Ransomware bloquea los bosques estatales letones

La empresa pública forestal de Letonia, Latvijas valsts meži (LVM), sufrió el 22 de junio un ciberataque que dejó fuera de servicio cerca de la mitad de sus sistemas informáticos durante la festividad de Jāņi, el solsticio de verano letón, cuando la vigilancia operativa era menor (LTV). El golpe afectó a servicios cotidianos como permisos de caza, mapas forestales y datos de entrega de madera.

LVM desconectó de forma preventiva varios servicios públicos: mapas digitales, la aplicación de caza Mednis y los intercambios de datos con socios externos. La compañía empezó a restaurar sistemas desde copias de seguridad y rechazó cooperar con los atacantes. El equipo letón de respuesta ante incidentes, CERT.LV, confirmó que se había publicado material robado en internet, aunque los investigadores seguían tratando de determinar qué datos se habían extraído realmente. Su diagnóstico apuntaba a una operación de extorsión con ánimo de lucro, no a una campaña vinculada a un Estado (LTV).

Cableado viejo tras paredes nuevas

Muchas grandes organizaciones públicas se parecen a edificios rehabilitados. La entrada parece moderna, con portales web, aplicaciones móviles y mapas interactivos. Tras las paredes, sin embargo, queda cableado antiguo: sistemas de acceso anteriores a las protecciones actuales, conexiones remotas de contratistas que nadie audita desde hace años o servidores que siguen funcionando porque sustituirlos interrumpiría servicios esenciales. Esas debilidades no se ven desde fuera, pero suelen ser las primeras puertas que prueban los atacantes.

Las bandas de ransomware suelen entrar con una contraseña robada o a través de un sistema sin parchear. Después trabajan en silencio para convertir un acceso limitado en control de administrador, moviéndose por la red hasta obtener la llave maestra. Cuando aparece la nota de rescate, el intruso puede llevar semanas dentro (CISA). Según LTV, los tanteos contra los sistemas de seguridad de LVM habían empezado antes de la fecha visible del ataque (LTV).

Las organizaciones públicas son especialmente vulnerables porque no pueden permitirse largas interrupciones y, al mismo tiempo, deben mantener tecnologías antiguas y nuevas durante ciclos de renovación muy largos (CISA, CrowdStrike). La seguridad suele romperse justo en esas juntas entre infraestructuras heredadas y sistemas modernos.

El patrón de al lado

El ataque en Letonia encaja en un problema más amplio en la región. En Lituania, las autoridades investigan el robo de más de 600.000 extractos del Registro de la Propiedad, incluidos códigos de identificación personal, al operador público Registrų centras (LRT). El acceso se produjo mediante cuentas de empleados robadas, con los primeros inicios de sesión ilícitos a comienzos de 2026. La ciudadanía no tuvo conocimiento del caso hasta meses después (TV3). Unas 1.000 personas preparaban una demanda contra el Estado (Verslo žinios).

Los dos casos son distintos desde el punto de vista técnico, pero revelan la misma carencia: sistemas digitales civiles que sostienen la vida pública diaria y que siguen insuficientemente protegidos. Alemania ya mostró hasta dónde puede llegar esa brecha. En 2021, el distrito de Anhalt-Bitterfeld declaró el estado de catástrofe tras un ataque de ransomware que dejó servicios ciudadanos interrumpidos durante semanas (Landkreis Anhalt-Bitterfeld).

Las nuevas reglas ante una interrupción real

NIS2 es la directiva europea que eleva la resiliencia cibernética al nivel de responsabilidad de la dirección. Los operadores de servicios esenciales deben enviar una alerta temprana en las 24 horas posteriores a la detección de un incidente, presentar una notificación detallada en 72 horas y entregar un informe final en el plazo de un mes (EUR-Lex). La alta dirección responde personalmente de la gestión del riesgo de ciberseguridad (European Commission).

Letonia incorporó NIS2 a su legislación nacional con efectos desde septiembre de 2024, y los requisitos mínimos de ciberseguridad entrarán en vigor en julio de 2025 (Business.gov.lv). Tras el ataque contra LVM, el primer ministro en funciones firmó cinco resoluciones que obligan a los ministerios a informar sobre la seguridad de los sistemas estatales y sobre el flujo de información de incidentes dentro del Gobierno (Kulbergs). Vinculó el incidente a normas de ciberseguridad pendientes, con el reconocimiento implícito de que las reglas escritas solo sirven si se traducen en procedimientos operativos.

La prueba es ahora práctica, y va mucho más allá de los países bálticos. ¿Cuánto tardará LVM en recuperarse? ¿Se sabrá qué datos personales quedaron expuestos? ¿Se habían probado las copias de seguridad antes de necesitarlas? ¿Puede un ministro identificar quién asume el riesgo cibernético de cada sistema público dentro de su cadena de mando? Todos los operadores públicos europeos se enfrentan a esas preguntas. NIS2 garantiza que ya no puedan quedar sin respuesta.