En diciembre de 2015, los piratas informáticos rusos administrado para cortar la electricidad a unos 225.000 clientes en tres regiones de Ucrania. Llevaban meses dentro de esas redes y nadie se había dado cuenta.
Para 2024, Ucrania enfrentado En un solo año se registraron 4.315 incidentes, 59 de ellos catalogados como críticos. El año anterior se produjeron 2.543 ataques, de los cuales 364 se consideraron graves. El número de incidentes aumentó, pero el impacto fue mucho menor.
Cuatro años de esos incidentes se recogen en “Cuatro años en la primera línea digital”, un informe por HierroCyber y Universidad SET. La experiencia de Ucrania generó tres hábitos básicos: comprender lo que ya hay dentro de sus sistemas, aprender de los incidentes que ya han ocurrido y mantener las operaciones en funcionamiento cuando algo sale mal.
Así es como se aplican estas lecciones a las empresas europeas.
Alguien puede retener sus sistemas durante meses antes de que se muestre algo.
Atacantes acceso retenido dentro de Kyivstar, el mayor operador de telefonía móvil de Ucrania, durante al menos siete meses antes del desmantelamiento. La parte visible duró un día, en diciembre de 2023, y cortó el servicio a aproximadamente 24 millones de personas.
Los atacantes no utilizaron trucos sofisticados para obtener acceso. A finales de 2023, alrededor del 40% de los incidentes registrados en Ucrania involucraron extorsión o robo de fondos. Los atacantes se apoyaron en lo que les permitió entrar primero: credenciales comprometidas, dispositivos periféricos expuestos o intermediarios que vendían acceso que otra persona ya había obtenido.
Incluso su propio software puede ser un objetivo. En septiembre de 2024, los piratas informáticos rusos distribuyeron malware vía Signal, disfrazada de una aplicación militar llamada GRISELDA. También enviaron archivos que crearon conexiones secretas a sus sistemas, todos empaquetados como correos electrónicos de administrador de rutina. Ninguno de los ataques aprovechó una falla del producto, sino que se basaron en la confianza que los usuarios ya tenían en esas herramientas.
Antes de su próxima reunión de la junta directiva, sepa dos cosas: a cuántos de sus sistemas se puede acceder desde Internet y cuánto tiempo le llevaría detectar a un extraño usando credenciales válidas. Si no puede responder la segunda, conviértala en su principal prioridad: los inversores y compradores potenciales harán la misma pregunta.
Cada incidente, incluso uno inconcluso, se convirtió en un procedimiento.
El progreso de Ucrania en materia de ciberseguridad entre 2015 y 2024 no se trató solo de obtener mejores herramientas. Los equipos ucranianos trataron cada incidente como material. Cada uno fue desarmado y lo que salió se incluyó en los procedimientos, las reglas de detección y el endurecimiento. El mismo ataque se produjo por segunda vez contra un sistema preparado.
Una cadena de phishing que aterrizó en marzo determinó cómo se manejó la siguiente en abril. Sólo entre 2023 y 2024, los incidentes graves disminuyeron de 364 a 59, lo que el informe atribuye a un ciclo de trabajo de adaptación.
También vale la pena estudiar el trabajo inacabado del atacante. En 2023, los defensores encontraron malware creado para enviar comandos a equipos de subestaciones de red. Todavía no podía funcionar de manera confiable, lo que significaba que alguien todavía estaba realizando pruebas. Para cualquiera que entrenara contra esa muestra, fueron meses de advertencia.
Muchos equipos nacionales de respuesta cibernética publican la materia prima de forma gratuita. Elija tres incidentes recientes de su sector, escriba lo que sucedió y guíe a su equipo a través de ello.
Cree la versión que aún funcione cuando lo principal falle
Los ingenieros energéticos ucranianos evitaron apagones totales aplicando la vieja escuela: aislaron secciones manualmente, desviaron la energía y utilizaron anulaciones mecánicas cuando fallaron los sistemas de control. Con el ransomware, tener copias de seguridad probadas sigue siendo la única forma segura de mantener todo funcionando sin ceder a las demandas.
Los equipos de drones también se adaptaron. Cuando los enlaces de radio y satélite se bloquearon, cambiaron a cables de fibra óptica y luego desarrollaron navegación óptica para mantener a los drones en misión incluso si el GPS quedaba fuera de servicio.
Mantenerse resiliente no se trata sólo de tecnología. En Ucrania, los documentos robados y los dibujos técnicos se publicaron deliberadamente, a modo de presión. Por otra parte, en 2025 los atacantes fueron usando IA para trabajar rápidamente con material exfiltrado y buzones de correo comprometidos, seleccionando lo que valía la pena tener. Revisar una bandeja de entrada pirateada ahora es barato y rápido para los ciberdelincuentes.
Por lo tanto, asegúrese de tener copias de seguridad desde las que realmente haya restaurado, una forma de que su producto se ejecute sin su dependencia más crítica y tenga lista la comunicación con el cliente antes de que ocurra una crisis.
Proteger lo que un competidor querría, no lo que los clientes pueden ver
Todo lo anterior cubre la disrupción. Nada de esto cubre el ataque donde no pasa nada.
En 2024, los piratas informáticos rusos atacaron a los fabricantes de defensa ucranianos por sus datos de diseño (incluidos datos confidenciales sobre armas y tecnología de protección). No hubo ninguna demanda de rescate, ni cifrado, ni ninguna interrupción visible. El daño se aplaza. Lo que se tomó está en el programa de investigación de otra persona y no hay forma de saber qué sucedió.
Muchos fundadores bloquean sus sistemas de producción, pero dejan archivos de diseño, datos de capacitación y resultados de pruebas en unidades compartidas con acceso abierto. Haga lo contrario: bloquee los datos confidenciales de desarrollo y registre cada acceso.
Por donde empezar
Nada de esto es teórico. Las subestaciones se quedaron a oscuras. La red móvil cayó para 24 millones de personas. El malware fue encontrado, nombrado y publicado. Y los métodos no se limitan a Ucrania. El Informe de Defensa Digital 2025 de Microsoft encontró que los 10 países más afectados por la actividad cibernética rusa fuera de Ucrania eran todos miembros de la OTAN, un aumento interanual del 25%.
Vale la pena hacer cuatro cosas y ninguna necesita presupuesto. Escriba todos los incidentes que maneje, incluidos los que estuvieron a punto de ocurrir, y guárdelos en algún lugar donde los ingenieros realmente los lean. Compare los informes publicados por otras empresas de su sector, no los suyos propios del último trimestre. Y cuando alguien hace una llamada bajo presión y resulta incorrecta, registre cómo se tomó la decisión, no sólo cuál fue el resultado.
Mapee de qué depende, no solo de lo que posee. Proveedores compartidos, canales de actualización, enlaces satelitales y proveedores de servicios son cómo el incidente de otra persona se convierte en suyo. Esta es la parte que casi nadie hace a fondo.