Desde frigoríficos de supermercados hasta la red estatal de Berlín: los ciberataques golpean infraestructuras críticas. Un hacker ético explica a Euronews por qué las personas son a menudo el mayor riesgo.
Tras los frigoríficos de los supermercados, ahora también han sido atacados por hackers desconocidos los servicios de donación de sangre. La interrupción de la refrigeración ha inutilizado las donaciones. Un ethical hacker explica en una entrevista con Euronews cómo intentan encontrar lagunas de seguridad antes de que los delincuentes puedan causar daños con ellas.
PUBLICIDAD
PUBLICIDAD
"En las dos últimas semanas hemos tenido una acumulación extraordinaria de casos espectaculares, como no la habíamos vivido antes ni siquiera a lo largo de todo un año en esta forma", explica Marco Di Filippo, experto en ciberseguridad en Whitelisthackers. Es lo que se denomina un ethical hacker (en alemán: "ethischer Hacker") y las empresas le contratan para comprobar la seguridad de sus sistemas informáticos.
Últimamente ha tenido muchos casos entre manos. Desde las AfD-Leaks, pasando por las lagunas de seguridad en Revolut y en el lenguaje de scripts PHP, con el que están programadas numerosas páginas web, hasta los ataques contra cámaras frigoríficas. Según el informe nacional sobre ciberdelincuencia 2025 (Bundeslagebild Cybercrime 2025) de la Oficina Federal de Investigación Criminal de Alemania (Bundeskriminalamt), en 2025 se causó un daño económico de 202,4 mil millones de euros.
Un clic abrió a los hackers la puerta a la red del Land de Berlín
Sobre el ciberataque a la red del Land de Berlín en agosto de 2026, Di Filippo afirma que se trata de un caso especialmente problemático. Podría haberse evitado. Los autores exigieron un rescate de 30 bitcoins (unos dos millones de euros), pero el Senado de Berlín lo rechazó de forma tajante. Finalmente se publicaron 1,4 millones de archivos confidenciales en la darknet.
El motivo fue una vulnerabilidad en el sistema digital. El grupo de ransomware "Rhysida", responsable del ataque, aprovechó el desconocimiento de una persona. "La víctima fue dirigida a una página web y allí debía confirmar que era una persona. Este método de ataque se llama ClickFix. Es algo conocido: hay que introducir cifras, juntar imágenes o resolver una operación para confirmar que no se es un bot", explica Di Filippo.
En esa página se pidió a la víctima que ejecutara una determinada combinación de teclas, pegara un comando y pulsara Intro. "Con ello, en última instancia, fue la propia víctima quien abrió la puerta a los atacantes", comenta Di Filippo. Según el experto en seguridad informática, es como si alguien escribiera un correo electrónico con el siguiente contenido: "'Quiero atracar un banco y pasaré esta noche a las diez. Deje, por favor, la puerta entornada para que pueda ir directamente a la caja fuerte'".
De este caso, Di Filippo extrae dos conclusiones. Por un lado, la falta de atención: "En primer lugar había un usuario que ejecutó ese comando, el factor humano". Además, ese usuario no debería haber tenido los permisos necesarios para poder llevar a cabo un ataque de este tipo. "Cada día vemos casos así, ante los que a veces solo se puede negar con la cabeza", valora Di Filippo.
El ser humano, el eslabón débil de la seguridad informática
La probabilidad de verse afectado por un ciberataque es de una entre dos. Sin embargo, esta percepción sigue infravalorándose hoy en día, sostiene el experto en ciberseguridad Marco Di Filippo, de Whitelisthackers. En cambio, las personas temen más a los robos o a las tormentas. "En esos casos, la probabilidad de que me caiga un rayo es de apenas 1 entre 200.000", apunta Di Filippo.
El experto en ciberseguridad lamenta que hoy la seguridad no sea una prioridad. "Se venden muchos productos en los que la facilidad de uso, la experiencia del usuario, está en el centro", explica. Existen, por ejemplo, hogares inteligentes a través de los cuales se puede controlar la luz y la calefacción desde cualquier lugar. Los frigoríficos de los supermercados también están conectados a internet para gestionarlos de forma centralizada. Todo se vuelve más sencillo, pero no necesariamente más seguro.
"Y precisamente ahí tenemos hoy un déficit en nuestra educación. Con 'nosotros' me refiero a todos, es decir, a cualquiera que nunca ha aprendido a reconocer también los peligros", señala Di Filippo. Es necesario empezar por la educación. Quien nunca se ha visto expuesto al riesgo de un ciberataque, tampoco se ve a sí mismo como un posible objetivo. Mientras tanto, las posibilidades de conectarse, por ejemplo, a dispositivos ajenos se multiplican.
Por qué la ciberseguridad empieza ya con la concienciación
En algunos casos basta con hacer clic en un enlace recibido por SMS o por un mensaje de WhatsApp y, a continuación, tener que confirmar la propia identidad para dar accidentalmente a los atacantes acceso a los mensajes privados. Los atacantes vinculan el dispositivo con el suyo y así obtienen acceso a mensajes, archivos multimedia y contactos. De este método, conocido como "Ghost Pairing", advirtió a principios de este año la Oficina Federal para la Seguridad en Tecnologías de la Información (Bundesamt für Sicherheit in der Informationstechnik - BSI). Para evitar que terceros puedan leer los mensajes, el BSI recomienda examinar "de forma crítica" los mensajes entrantes y activar mecanismos como la autenticación de dos factores.
