Espías del FSB penetran Eslovaquia

El router que parpadea en una oficina, o la VPN que una empresa utiliza para el trabajo remoto, no suelen parecer piezas estratégicas. Pero esos equipos discretos son hoy la puerta de entrada de buena parte de la infraestructura moderna. En Eslovaquia, piratas informáticos vinculados al Estado ruso habrían tanteado esas puertas en sistemas relacionados con redes energéticas, producción armamentística y ministerios.

El Ministerio de Exteriores eslovaco confirmó que el país fue objetivo de operaciones cibernéticas vinculadas al servicio de inteligencia ruso FSB (Topky/TASR). El Ministerio de Inversiones precisó que la actividad se dirigió contra infraestructuras críticas, la industria armamentística y el sector energético (TA3). No se apagó ninguna central eléctrica. No se detuvieron trenes. La diferencia importa porque ayuda a entender qué tipo de amenaza se estaba probando.

El ladrón que ignora el televisor

La operación que hay detrás, conocida como Turla, no es una banda de ransomware que busca dinero rápido. Gestionada por la unidad Centro 16 del FSB, está concebida para entrar en redes sin hacer ruido, permanecer oculta y recopilar inteligencia durante meses o años (CISA). La imagen más útil es la de un ladrón que no se lleva el televisor, sino que fotografía el cuadro eléctrico, anota dónde están las cámaras y saca moldes de todas las llaves.

Los puntos de entrada son prosaicos. Una alerta conjunta de la CISA y el FBI describe cómo actores del Centro 16 explotan routers mal configurados, ajustes débiles de gestión de red y pasarelas VPN obsoletas, es decir, los dispositivos situados en la frontera entre una organización e internet (CISA AA26-194A, FBI/IC3). Una pasarela VPN, por ejemplo, puede funcionar a la vez como registro de visitas y como mapa: muestra quién se conecta, desde dónde y a qué sistemas internos accede. Los archivos de configuración pueden revelar conexiones de confianza y rutas hacia zonas más profundas de la red (AttackIQ).

Para un ministerio o una empresa energética, eso significa que un atacante puede aprender dónde están los puntos débiles sin activar ninguna alarma. Con las pruebas públicas disponibles, se trata de reconocimiento para ganar capacidad de presión, no de una prueba de sabotaje inminente.

Por qué se preocupan los vecinos

La infraestructura europea moderna se parece menos a una hilera de casas separadas que a un bloque de viviendas con cableado compartido. Eslovaquia y Austria comparten una red de transporte de gas y un corredor ferroviario muy transitado entre Viena y Bratislava (Gas Connect Austria, ÖBB). Chequia comparte canales de intercambio de datos de defensa y sistemas de regiones fronterizas (Novinky). Eso no significa que esos sistemas hayan sido penetrados. Explica por qué los Gobiernos tratan una intrusión eslovaca como una vulnerabilidad compartida.

Ningún Estado vecino ha comunicado un compromiso confirmado relacionado con este incidente. La preocupación es que configuraciones robadas, credenciales de proveedores o conocimiento de puntos débiles ayuden a preparar movimientos futuros contra sistemas conectados. Austria convocó al embajador ruso por ciberataques relacionados. La UE y el Reino Unido impusieron sus primeras sanciones conjuntas contra el Centro 16 y la operación Turla (Sabr Cyber & Tech News, formiche.net). Esas respuestas indican que los Gobiernos ven la amenaza como común, incluso sin pruebas de daños transfronterizos.

Un código de edificación no actualiza un router

Este es el tipo de escenario para el que se diseñó NIS2. La directiva, en la práctica un código de edificación para servicios digitales esenciales, obliga a los operadores de infraestructuras críticas a gestionar el riesgo cibernético, notificar incidentes con rapidez y proteger sus cadenas de suministro (EUR-Lex). La gestión eslovaca puso a prueba esa lógica. Según varios medios, el Gobierno solo confirmó los ataques después de que los periodistas preguntaran por ellos (TA3), mientras figuras de la oposición acusaron al Ejecutivo de una pasividad peligrosa (Aktuality).

Un código de edificación puede exigir salidas de emergencia y detectores de humo. No puede impedir que alguien deje la puerta abierta. NIS2 puede fijar plazos de notificación y evaluaciones de riesgo. No puede actualizar un router antiguo ni cambiar una clave VPN filtrada.

Lo ocurrido en Eslovaquia, según la información disponible, no demuestra que «Rusia pueda paralizar la infraestructura europea». Muestra que actores vinculados a Rusia atacaron sistemas que podrían servirles para entender, cartografiar y preparar presión contra servicios críticos. Los puntos de apoyo son silenciosos, el acceso es paciente y la ambición mira al largo plazo. La prueba para Europa es si trata el acceso invisible con la misma seriedad que la disrupción visible.