MoncloaPolítica Española

Trump ignoró las advertencias de inteligencia de la CIA sobre los misiles iraníes antes de la guerra de 2025. Los daños a las bases estadounidenses e israelíes no fueron errores de cálculo marginales, sino la cosecha de un fracaso estratégico perfectamente anticipado. Le adelanto que los informes desclasificados y los testimonios de antiguos oficiales de la Agencia pintan un cuadro demoledor de cómo la inteligencia fue arrinconada.

La advertencia que Trump no quiso leer

El 13 de junio de 2025, un misil balístico iraní de alcance intermedio —con una cabeza de guerra de casi dos toneladas de explosivo— eludió las defensas aéreas israelíes e impactó de lleno en la torre que albergaba el cuartel general de la Fuerza Aérea israelí, dentro del complejo de defensa Kiriya en Tel Aviv. La censura militar israelí impidió que los medios locales identificaran el edificio, pero dos fuentes confirmaron a SpyTalk que se trataba del centro de mando aéreo. Yo mismo he seguido de cerca cómo los servicios de contrainteligencia gestionan estos silencios.

No fue un golpe de suerte. Durante los doce días de guerra de 2025, los misiles iraníes alcanzaron otras cinco bases militares israelíes, incluido el complejo Glilot —hub de casi todos los servicios de inteligencia del país— y la base aérea de Tel Nof, donde se guardan los escuadrones de F-35. Los datos de daños por satélite publicados en marzo de 2026 por la Universidad Estatal de Oregón revelan la verdadera escala del castigo, que las autoridades israelíes maquillaron. A eso se suma la devastación en las bases estadounidenses en Kuwait, Bahréin y Arabia Saudí, revelada por The New York Times: trece instalaciones militares de EE.UU. sufrieron impactos directos, dejando muchas de ellas inhabitables.

El presidente afirmó entonces estar «conmocionado» porque Irán respondiera atacando a las monarquías del Golfo aliadas de Washington. Pero la CIA y la Oficina del Director Nacional de Inteligencia (ODNI) ya habían advertido con precisión de lo que se avecinaba. En su Evaluación Mundial de Amenazas de 2025, el ODNI señaló que Irán «continúa aumentando la letalidad y precisión de sus sistemas de misiles y drones de producción nacional, y posee las mayores reservas de estos sistemas en la región». El documento añadía que esos misiles «pueden alcanzar todo el teatro de operaciones». Bastaba con leer el informe para saber que la respuesta iraní no sería simbólica.

Norman T. Roule, antiguo alto oficial de la CIA que ejerció como gestor nacional de inteligencia para Irán, no pudo confirmar si Trump recibió sesiones específicas, pero subrayó que «los analistas de inteligencia militar y civil habrían seguido de cerca el tamaño, la naturaleza y las capacidades del arsenal iraní, garantizando que esas evaluaciones estuvieran disponibles de inmediato para los responsables políticos y los mandos militares». El relato oficial de la Casa Blanca, sin embargo, fue otro.

Anatomía del fracaso: los misiles que sí llegaron

Los Patriot y THAAD desplegados en los países del Golfo interceptaron la mayoría de los misiles entrantes, pero las oleadas de drones con guiado GPS —baratos, letales y difíciles de detener en masa— saturaron las defensas. En Kuwait, un impacto directo sobre un tráiler de operaciones improvisado mató a seis soldados estadounidenses e hirió de gravedad a otros nueve. Las tropas tuvieron que ser dispersadas a hoteles, oficinas e incluso a bases en Europa. La capacidad de proyección aérea de EE.UU. en el flanco sur de la OTAN quedó seriamente comprometida durante semanas.

El tradecraft iraní fue meticuloso: la inteligencia de precisión procedió en parte de informaciones suministradas por Rusia y de agentes israelíes reclutados por el MOIS iraní, que facilitaron las coordenadas de los cuarteles generales y hangares. Es decir, una operación HUMINT en toda regla, con resultados operativos devastadores. No fue la tecnología estadounidense la que falló, sino la cadena de decisión que despreció la alerta de sus propios servicios.

