El FSB toma routers finlandeses

El objetivo útil para el espionaje ruso rara vez es el frigorífico inteligente o el asistente de voz. Suele ser el router que nadie ha actualizado desde que se instaló, guardado en un armario de servidores y reenviando, sin ruido, todo el tráfico de una empresa. Los servicios de inteligencia de Finlandia y Países Bajos lo han advertido este mes, con avisos que merecen una lectura más atenta de la que sugieren los titulares.

Por qué un router es el espía perfecto

Un router es la puerta de entrada y la oficina de correos de cualquier red. Casi todo el tráfico pasa por él. Si un atacante controla ese dispositivo, un router empresarial comprometido puede hacer que el tráfico de la inteligencia rusa parezca proceder de una compañía corriente de Helsinki, y no de un servidor controlado por un Estado. Ese valor por sí solo ya es enorme: oculta el origen del espionaje detrás de la conexión a internet de otro (NSA).

Pero enmascarar la atribución es solo el principio. Un router comprometido también puede capturar credenciales de acceso que pasan por él y redirigir tráfico hacia servidores hostiles sin que nadie dentro de la red lo advierta.

La policía de seguridad finlandesa, Supo, y la inteligencia militar del país alertaron a las empresas sobre operaciones de ciberespionaje ruso vinculadas al 16.º Centro del FSB, una unidad concreta del Servicio Federal de Seguridad de Rusia (Supo, Fuerzas de Defensa de Finlandia). Los objetivos son lo que los especialistas en seguridad llaman «dispositivos perimetrales»: equipos situados en la frontera entre una red privada e internet. En la práctica, routers empresariales y pasarelas de red. Un aviso conjunto publicado en julio de 2026 por la NSA y agencias asociadas detalló las tácticas utilizadas por el FSB y las medidas de mitigación que pueden aplicar las compañías (NSA, Supo).

Las vías de entrada son prosaicas. Contraseñas de fábrica que nunca se cambiaron. Firmware con años de retraso. Paneles de administración accesibles desde internet. Supo calcula que la advertencia podría afectar al menos a miles de empresas finlandesas (MTV Uutiset).

Una cámara de almacén convertida en sensor militar

El caso neerlandés muestra cómo esa misma dejadez genera otro tipo de amenaza. Los servicios de inteligencia de Países Bajos, AIVD y MIVD, confirmaron que actores estatales rusos habían comprometido cámaras IP situadas junto a rutas logísticas militares neerlandesas para vigilar envíos de armas con destino a Ucrania (Rijksoverheid, AIVD). Una cámara instalada para la seguridad ordinaria de un edificio se convierte en un sensor de inteligencia militar en cuanto enfoca el muelle de carga equivocado.

Los servicios neerlandeses describieron una operación internacional «a gran escala» dirigida contra Estados miembros de la OTAN, aunque solo se confirmó el compromiso de un pequeño número de cámaras en Países Bajos (Rijksoverheid). La radiotelevisión pública estonia ERR presentó las mismas conclusiones como una advertencia para todos los países situados en la cadena de suministro hacia Ucrania (ERR).

La ley arregla los dispositivos de mañana, no los de ayer

Europa tiene una respuesta regulatoria. El Reglamento de Ciberresiliencia de la UE exige que los productos conectados vendidos en el mercado europeo sean seguros desde el diseño, con gestión obligatoria de vulnerabilidades durante su periodo de soporte (EUR-Lex). Eso debería mejorar la próxima generación de routers y cámaras que llegue al mercado.

La brecha práctica es evidente: ya hay millones de dispositivos instalados. Routers en armarios de servidores, cámaras en paredes de almacenes, porteros automáticos en entradas de edificios, muchos con software obsoleto y credenciales de fábrica. La regulación condiciona lo que se venderá mañana. No puede actualizar lo que se atornilló a una pared hace cinco años (Comisión Europea).

El consejo de las agencias finlandesas y neerlandesas se reduce a tratar estos equipos como los pequeños ordenadores que son: cambiar las contraseñas de fábrica, actualizar el firmware, desactivar el acceso remoto cuando no sea necesario y dejar de exponer paneles de administración a internet (Supo, AIVD).

Los casos de Finlandia y Países Bajos comparten una lección sobre cómo la geografía redefine el riesgo. La misma contraseña débil en el mismo dispositivo siempre conectado puede significar espionaje empresarial en Helsinki, vigilancia militar en Róterdam y exposición de la logística de la OTAN en Tallin. Rusia no necesita comprometer todos los dispositivos conectados. Le basta con suficientes equipos olvidados en lugares útiles. Según las pruebas públicas disponibles hasta ahora, los routers y las cámaras IP están ofreciendo precisamente eso: una amplia capa de infraestructura europea olvidada, en la que se confía en silencio y que rara vez se mantiene.