En varias localidades del Medio Oeste estadounidense, los responsables de instalaciones de abastecimiento de agua quedaron sin acceso a sus sistemas de control. Dos buques cisterna que transportaban productos energéticos hacia Texas sufrieron intrusiones en sus redes informáticas cuando ingresaron al Atlántico. En Europa, cientos de equipos de refrigeración de supermercados alcanzaron temperaturas de 120 grados Fahrenheit después de que sus controles fueran manipulados a distancia.
Los tres incidentes ocurrieron desde el verano y tuvieron consecuencias que trascendieron los sistemas informáticos afectados. Las sospechas apuntan a operadores cibernéticos iraníes, cuya actividad ha adquirido características distintas de las que predominaron durante las últimas dos décadas.
Irán nunca había alcanzado el nivel de desarrollo tecnológico ni la capacidad de planificación que caracterizan las operaciones cibernéticas de China, Rusia o Corea del Norte. Su posición entre las principales amenazas informáticas internacionales era, por tanto, secundaria. Sin embargo, la guerra que mantiene con Estados Unidos ha coincidido con una transformación de sus métodos, que ahora incluyen ataques contra instalaciones capaces de sufrir daños físicos o interrupciones en sus operaciones.
El cambio no se limita a la selección de nuevos objetivos. Los organismos especializados en ciberseguridad y defensa han identificado una mayor capacidad iraní para aprovechar herramientas tecnológicas recientes, particularmente la inteligencia artificial, junto con una disposición más amplia a utilizar los recursos disponibles para causar daños.
Yossi Karadi, director de la Dirección Nacional de Ciberseguridad de Israel, considera que los operadores iraníes han incorporado a sus procedimientos las experiencias de enfrentamientos anteriores. «Lo que Irán hace ahora es aprender de la última guerra», afirmó en declaraciones a The Wall Street Journal. «Siempre supongo que el enemigo de la próxima guerra no será igual al de la anterior. Será uno mejor preparado».
Israel ha sido el principal objetivo del programa cibernético iraní desde sus primeras etapas, a comienzos de los años 2000. Sus sistemas sirvieron durante años como blancos de operaciones reiteradas y como entornos donde los atacantes probaron distintos procedimientos. Posteriormente, Teherán extendió sus actividades a Arabia Saudita y Emiratos Árabes Unidos, dos de sus rivales regionales. En territorio estadounidense, las intrusiones se dirigieron especialmente contra equipos de fabricación israelí.
Un episodio decisivo para el desarrollo de las capacidades iraníes fue el ataque mediante Stuxnet, el gusano informático creado por Estados Unidos e Israel para penetrar en los sistemas que controlaban las centrifugadoras del programa nuclear de Irán. El código malicioso alteraba su funcionamiento hasta provocar su destrucción. Su descubrimiento, en 2010, permitió conocer una operación que pasó a ser considerada el primer caso de sabotaje informático con destrucción física de instalaciones.
Tras aquel ataque, Teherán destinó mayores esfuerzos al desarrollo de sus propias herramientas cibernéticas. No obstante, buena parte de sus operaciones posteriores conservó un carácter relativamente rudimentario. Las campañas de influencia y las intrusiones destinadas a obtener información fueron recursos habituales de los grupos vinculados al país.
Una excepción importante ocurrió en 2012, cuando el programa malicioso Shamoon destruyó los datos de decenas de miles de computadoras pertenecientes a la petrolera saudí Aramco. El episodio demostró que Irán también podía ejecutar ataques destructivos de gran escala, aunque ese tipo de operación todavía no constituía su modalidad predominante.
Durante años, los grupos de activistas informáticos asociados con Teherán recurrieron especialmente al robo y la publicación de información privada. Su propósito era perjudicar la reputación de determinadas personalidades o instituciones mediante la divulgación de datos obtenidos ilícitamente. Con posterioridad incorporaron a sus objetivos las cámaras de vigilancia conectadas a Internet.
La transformación más reciente responde a una orientación diferente: intervenir directamente en los sistemas de los que depende el funcionamiento de instalaciones y servicios. Dentro de esa estrategia destacan dos procedimientos que pueden emplearse por separado o de manera combinada.
