, la guerra híbrida seguirá ganando por desgaste: poco dinero, mucho ruido y una Europa que se acostumbra a mirar al cielo.
📌 Ficha del Caso
- Ficha sobre el caso: Oleada de falsas bombas, sabotajes y ataques informáticos en al menos 14 países europeos; la inteligencia sospecha de una campaña híbrida rusa.
- Datos importantes: Unos 40 vuelos desviados, 27 en un solo día; 100 millones robados al banco Crédit Mutuel Arkéa; cada desvío cuesta entre 55.000 y 75.000 euros según Eurocontrol.
- Resumen: España no figura entre los países afectados, pero su red aeroportuaria, sus aerolíneas y su turismo dependen de un espacio europeo abierto que hoy es el objetivo.
