Ciberseguridad con el primer café: mi paso por «Castilla-La Mancha Despierta»
Esta mañana he estado en «Castilla-La Mancha Despierta», el informativo matinal de Castilla-La Mancha Media que presenta Ana Isabel Albares. Gracias a ella y a todo el equipo por la invitación y por tratar un tema que a veces parece técnico y lejano, pero que esta semana ha llegado a la nevera del supermercado, al banco de sangre y a la puerta de embarque.
Raúl Renales Agüero
11/9/20264 min leer
Esta mañana he estado en «Castilla-La Mancha Despierta», el informativo matinal de Castilla-La Mancha Media que presenta Ana Isabel Albares. Gracias a ella y a todo el equipo por la invitación y por tratar un tema que a veces parece técnico y lejano, pero que esta semana ha llegado a la nevera del supermercado, al banco de sangre y a la puerta de embarque.
En una entrevista de televisión el tiempo vuela, así que dejo aquí, con algo más de calma, las ideas que preparé y los datos en los que se apoyan.
Una semana que no ha sido casualidad
En pocos días se han juntado tres episodios que, vistos por separado, parecen sucesos. Vistos juntos, dibujan un patrón:
Neveras a 50 grados. El 12 de octubre, cientos de supermercados franceses amanecieron con cámaras y congeladores manipulados a distancia. El 2 de noviembre se repitió en nueve países europeos, de Suecia a Sicilia.
Plasma en peligro. La misma noche, alguien cambió la temperatura de las cámaras de plasma del banco de sangre francés en tres de sus sedes, a través de su proveedor de frío. Las alarmas y el personal lo detectaron a tiempo y no se perdió ni una bolsa.
Aviones con amenazas de bomba. Entre el 2 y el 6 de noviembre, cerca de cincuenta vuelos europeos recibieron avisos falsos. En España, Murcia tuvo que cerrar su aeropuerto más de dos horas y hubo varios vuelos afectados en Madrid-Barajas. No apareció ni un solo explosivo.
Un correo gratis, un protocolo carísimo
La primera pregunta fue si detrás de las amenazas de bomba hay ciberdelincuentes organizados. Mi respuesta: organizados, casi con seguridad; ciberdelincuentes en el sentido clásico, no. El ciberdelincuente de siempre busca dinero, y aquí nadie ha pedido un rescate.
Lo que hay es una asimetría brutal. Un correo anónimo no cuesta nada y obliga a desviar aviones, registrar equipajes, cerrar aeropuertos y hacer despegar cazas. Es un ataque contra la tranquilidad, no contra la cuenta corriente. Y, para ponerlo en su sitio, los vuelos amenazados son en torno al 0,03 % de los que había programados esa semana en Europa. Volar sigue siendo seguro.
La puerta estaba abierta
En el caso de los supermercados, los atacantes no tuvieron que forzar nada. Entraron por controladores de refrigeración conectados directamente a Internet, con versiones antiguas sin actualizar y, en algunos casos, con la contraseña de fábrica. Las vulnerabilidades se conocían desde el verano y había parches. Incluso se ha sabido que, antes de la segunda oleada, los atacantes pasaron días probando contraseñas por defecto.
El caso del plasma deja otra lección: entraron a través de un proveedor de mantenimiento. Tu seguridad es la de tu proveedor más débil.
¿Guerra híbrida? No se condena por el olor
La pregunta del millón era si todo esto es guerra híbrida. Tiene todos sus ingredientes: no hay rescate ni reivindicación, los objetivos son sectores críticos y todo coincide en el tiempo. El propio ministro de Exteriores ha hablado de un intento de agresión híbrida, y la Fiscalía de París investiga posibles vínculos con potencias extranjeras.
Pero aquí hablo como perito judicial. Atribuir es lo más difícil de mi profesión, y en un juzgado no se condena por el olor, sino por las pruebas. Algunos correos iban firmados por un grupo ultra ruso, el «Male State». Pero una firma en un correo no es una prueba: cualquiera puede firmar con el nombre de otro, incluso para despistar. Indicios no son pruebas, y conviene que lo recordemos todos, también quienes informamos.
¿Puede pasar en España?
Ya ha pasado con las amenazas de bomba, y el riesgo de la refrigeración está aquí: el centro de ciberseguridad de la Generalitat Valenciana ha avisado de forma preventiva a 21 empresas que usan la misma tecnología, aunque ninguna consta como atacada. La diferencia la marca quién actualiza y quién no.
Para las administraciones públicas, que conozco bien por mi trabajo, el reto es enorme: sistemas heredados que no se pueden apagar, presupuestos ajustados, falta de profesionales y cada vez más dependencia de proveedores. El marco existe, con el Esquema Nacional de Seguridad y la directiva NIS2; ahora toca aplicarlo también a los sistemas físicos, no solo a los ordenadores.
Lo que puede hacer cada uno
Al ciudadano no le van a calentar la nevera; le van a intentar engañar. INCIBE gestionó en 2025 más de 122.000 incidentes, un 26 % más que el año anterior, y el fraude online ya supone cuatro de cada diez. Con la inteligencia artificial, los mensajes falsos llegan sin faltas de ortografía y las voces clonadas imitan a un hijo o a un jefe.
Tres gestos que eliminan buena parte del riesgo:
Activar la verificación en dos pasos en el correo, el banco y WhatsApp.
Desconfiar de la urgencia: ante la duda, colgar y llamar por otro canal.
Actualizar y cambiar las contraseñas de fábrica del router, las cámaras y cualquier aparato conectado. Lo que le pasó a una gran cadena le puede pasar a la cámara del salón.
Y si algo pasa, existe el 017, la línea gratuita de ayuda en ciberseguridad de INCIBE.
Formar a quienes nos van a defender
También hablamos de formación, que es la otra mitad de mi trabajo. En Alborada youFP y en la Escuela de Hackers de HoneySEC defiendo lo mismo: una base técnica sólida, mucha práctica en laboratorios y simulaciones de incidentes, ética y la capacidad de explicar el riesgo a quien decide, ya sea un director general o un juez. Nadie aprende a nadar leyendo un manual. Y reivindico la palabra hacker: alguien curioso que entiende cómo funcionan las cosas, no un delincuente.
Sobre la inteligencia artificial, mi visión es que funciona como un amplificador: ayuda más a quien la usa mejor y más rápido. Hoy, en volumen, van ganando los atacantes; en capacidad de defensa, nosotros. Y en los próximos años la seguridad saldrá definitivamente del ordenador para llegar a todo lo que está conectado. Harán falta analistas, especialistas en respuesta a incidentes y forense, en seguridad industrial y en la nube, y perfiles capaces de hablar de riesgo en euros ante un consejo de administración.
Para terminar
La ciberseguridad ya no va de ordenadores: va de la comida, de la sangre de los hospitales y de los aviones. Por eso es cosa de todos. La buena noticia es que lo básico funciona: actualizar, desconfiar y pedir ayuda.
Gracias de nuevo a Ana Isabel Albares y al equipo de «Castilla-La Mancha Despierta».
Contacto
Redes sociales:
Email: info@raulrenales.es
© 2025. All rights reserved.
