El ciberataque a Polonia ha obligado a apagar ePUAP, la plataforma estatal de trámites y buzones oficiales. El ministro de Digitalización, Krzysztof Gawkowski, confirmó el 10 de noviembre que la intrusión había sido detectada y detenida, y que la infraestructura del Centro Central de Informática (Centralny Ośrodek Informatyki, COI) seguía intacta. Dos días después, los buzones electrónicos de ciudadanos e instituciones públicas continúan fuera de servicio.
ePUAP no es una web de consultas. Es la columna vertebral administrativa del Estado polaco: por ahí se presentan documentos oficiales, se firma electrónicamente, se abre la correspondencia con cualquier oficina y se completan trámites que, sin ella, obligan al ciudadano a hacer cola en una ventanilla. Cuando ePUAP se apaga, el Estado no se cae. Se queda mudo.
Un apagado preventivo que nadie explica del todo
La versión oficial tiene dos capas que no encajan del todo, y esto lo he visto ya en otras crisis. Gawkowski escribió en X que ‘un ciberataque contra el sistema estatal ePUAP ha sido detectado y detenido’, que los equipos responsables actuaron de inmediato para preservar la estabilidad y que se trabaja en recuperar la funcionalidad completa. Su portavoz, Marek Gieorgica, añadió a la agencia PAP que el sistema no había sido comprometido ni interrumpido por el ataque.
Léalo otra vez. La plataforma se apaga aunque no haya daño declarado. La explicación oficial es la prudencia; la lectura técnica es bastante más interesante: cuando un equipo de respuesta no puede descartar persistencia, se corta la conexión y se reconstruye desde cero. En el oficio eso tiene nombre —contención— y es la decisión más honesta que puede tomar un CERT.
Cortar antes de saber es caro. No hacerlo es ruinoso.
Apagar un sistema sin daño confirmado no es un fracaso: es la única manera de comprobar si el daño existía.
Lo que no hay es lo importante, y le adelanto que tampoco lo habrá a corto plazo. Nadie ha explicado el vector de entrada, si el atacante tocó datos, si hubo acceso a sistemas del Gobierno o si se exfiltró material. No hay atribución pública. Tampoco hay plazo de restauración: el ministerio sostiene que los servicios volverán cuando los expertos terminen las comprobaciones.
En ciberguerra, el silencio sobre el vector pesa más que cualquier comunicado tranquilizador.
El perjuicio inmediato no es la pérdida de datos, sino el calendario. Cualquier plazo administrativo que venza esta semana, cualquier firma pendiente, cualquier escrito que debía registrarse se convierte en un problema material para quien lo esperaba. El Perfil de Confianza (Profil Zaufany), el sistema de identidad digital que permite usar los servicios públicos y firmar documentos electrónicos, puede verse afectado de forma transitoria. Para un empresario con una licitación el viernes, eso no es un incidente de seguridad: es un colapso con mayúsculas.
El flanco oriental es ya un campo de pruebas
Polonia no es un objetivo casual y sigo de cerca lo que le ocurre desde hace años. Lleva meses encajando incidentes contra agencias públicas, infraestructura crítica y empresa privada con una intensidad que, en proporción a su tamaño, no tiene parangón dentro de la OTAN. En octubre, el servicio de facturación electrónica Fakturownia reconoció una brecha que podía haber expuesto información de usuarios, clientes y socios comerciales.
Detrás del ruido hay nombres que se repiten desde 2020: Ghostwriter, la campaña de desinformación y spear-phishing que Mandiant y el propio Gobierno polaco vincularon a un grupo próximo a Minsk; APT28 (Fancy Bear, atribuido al GRU); y una constelación de actores oportunistas que compran acceso inicial y revenden la puerta. Sobre el ataque de esta semana, seamos claros: no existe atribución técnica pública, y quien se la dé a usted sin pruebas le está vendiendo humo. La atribución en ciberguerra no se declara: se demuestra.
A eso se suma la arquitectura. Un Estado que concentra identidad, firma y notificación administrativa en un único punto gana eficiencia y crea un objetivo único. La centralización que ahorra costes en paz se convierte en en un multiplicador de daño en guerra híbrida. No es un problema polaco; es el modelo europeo entero, España incluida. Lo escribí hace años en El quinto elemento: el próximo 11S empezará con un clic.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: ciberataque de origen no atribuido. Por lo declarado, estamos ante una intrusión detectada en fase temprana o de despliegue, con contención total del servicio. El patrón —detección, corte y reconstrucción— encaja con la explotación de una vulnerabilidad en la capa de aplicación o con credenciales comprometidas de un proveedor. No hay indicios públicos de ransomware, de sabotaje destructivo ni de wiper. La ausencia de datos sobre exfiltración impide descartar lo peor.
Agencias implicadas: COI, CERT Polska, ENISA y la OTAN. En el lado defensor, el COI como operador, el Ministerio de Digitalización como autoridad política, CERT Polska (integrado en NASK) y el equipo de respuesta interno. En el lado atacante, nadie con nombre. En el tercer círculo, ENISA y los socios aliados, que miran porque cada incidente así alimenta el debate sobre si el artículo 5 debe leerse también en el dominio digital. Y aquí entra España: el CCN-CERT sigue con lupa las campañas contra administración electrónica, y el CNI no pierde de vista nada que toque identidad digital, porque la nuestra —Cl@ve, DNI electrónico, sede 060— arrastra las mismas dependencias.
Nivel de clasificación estimado: Reservado técnico y Confidencial político. Los indicadores de compromiso y la telemetría del COI no se publicarán; lo que verá la luz será una nota sin IoC ni vector. Es el guion habitual y, francamente, el correcto. El precedente que mejor ilustra el riesgo no es un espía, es SolarWinds: una cadena de suministro comprometida convierte a un proveedor en la puerta de entrada de decenas de ministerios. Y el manual de la contención tiene su propio clásico, NotPetya, donde cortar a tiempo habría ahorrado miles de millones.
El punto débil de mi propio análisis es el de siempre: sin informe forense, esto es lectura de señales. Puede que el ataque fuera un intento torpe y que el apagado peque de sobredimensionado. También puede que sea la punta de una operación de acceso persistente que llevaba meses dentro. La única forma de salir de dudas es que Varsovia publique, al menos, el vector.
No lo hará.
Lo veo así: este incidente no se juzgará por el ataque, sino por el tiempo que ePUAP tarde en volver. Hoy, 12 de noviembre, esa fecha no existe. Cuando la plataforma reabra sabremos si Polonia contuvo o solo paró. La diferencia entre ambas cosas separa un susto de un desastre.
