París atribuye al centro ciber del IRGC el ciberataque contra Francia que dejó veinte incendios y más de 700 comercios dañados.
La fiscal jefe de París, Laure Beccuau, puso esta semana nombre y apellidos al enemigo: el Centro Electrónico y Cibernético del Cuerpo de la Guardia Revolucionaria Islámica (IRGC). No atacaron bancos ni ministerios. Atacaron neveras. Más de 700 supermercados y tiendas de alimentación repartidos por todo el país vieron comprometidos sus sistemas de refrigeración, con una veintena de incendios declarados y pérdidas cuantiosas en producto perecedero. El sabotaje ya no necesita explosivos: le basta un termostato mal gobernado.
Cómo se sabotea una cadena de frío sin un solo zero-day
El ministro de Exteriores, Jean-Noël Barrot, lo calificó en la reunión del G-7 celebrada en París como ‘el primer ciberataque a gran escala llevado a cabo con propósito de sabotaje en territorio nacional’, y añadió que constituye ‘una amenaza mayor para los intereses de la nación y la seguridad del pueblo francés’. Traducido al oficio: un actor estatal extranjero ha producido daño físico deliberado dentro de las fronteras francesas usando internet como mecha.
Le pongo en contexto técnico, porque ahí está la gracia de la operación. Los equipos de frío industrial y comercial —vitrinas, cámaras, túneles de congelación— se gobiernan con controladores y PLC conectados a plataformas de telemetría. Muchos hablan protocolos heredados sin cifrado y arrastran cuentas de mantenimiento remoto que nadie ha revisado desde el día de la instalación. No hace falta un zero-day: basta con entrar por la puerta que dejó abierta el proveedor, manipular los puntos de consigna, forzar ciclos de desescarche y arranques de compresor fuera de rango hasta que el aislamiento cede y algo prende. La cadena de frío es infraestructura crítica disfrazada de electrodoméstico.
Y aquí aparece la primera grieta. La atribución es judicial, no técnica. Hasta hoy no hay informe público de la ANSSI con indicadores de compromiso, ni una muestra del malware presentada en sociedad, ni una cadena de infección documentada por un analista independiente. La fiscal Beccuau señala al IRGC y el Gobierno francés lo respalda; quien quiera verificar el recorrido completo tendrá que esperar. Una acusación de Estado no equivale a una prueba pericial.
Un sabotaje que se mide en incendios no busca apagar un país: busca que el ciudadano mire a su Gobierno y no vea a nadie al mando.
No se equivoque conmigo: no dudo de París, dudo del hábito.
En ciberguerra, la atribución se ha convertido en un acto político que se anuncia antes de que exista el peritaje, y eso lo practican igual Washington, Londres y Teherán. Me consta que en los servicios europeos hay incomodidad creciente con ese orden de factores: primero el comunicado, después el análisis y, a veces, nunca. Sostengo desde hace años que el oficio se degrada cuando la política fija el culpable y el técnico solo rellena el formulario.
Hay un segundo problema, más prosaico. El parque de refrigeración europeo está en manos de miles de instaladores medianos, con márgenes mínimos y cero cultura de seguridad OT. Nadie audita esa cadena de proveedores y todos dependen de ella. El eslabón más débil de Europa tiene factura de fontanero industrial.
De Tirana a los supermercados: el historial del cibermando iraní
El centro cibernético del IRGC no debuta con este golpe. En septiembre de 2022 Albania rompió relaciones diplomáticas con Teherán tras atribuir a actores estatales iraníes una oleada de ataques que tumbó portales y servicios públicos, y Washington secundó la ruptura con sanciones. Antes, en 2012, el gusano Shamoon borró decenas de miles de equipos en Saudi Aramco. Y en 2010 la Operación Olympic Games —Stuxnet— demostró al mundo que el código podía romper centrifugadoras sin que sonara una alarma. Irán tomó nota. La diferencia es que ahora aplica la lección al menudeo.
Verá usted que el diseño se repite en todos los frentes. Las amenazas de bomba han paralizado durante semanas vuelos hacia y desde Lisboa, Roma, Praga y Sofía. Miles de colegios de Italia, Irlanda y Reino Unido recibieron avisos falsos. La radiotelevisión pública irlandesa RTÉ, las redacciones dublinesas de NewsTalkFM y TodayFM y la británica Sky también fueron objeto de alertas. En paralelo, Estados Unidos anunció la reubicación de parte de sus aviones desde la base de RAF Fairford.