Uno de ellos consiste en eliminar archivos esenciales de los sistemas informáticos hasta impedir que continúen sus operaciones. El otro se dirige contra los controladores lógicos programables, identificados por las siglas PLC. Estos dispositivos ejecutan instrucciones que permiten automatizar procesos en fábricas, redes de transporte, instalaciones logísticas y numerosos servicios industriales.
Los PLC forman parte de la denominada tecnología operacional, u OT, que permite trasladar las instrucciones de los sistemas informáticos al funcionamiento de equipos físicos. Su presencia se extiende por las infraestructuras críticas: regulan semáforos, intervienen en el funcionamiento de bombas de aguas residuales y participan en el control de redes eléctricas, entre otras aplicaciones. El ataque de Stuxnet también se basó en la manipulación de esta clase de controladores.
La importancia de estos dispositivos radica en que una intrusión no necesariamente termina con el robo de información o la inutilización de una computadora. Si un atacante consigue modificar las instrucciones que recibe un equipo industrial, puede alterar su funcionamiento y provocar consecuencias materiales.
Nicholas Andersen, director interino de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA), identifica estos controladores como uno de los componentes más expuestos a las operaciones iraníes. En declaraciones a The Wall Street Journal, señaló que constituyen «un elemento de nuestra infraestructura que, a mi juicio, vemos amenazado particularmente por los agentes iraníes».
Los ataques contra estos sistemas comenzaron a hacerse más frecuentes hace algunos años. Sergey Shykevich, director de inteligencia sobre amenazas de la empresa israelí Check Point, atribuye la práctica totalidad de estas operaciones a CyberAv3ngers, un grupo relacionado con el mando cibernético iraní. La organización también opera bajo la denominación Shahid Kaveh, correspondiente a una unidad de ese mando.
Su actividad quedó documentada a finales de 2023, cuando la CISA responsabilizó a CyberAv3ngers de una intrusión contra dispositivos Unitronics de fabricación israelí instalados en sistemas estadounidenses de gestión del agua.
A comienzos de este año, la agencia estadounidense emitió otra advertencia sobre posibles ataques procedentes de Irán. El aviso recibió una actualización pocos días antes de que se detectaran intrusiones en instalaciones de abastecimiento de agua de al menos siete estados. En septiembre, las autoridades estadounidenses también iniciaron investigaciones para determinar si operadores iraníes habían vulnerado las redes informáticas de dos buques cisterna que se dirigían a Texas.
Las sospechas se extienden a una serie de ataques contra instalaciones de almacenamiento refrigerado en Francia y otros países europeos. Los organismos estadounidenses y franceses investigan la posible responsabilidad de los mismos operadores iraníes en estos incidentes.
En las instalaciones afectadas, alguien modificó a distancia los parámetros de temperatura durante la noche. La alteración provocó incendios y causó pérdidas de alimentos que quedaron expuestos a condiciones incompatibles con su conservación.
Entre los establecimientos atacados figuraban numerosos supermercados de poblaciones rurales. Los especialistas consideran que los sistemas de estas localidades pueden ofrecer mayores oportunidades de intrusión que los de las grandes ciudades, debido a las diferencias en sus medidas de protección.
Las consecuencias de estos incidentes permiten comprender cómo un ataque informático puede perjudicar servicios utilizados diariamente por la población. Andersen destacó precisamente ese aspecto durante la conferencia Cyber Week, celebrada en Tel Aviv. «Es un buen ejemplo para que la gente pueda ver qué consecuencias tendría esto en su vida cotidiana», afirmó.
Las autoridades iraníes rechazan las acusaciones de participación en operaciones cibernéticas contra otros países. Teherán también ha sufrido numerosos ataques informáticos, circunstancia que sus representantes mencionan al responder a las sospechas internacionales.
Mohammad Amin-Nejad, embajador iraní en Francia, negó que su país estuviera detrás de las operaciones contra instalaciones europeas. En declaraciones al Journal, sostuvo que, si Irán dispusiera de semejantes capacidades, las emplearía contra Estados Unidos o Israel, no contra Europa. Sus palabras apuntaban a la posible responsabilidad de otro Estado.
Las diferencias entre las operaciones iraníes y las de las demás potencias cibernéticas han sido objeto de especial atención entre los expertos. China, Rusia y Corea del Norte han desarrollado métodos que responden a objetivos relativamente definidos, mientras que Irán ha recurrido a procedimientos diversos en función de las oportunidades disponibles.