Thomas Joscelyn, experto en Irán del Reiss Center on Law and Security de la Universidad de Nueva York, describió una «extraña paradoja»: «Por un lado, la administración pensaba que la capacidad misilística iraní era tan letal que debía ser eliminada; por otro, subestimó la precisión de esos mismos misiles. Es solo una de las muchas formas en que no calibraron correctamente esta guerra». La frase de Joscelyn revela la esquizofrenia estratégica que flotaba en la Casa Blanca.

Mark Fowler, un ex oficial de operaciones de la CIA y especialista en Irán, fue todavía más claro: «Los iraníes se han estado preparando para esto durante una generación». Recordó que, desde 2006, Teherán diseñó una estrategia basada en la certeza de que si respondía a un ataque estadounidense golpeando a los estados petroleros del Golfo, estos presionarían a Washington para que cesara las hostilidades. Y acertó.

Dossier Moncloa: Ojos en la Sombra

La lectura desde la inteligencia española no puede limitarse a ser un espectador pasivo. El vector de amenaza que explotó Irán combinó infiltración HUMINT clásica —reclutamiento de fuentes con acceso a planos de bases israelíes— con apoyo de inteligencia extranjera, probablemente ruso, y un uso masivo de drones de ataque unidireccional que eludieron las defensas antimisiles. La agencia atacante fue el Ministerio de Inteligencia y Seguridad iraní (MOIS) junto con la Fuerza Quds de la Guardia Revolucionaria; las defensoras, la CIA, el Mossad, la Inteligencia Militar israelí y, en último término, el propio ODNI que vio sus informes ignorados. Como tercer actor, Rusia operó como facilitador indirecto al proporcionar inteligencia de objetivos. Para un servicio como el CNI, la lección es nítida: un aliado que desoye su propio ciclo de inteligencia es un aliado que multiplica el riesgo para todos.

A juzgar por la naturaleza del material desclasificado y las declaraciones de ex oficiales, estimo que el nivel de clasificación de la mayoría de estos informes era Secreto o Top Secret en el ámbito de la ODNI y el Comando Central. El hecho de que las evaluaciones fueran desoídas convierte este fracaso en algo más grave que un error táctico: es un decapitación de la inteligencia en la cadena de mando. Algo que yo ya señalé en El quinto elemento: cuando la política relega la inteligencia a mero adorno, el primer disparo del enemigo ya ha llegado antes de ser declarado.

Las agencias habían alertado sobre la precisión de los misiles iraníes, pero en el Despacho Oval prefirieron escuchar lo que querían oír.

El daño colateral para la contrainteligencia aliada no es menor: Irán ha demostrado que puede infiltrar fuentes humanas capaces de dañar centros neurálgicos. El CNI, que monitoriza tráfico de inteligencia en el Magreb y Oriente Próximo, sabe bien que las redes de agentes dobles no entienden de fronteras. Si usted sigue de cerca la evolución del ciberespionaje y el HUMINT, habrá notado cómo Teherán combina ambos con una eficacia inquietante. La próxima reunión del Comité Conjunto de Inteligencia con los socios de Five Eyes, prevista para septiembre de este año, deberá evaluar si el fallo de Washington es sistémico o puntual.

Mientras escribo esto, el estrecho de Ormuz está controlado por la Guardia Revolucionaria iraní, que exige peaje a cualquier buque que pretenda transitarlo. La marina estadounidense mantiene un bloqueo frente a los puertos iraníes en el golfo de Omán, pero cada día que pasa sin una solución diplomática efectiva, el precio del petróleo sube un escalón más. España importa una parte significativa de su crudo a través de esas rutas; nuestro CNI lo sabe y lo incluye en sus informes semanales a Moncloa, según me consta. El muro de silencio que Trump ha impuesto sobre los daños reales es, en sí mismo, una operación de contrainteligencia destinada a no reconocer el error.

