Rusia usa cámaras IP contra la OTAN

Una cámara barata de seguridad, instalada en la pared de un almacén europeo y todavía protegida por la contraseña de fábrica, acabó en silencio bajo control de piratas informáticos vinculados al Estado ruso e integrada en una red de vigilancia destinada a seguir los envíos de armas hacia Ucrania. Es posible que su propietario no llegue a saberlo nunca. Los servicios de inteligencia neerlandeses revelaron la operación a comienzos de este mes y explicaron cómo se habían comprometido cámaras IP en países de la OTAN situadas a lo largo de rutas logísticas militares (AIVD, DW). La imagen resume algo que los gobiernos europeos empiezan a decir ya sin rodeos: las operaciones cibernéticas rusas contra infraestructuras civiles no son incidentes aislados. Son una actividad constante.

Las autoridades finlandesas lo describen como arkipäivää, vida cotidiana, una condición permanente de fondo (Yle). La OTAN, al condenar el 13 de julio las «actividades cibernéticas maliciosas persistentes» de Rusia, utilizó un lenguaje que apunta en la misma dirección (NATO). No se trata de una intrusión que se investiga y se da por cerrada. Es una operación sostenida que Europa tiene que resistir.

Copiar todas las llaves del edificio

La imagen tradicional de un ciberataque se parece a un robo: alguien entra, se lleva algo y desaparece. Lo que varias agencias europeas describen ahora se parece más a alguien que copia todas las llaves de un edificio, aprende los turnos de los vigilantes, dibuja las rutas de reparto y, de vez en cuando, activa una alarma de incendios para medir la respuesta.

La puerta de entrada suele ser poco vistosa: un router antiguo, una contraseña débil, un aparato que nadie ha actualizado en años. El servicio de inteligencia finlandés, Supo, sostiene que el Centro 16 del FSB ruso utiliza precisamente esas grietas para espiar a empresas de energía y defensa (Supo). No hacen falta herramientas exóticas.

La gravedad estratégica aparece después del acceso inicial. Los atacantes roban credenciales, es decir, copian llaves, y las usan para pasar de un sistema a otro: del vestíbulo al almacén y de ahí a la sala de control. Vigilan comunicaciones internas, reconstruyen el funcionamiento de la organización y conservan el acceso durante meses o años. El espionaje sirve para cartografiar el terreno. Las avalanchas de tráfico basura que tumban páginas web generan ruido. El código malicioso destructivo puede quedar latente, disponible si se decide escalar (ENISA).

Países distintos, una misma campaña

Cada país observa la amenaza desde su propia zona de exposición. En Finlandia, la historia se concentra en los bordes de la red: empresas energéticas y sectores críticos convertidos en objetivos de espionaje prolongado. La ministra de Exteriores, Valtonen, condenó la actividad y convocó al embajador ruso (MTV Uutiset). En Polonia, el foco está en el corredor logístico: como una de las principales rutas de tránsito del apoyo a Ucrania, el país afronta operaciones cibernéticas junto a sabotajes físicos. El ministro de Exteriores, Sikorski, advirtió de información creíble según la cual Rusia estaría preparando nuevas acciones, y mencionó incendios provocados, ataques ferroviarios y reconocimiento de infraestructuras en el mismo plano que las intrusiones digitales (RMF24, Rzeczpospolita).

No son relatos contradictorios. Son superficies distintas de una misma campaña: robar accesos, vigilar redes, mapear dependencias, interrumpir de forma selectiva e imponer costes a los Estados que sostienen a Ucrania.

Conviene introducir una cautela: algunas advertencias se apoyan en inteligencia clasificada que los gobiernos no pueden publicar. La atribución es una evaluación oficial, no una prueba pública presentada ante un tribunal. El Ministerio de Exteriores polaco citó una posición de la UE que vincula operaciones destructivas con el Centro 16 del FSB (WP). Es una atribución plausible y respaldada institucionalmente, pero no plenamente verificable desde fuera.

Las leyes están listas; los routers, no

La respuesta jurídica europea ha avanzado deprisa. La idea central de los dos grandes instrumentos, la Directiva NIS2 y el Reglamento de Ciberresiliencia, consiste en elevar la responsabilidad: sacarla del departamento informático desbordado y llevarla a los consejos de administración y a los fabricantes de dispositivos (NIS2 Directive). La NIS2 hace jurídicamente responsable a la alta dirección en materia de ciberseguridad y endurece la notificación de incidentes en más sectores. El Reglamento de Ciberresiliencia ataca directamente el origen del problema de cámaras y routers, al exigir a los fabricantes que vendan productos con parámetros de seguridad adecuados en lugar de contraseñas de fábrica (EUR-Lex CRA).

La brecha está en la aplicación. Una directiva no puede parchear de golpe todos los routers antiguos ni sustituir todas las contraseñas por defecto. La transposición de la NIS2 sigue siendo desigual entre los Estados miembros. La arquitectura es razonable. El cableado está incompleto.

Para los ciudadanos europeos, el cambio es tanto conceptual como técnico. La ciberseguridad ya no consiste en limpiar los daños tras una intrusión espectacular. Es mantenimiento de infraestructuras: detección continua, parches, supervisión de proveedores y respuesta ante incidentes. Resulta menos llamativo que un gran ataque de portada, pero cuesta más sostenerlo. La próxima prueba no será si Europa tiene las leyes adecuadas sobre el papel. Será si las cámaras viejas, los routers sin actualizar y los consejos de administración poco formados han cambiado antes de que Rusia utilice los accesos que ya ha construido.