China privilegia las infiltraciones discretas, tanto para obtener información de inteligencia como para conseguir acceso anticipado a sistemas estratégicos que podrían resultar útiles en conflictos futuros. Sus operaciones suelen buscar una presencia prolongada dentro de las redes afectadas, sin que necesariamente se produzcan alteraciones inmediatas.
Rusia, por su parte, emplea los ataques informáticos para provocar desorganización e interrupciones en servicios e instalaciones. Estas actividades pueden complementar sus operaciones militares convencionales y contribuir a sus objetivos durante un enfrentamiento armado.
Corea del Norte mantiene una orientación diferente, marcada por la obtención de recursos económicos. Sus grupos utilizan las intrusiones para cometer robos y extorsiones, de manera que las operaciones cibernéticas también funcionan como una fuente de ingresos.
Irán no responde con la misma regularidad a una modalidad específica. Shalev Hulio, director ejecutivo de la empresa israelí de ciberseguridad Dream, describe su comportamiento como particularmente difícil de encuadrar dentro de los patrones conocidos. «Irán es un caso muy extraño en este aspecto, porque simplemente hace todo lo que puede», afirmó.
La evolución de sus capacidades está relacionada, además, con el acceso a herramientas de inteligencia artificial. La expansión de estos modelos ha proporcionado a los operadores iraníes nuevos recursos para preparar ataques más rápidos y de mayor alcance.
Hulio distingue dos etapas en el uso iraní de esta tecnología. Inicialmente, la inteligencia artificial se empleaba para perfeccionar las técnicas de ingeniería social, destinadas a manipular a las personas y conseguir información o acceso a sistemas protegidos.
Actualmente, sus aplicaciones incluyen el examen automatizado de código informático para descubrir vulnerabilidades de día cero, es decir, fallas de seguridad que todavía no cuentan con una solución disponible para los usuarios. Los operadores también recurren a la ingeniería inversa para estudiar los parches de seguridad y determinar qué errores corrigen.
Este último procedimiento permite identificar los puntos vulnerables de un programa a partir de las modificaciones introducidas por sus desarrolladores. Los atacantes pueden aprovechar esa información antes de que los usuarios instalen las actualizaciones correspondientes.
Para Hulio, estas prácticas reflejan una ambición que excede los enfrentamientos regionales de Irán. «Intentan posicionarse como un actor capaz de representar una amenaza mundial», sostuvo.
A pesar de estos avances, los especialistas todavía sitúan las capacidades tecnológicas iraníes por debajo de las rusas y chinas. La preocupación radica menos en una eventual superioridad técnica que en la disposición de sus operadores a ejecutar acciones destructivas y asumir sus consecuencias.
Mark Montgomery, contraalmirante retirado de la Armada estadounidense y especialista en amenazas cibernéticas de la Foundation for Defense of Democracies, considera que la transformación iraní incorpora un nuevo adversario al conjunto de países capaces de comprometer la seguridad de las infraestructuras. La organización, con sede en Washington, mantiene desde hace años una postura crítica hacia el régimen iraní.
«Ahora tenemos otro país del que preocuparnos, otro adversario que representa una amenaza», señaló Montgomery.
El militar retirado también advirtió sobre el alcance material que han adquirido las operaciones informáticas. «Ahora los ciberataques tienen un nivel de consecuencias que probablemente no habíamos visto antes», afirmó. «Un fragmento de código informático malicioso puede tener el mismo efecto destructivo que un artefacto explosivo».
El posible desplazamiento de las operaciones iraníes hacia Estados Unidos y Europa responde, en opinión de Shykevich, a una combinación de factores. Aunque Israel continúa como objetivo de Teherán, las instalaciones estadounidenses y europeas pueden ofrecer oportunidades de ataque con consecuencias mayores y sistemas de defensa menos eficaces.
Esa diferencia permitiría a Irán causar daños significativos sin necesidad de alcanzar el desarrollo tecnológico de sus principales competidores.
«Definitivamente, no están al nivel tecnológico de Rusia o China», concluyó Shykevich. «Simplemente son más agresivos y menos sutiles».