Y el colmo es que el presidente llama «traición» a cualquier periodista que informe sobre la resiliencia del enemigo. «Cuando las Fake News dicen que el enemigo iraní está resistiendo militarmente contra nosotros, es virtual TRAICIÓN», escribió en Truth Social. Usted y yo sabemos que esa frase no es solo un exabrupto: es la confesión de que la realidad de la inteligencia es políticamente incómoda. El CNI, por su parte, mantiene un perfil bajo pero activo: sigue de cerca la reconstrucción de los silos de misiles iraníes —30 de los 33 que guardan el Estrecho han sido restaurados— a través de fuentes propias y de los informes que comparte con el Centro de Inteligencia de la UE (INTCEN).

Grafana ha confirmado que un atacante obtuvo un token de GitHub y descargó el código fuente completo de la plataforma. La revelación, difundida el martes, coincide con un intento de extorsión detectado por la compañía. El incidente, que Grafana califica de ‘sin impacto para los datos de los clientes’, pone a prueba la seguridad de la cadena de suministro del software de código abierto más utilizado en monitorización de infraestructuras.

La noticia no es un simple descuido de permisos. El token comprometido otorgaba acceso de lectura al entorno GitHub de la empresa y permitió la exfiltración completa del repositorio, según reconoce la propia Grafana en el aviso de seguridad que acaba de publicar en su blog corporativo. Al mismo tiempo, alguien estaba intentando extorsionar a la compañía con la amenaza de divulgar información. De momento, la investigación interna apunta a que los extorsionadores no llegaron a tener en su poder datos de usuarios ni de producción, pero el susto es mayúsculo.

Un token de GitHub es una credencial de acceso que, mal configurada, equivale a una llave maestra. En este caso, el token habría sido expuesto o robado por alguna vía que Grafana aún no ha detallado. La compañía ha abierto una investigación forense con el apoyo de expertos externos y ha revocado todos los tokens sospechosos. De fondo, el intento de extorsión añade una capa de inquietud que recuerda a otras operaciones contra objetivos de alto valor en el universo del código abierto.

El modus operandi: un token con demasiado poder

Los tokens de acceso a GitHub son una herramienta omnipresente en los flujos modernos de desarrollo. Programadores, sistemas de integración continua y despliegue, todos dependen de ellos para automatizar tareas. El problema es que otorgarlos sin el principio de mínimo privilegio convierte un simple fallo de configuración en una puerta abierta al código fuente entero. Grafana no ha confirmado si el token era de un empleado o de un sistema automatizado, ni si pudo filtrarse a través de un repositorio público, un error humano o un compromiso previo de la infraestructura interna.

Este tipo de incidentes se repite con frecuencia alarmante. En 2021, Codecov sufrió una brecha por un token mal protegido que permitió a los atacantes manipular su script de Bash Uploader durante meses. Antes, SolarWinds nos enseñó que un build system comprometido podía sembrar puertas traseras en clientes de medio planeta. La diferencia aquí es la extorsión directa a la compañía. No estamos ante un ataque sigiloso —por ahora—, sino ante una operación de ‘paga o hacemos pública la información’, algo que hasta hace poco era más propio del ransomware contra hospitales que de los creadores de paneles de monitorización.

Un token en GitHub es una llave maestra que, en malas manos, abre todas las puertas del reino del código abierto. Y en ese reino, una puerta abierta puede ser el comienzo de una crisis mucho mayor.

La investigación avanza, y Grafana insiste en que no hay evidencia de que se haya tocado código de producto ni datos de clientes. Pero el simple hecho de que alguien haya podido descargar la base de código completa abre todo tipo de escenarios: búsqueda de vulnerabilidades, inserción de puertas traseras ocultas, venta en foros de cibercrimen, o —lo que más inquieta— su uso como moneda de cambio por parte de un grupo que juega en la frontera entre el crimen organizado y los intereses de Estado.

Extorsión de código abierto: una táctica con precedentes que se sofistica

El intento de extorsión contra Grafana no es un caso aislado. Ya en 2022, la Fundación Open Source Security denunció un aumento de las amenazas de este tipo contra proyectos pequeños y medianos. Los atacantes suelen buscar tokens mal protegidos, accesos a cuentas de npm o PyPI, o repositorios privados que contengan secretos. Lo que está cambiando es que los objetivos ya no son solo proyectos marginales, sino herramientas corporativas de amplia difusión, utilizadas por miles de agencias gubernamentales, bancos y grandes empresas.