Otros países, como India, además de desarrollar tecnología realizan también mucha labor de sensibilización. "Cuando voy en metro en India, veo carteles por todas partes sobre ciberdelincuentes o daños causados por ciberataques, con una línea de ayuda a la que puedo llamar", describe Di Filippo. En cambio, en Alemania, en ocasiones la Policía llega a rechazar las denuncias y hay que investigar qué organismo es competente.
"Cada día surgen nuevos puntos de partida e ideas para ataques", advierte Di Filippo sobre una evolución vertiginosa. "En el caso de los frigoríficos, los hackers han descubierto una vez esa laguna de seguridad y ahora solo tienen que mirar quién tiene un modelo de ese tipo en funcionamiento. En consecuencia, los ataques se expanden." Encontrar una vulnerabilidad puede desencadenar un efecto bola de nieve.
En entre aproximadamente el 80 y el 95% de los ataques, según Di Filippo, siempre interviene el factor humano para que se pueda explotar una laguna, como en el ataque a las redes del Land de Berlín. "Tenemos que prestar mucha atención a la formación y a la awareness (nota de la redacción: "conciencia") para acabar siendo resilientes frente a los ciberataques. Hay que incluir el factor humano, solo con tecnología no lo lograremos".
Hackear para detener a los hackers
En su trabajo se trata de ponerse en la piel de los hackers delincuentes. "En última instancia, intentamos atacar infraestructuras o encontrar errores en infraestructuras, en programas o en dispositivos basados en tecnologías de la información. Con los mismos medios que utilizan los auténticos ciberdelincuentes", explica Di Filippo. "Solo que nuestro objetivo es encontrar los errores antes de que lo hagan los verdaderos atacantes y exploten esas lagunas".
La gran diferencia es que los ethical hackers son contratados por clientes, por ejemplo grandes empresas, y que no quieren causar daños a la infraestructura de esos clientes. En su empresa nunca ha habido nadie con antecedentes penales, subraya Di Filippo. Los ethical hackers deben presentar un certificado de antecedentes policiales para demostrar y documentar su pasado.
"Siempre encontramos alguna vulnerabilidad", aseguró en su conversación con Euronews sobre su trabajo. Su equipo entrega finalmente a las empresas un informe de hasta 400 páginas en el que se detalla dónde hay lagunas en la infraestructura digital y cómo se han detectado.
Una vez descubiertas, se informa a los fabricantes de los dispositivos finales o de los sistemas para que, junto con la empresa afectada, puedan trabajar en cerrar la laguna. En casos concretos, estas vulnerabilidades valen varios millones de euros, por ejemplo en el caso del iPhone. "Esperamos entonces a que la laguna se cierre. Después, cada vulnerabilidad se publica a través de lo que se denomina una CVE", añade Di Filippo.
Una CVE significa Common Vulnerabilities and Exposures (en alemán: gemeinsame Schwachstellen und Gefährdungen). Es un catálogo de vulnerabilidades de seguridad que está disponible públicamente. El propio BSI informa también sobre vulnerabilidades y, para una recopilación más amplia, remite oficialmente a la base de datos internacional National Vulnerability Database (NVD).
Cuando la falta de cifrado puede costar miles de millones
Las historias que puede contar Di Filippo parecen el guion de una serie de Netflix. Hace casi una década se produjo un caso en el que ciberdelincuentes pudieron sustraer de forma relativamente sencilla 1,2 mil millones de euros a un banco. "Y fue porque el banco no tenía entonces ninguna medida de seguridad en la interconexión de sus sedes", explica el experto en ciberseguridad.
Al parecer, el banco tenía una sucursal en un lado de la calle y, justo enfrente, otra oficina perteneciente a la misma entidad. "Conectaron esa sede mediante un enlace de radio direccional y ese enlace no estaba cifrado. Así, atacantes sin ninguna habilidad especial de hacking pudieron conectarse muy fácilmente y, por así decirlo, moverse con total libertad dentro del banco de forma digital y sustraer ese dinero de manera silenciosa y discreta".
También en el caso de los frigoríficos de los supermercados, en algunos casos faltaba finalmente una protección mediante cifrado. Los expertos recomiendan al menos utilizar una red privada virtual (VPN) o un cortafuegos. Para los bancos rigen hoy normas de seguridad más estrictas. Hace casi un año, además, el Gobierno federal alemán aprobó la directiva NIS-2. Obliga a muchos más sectores y empresas que antes a aplicar medidas vinculantes de ciberseguridad, en particular de carácter preventivo.
La empresa Whitelisthackers apuesta además por la alfabetización mediática y por ello ha puesto en marcha el concurso "Deutschlands bester Hacker" (el mejor hacker de Alemania). El objetivo es encontrar talento y, con la ayuda de ethical hackers, hacer más seguro el mundo digital. Quien gane podrá participar en los llamados hackathons internacionales, maratones de hacking.
El hacking como servicio vive un auge, en ambos bandos. En la darknet, el modelo Cybercrime-as-a-Service (CaaS) (en alemán: ciberdelincuencia como trabajo por encargo) está ya muy extendido entre los delincuentes, pero también el mercado legal de servicios de seguridad está creciendo. Whitelisthackers tramita cada año los encargos de unos 250 clientes. Tras algunos casos espectaculares, en parte a escala mundial, cada vez más empresas se interesan por mejorar su propia infraestructura de seguridad.