✨︎ Resumen (TL;DR):
- Grupos prorrusos aprovecharon conexiones remotas poco protegidas para acceder a sistemas industriales.
- En Dinamarca, una tubería rota dejó a 450 viviendas sin agua durante una hora y a cerca de 50 viviendas sin servicio unas siete horas.
- La baja sofisticación de estos grupos no evita daños, mientras que sus reivindicaciones no prueban por sí solas la autoría de cada incidente.
Grupos de hackers prorrusos han causado daños físicos o interrupciones en instalaciones de países de la OTAN al explotar conexiones remotas poco protegidas para acceder a sistemas industriales. Una alerta conjunta del FBI, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) y organismos internacionales, publicada en diciembre de 2025, identifica a varios de estos actores. Los casos incluyen una planta de agua en Dinamarca y varios incidentes en España.
Un sistema de control industrial es un conjunto de equipos que controla procesos del mundo físico. En los incidentes descritos, el acceso a esos sistemas se relacionó con cambios en la presión y la temperatura, además de fallas en equipos.
Dinamarca: una tubería rota dejó viviendas sin agua
En diciembre de 2024, un ataque alteró la presión en el sistema de Tureby Alkestrup, una empresa de suministro de agua en Dinamarca. La compañía informó que una tubería se rompió: unas 450 viviendas quedaron sin agua durante una hora y cerca de 50 viviendas permanecieron sin servicio alrededor de siete horas, según The Associated Press.
Un año después, en 2025, el Servicio de Inteligencia de Defensa danés atribuyó el ataque al grupo prorruso Z-Pentest. La agencia sostiene que el grupo tiene vínculos con el Estado ruso. Esa valoración es de inteligencia y no equivale a una conclusión judicial.
España: hornos, transformadores y bodegas afectados
Bloomberg documentó incidentes ocurridos entre finales de 2024 y el verano de 2026:
- Los hornos de un tanatorio en la provincia de Alicante dejaron de funcionar.
- Una máquina para fabricar transformadores en Cataluña sufrió una avería que provocó un incendio.
- Dos bodegas vieron interrumpidas sus operaciones tras un aumento de temperatura.
En marzo de 2026, la Policía Nacional detuvo a un hombre acusado de ayudar a un grupo presuntamente implicado en hasta 40 ataques en España. Bloomberg señaló que los investigadores relacionaron los episodios con una campaña de cibersabotaje vinculada al Gobierno ruso. La acusación contra el detenido no equivale a una condena.
La baja sofisticación no evita consecuencias
El documento identifica a Cyber Army of Russia Reborn, Z-Pentest, NoName057(16) y Sector16 entre los grupos que han atacado infraestructura.
Las agencias describen a estos actores como menos sofisticados que los grupos de amenazas avanzadas. También señalan que a menudo no comprenden los procesos que intentan alterar. Esa limitación dificulta que anticipen las consecuencias, pero las autoridades observaron daños reales.
Su relación con Moscú no es igual en todos los casos. La alerta sostiene que algunos reciben apoyo directo o indirecto del Estado ruso y estima que la inteligencia militar rusa ayudó a crear Cyber Army of Russia Reborn.
Sobre Z-Pentest, la alerta explica que surgió de antiguos integrantes de otros grupos, sin atribuir su origen a la participación de esa inteligencia militar. El Servicio de Inteligencia de Defensa danés sostiene, por su parte, que Z-Pentest tiene vínculos con el Estado ruso.
Las agencias también advierten que estos colectivos buscan notoriedad y suelen exagerar sus capacidades o el alcance de sus incursiones. Una reivindicación difundida por los propios atacantes no demuestra por sí sola que hayan causado el daño que anuncian.
Un ataque similar no prueba la misma autoría
En octubre de 2026, un ciberataque alteró los sistemas de refrigeración de al menos 350 supermercados franceses y obligó a desechar alimentos. Reuters informó el 13 de octubre de 2026 que ningún grupo había reivindicado públicamente esa acción y que los investigadores buscaban a los responsables.
Ese reporte no atribuyó el ataque a los grupos prorrusos. La similitud con otros incidentes no basta para asignarle la misma autoría.
Las agencias recomiendan reducir la exposición
Para reducir el riesgo en instalaciones industriales, CISA y sus contrapartes recomiendan a los operadores:
- Limitar la exposición de los equipos a internet.
- Identificar sus puntos de acceso.
- Reforzar la autenticación.
El riesgo no depende de que un grupo domine por completo el proceso que intenta manipular. Dinamarca y España registraron efectos físicos, mientras el incidente francés afectó alimentos sin una atribución pública. La alerta pide reducir las conexiones expuestas y reforzar la autenticación, pero cada ataque debe atribuirse por separado.