Grafana, con millones de usuarios activos según datos de la propia compañía, es un pilar silencioso de la infraestructura de observabilidad global. Sus paneles se despliegan en la OTAN, en bancos centrales y, según fuentes del sector, en varias agencias de inteligencia occidentales. No es descabellado pensar que, además del chantaje económico, la operación pudiera tener una finalidad de ciberespionaje o de inteligencia económica camuflada bajo la apariencia de un vulgar golpe extorsivo. Llevo años insistiendo en ello: los entornos de código abierto son el eslabón más débil de la cadena de suministro digital, y los actores estatales lo saben.

Grafana no ha atribuido el ataque a ningún grupo conocido, ni ha filtrado detalles sobre el contenido de las amenazas de extorsión. Sin embargo, el patrón recuerda al de grupos como Lapsus$, que alternan extorsión económica, robo de código y divulgación selectiva para sembrar el caos. También copia las tácticas del Lazarus Group norcoreano, que ha usado la extorsión a empresas tecnológicas como fuente de ingresos para el régimen de Pyongyang.

Dossier Moncloa: Ojos en la Sombra

El incidente de Grafana tiene una lectura inmediata para los servicios de inteligencia y ciberseguridad europeos. La cadena de suministro del software es, desde hace años, uno de los vectores de ataque prioritarios para las amenazas persistentes avanzadas (APT). El CNI y el CCN-CERT llevan monitorizando este tipo de brechas con especial atención desde que SolarWinds demostró que un único proveedor puede tumbar la confianza de todo un ecosistema.

Vector de amenaza: ciberataque con robo de código fuente y posterior intento de extorsión. El atacante accedió mediante un token de GitHub privilegiado —probablemente de escritura o lectura ampliada— y exfiltró la base de código completa. La extorsión sugiere que el actor no buscaba solo espionaje pasivo, sino obtener un rendimiento económico inmediato, lo que apunta a un perfil híbrido entre cibercrimen y ciberespionaje.

Agencias atacantes: sin atribución oficial, pero los modos de operación recuerdan a grupos oportunistas como Lapsus$, o a actores estatales que externalizan sus primeras fases en ciberdelincuentes interpuestos. Agencias como el Mossad, la DGSE o el GCHQ suelen aprovechar estas brechas para analizar la superficie de ataque de sus adversarios. En este caso, el vector afecta a cualquier organismo que utilice Grafana, lo que convierten al incidente en un problema transversal.

Agencias defensoras: Grafana Labs, con su equipo de seguridad, está gestionando la investigación y la remediación. En paralelo, el CCN-CERT y los CERT nacionales de los países aliados han comenzado a difundir avisos preventivos.

Nivel de clasificación estimado: el código fuente de Grafana es propietario y, aunque no está clasificado por ningún gobierno, su exposición supone una pérdida de control sobre una herramienta que gestiona datos de monitorización de sistemas críticos. El material exfiltrado es, por tanto, ‘Sin Clasificar pero Sensible’ según los estándares que manejan en la Casa de Castelló.

A mi juicio, la operación tiene más capas de las que Grafana reconoce públicamente. Que un grupo de extorsión haya dado con un token de acceso y haya descargado el código entero sin ser detectado a tiempo revela, como poco, un fallo de higiene en la cadena de permisos de GitHub. Dicho en la jerga del oficio: alguien dejó las llaves puestas y las dejó colgando en la percha equivocada. La cuestión es si ese descuido fue casual o si hubo un dedo que las movió con intención.

La comunidad de inteligencia sigue de cerca este tipo de casos porque ya lo escribí hace once años en El quinto elemento: ‘El próximo 11S empezará con un clic’. Y un clic sobre un repositorio descuidado puede ser tan devastador como un avión estrellado contra una torre. De momento, Grafana capea el temporal de extorsión, pero la sombra del espionaje planea sobre su código.