El ecosistema tiene incluso un cerebro entre rejas. Según las informaciones difundidas esta semana, el comandante de Kataib Hezbollah Mohammad Baqer Saad Dawood al-Saadi seguía coordinando atentados desde su celda de Nueva York, con lenguaje cifrado que sus familiares transmitían después a la célula británica. Se le considera el cerebro de Harakat Ashab al-Yamin al-Islamiya (HAYI), una fachada proiraní que reivindicó casi veinte tramas terroristas en Europa esta primavera, con agentes desechables y sinagogas en la lista de objetivos.
El mensaje psicológico pesa tanto como el fuego.
Por eso el Reino Unido ha empezado a decir a sus ciudadanos que acumulen comida, agua y medicinas. La lista de objetivos vulnerables es amplia: transporte, comunicaciones, hospitales, y servicios de emergencia, además de sistemas financieros y suministros de agua y electricidad. Cuando un Gobierno pide a la población que se prepare, ya ha aceptado que algo va a fallar.
Conviene entender qué persigue esta gente. La meta de toda campaña híbrida es romper la voluntad política de la población objetivo: si el ciudadano no puede pagar con tarjeta, ni conservar la comida, ni llevar a sus hijos al colegio sin miedo, dejará de apoyar la guerra de otro. Moscú y Teherán lo tienen claro. Y Pekín, también.
Dossier Moncloa: Ojos en la Sombra
El vector es sabotaje puro con efecto físico. No hay ransomware, no hay chantaje, no hay espionaje: hay sistemas de control industrial (OT) manipulados para que el daño salte del mundo digital al mundo material. La elección del objetivo —la cadena de frío— revela doctrina: máxima visibilidad social, mínima capacidad de respuesta inmediata y cero víctimas mortales, para no cruzar el umbral del artículo 5 de la OTAN ni el de una represalia militar. Es la definición operativa de la zona gris. Ni paz ni guerra: sabotaje calibrado para no obligar a nadie a responder.
En el reparto de papeles, el atacante es el Centro Electrónico y Cibernético del IRGC, según la atribución de la fiscalía de París, sin respaldo técnico publicado. En el lado defensor están la ANSSI, la DGSI y el parquet de la capital francesa, con Europol y Eurojust como socios naturales. Y en la fila de los que miran: el CNI, el CCN-CERT, el NCSC británico, la NSA y el Mossad, todos interesados en el mismo mapa de la infraestructura iraní. Los investigadores distinguen desde hace años entre los grupos vinculados al Ministerio de Inteligencia de Teherán (APT33, APT35) y los que responden al aparato militar del IRGC; esta vez París apunta directamente al segundo.
Mi estimación de clasificación: Secreto para el informe de atribución que la ANSSI habrá compartido con sus homólogos, y Reservado para lo que ya es público. Lo que no se ha filtrado —huella de infraestructura, dominios de mando y control, credenciales usadas— vale más que todo el comunicado. En España la lectura es directa: el CCN-CERT lleva años avisando de la exposición de sistemas OT en distribución alimentaria, puertos y plataformas logísticas, y el parque frigorífico nacional depende de los mismos fabricantes y los mismos integradores que el francés. Si el vector funciona en Lyon, funciona en Mercamadrid.
El precedente que más se parece a esto no es Stuxnet, sino Albania. Allí el objetivo era la reputación del Estado; aquí es la nevera de la esquina. Y hay una contradicción que no pienso disimular: si Teherán puede quemar supermercados en Francia, la pregunta incómoda no es cómo entró, sino por qué el sector privado europeo sigue sin obligaciones mínimas de ciberseguridad OT. La directiva NIS2 existe; su aplicación en la cadena de frío es, en el mejor de los casos, decorativa.
Ya lo advertí en El quinto elemento: el próximo 11S empezará con un clic. Quince años después, el clic ha llegado con olor a comida podrida y veinte incendios en la sección de congelados. El siguiente hito no será político, sino técnico: los indicadores de compromiso que publique la ANSSI. Si no llegan, la atribución seguirá siendo sólida en lo judicial y frágil en lo verificable. Y mientras tanto, el IRGC habrá aprendido que el sabotaje barato sale rentable.
