Un ataque iraní deja fuera de servicio durante cuatro días una central eléctrica británica

Una instalación energética británica permaneció parada durante cuatro días

El 23 de agosto de 2026 se dio a conocer que unos actores cibernéticos vinculados a Irán interrumpieron el funcionamiento de una pequeña central eléctrica en el Reino Unido. La instalación no ha sido identificada públicamente por motivos de seguridad.

La planta permaneció inoperativa durante cuatro días mientras el personal trabajaba en su recuperación. El incidente no provocó interrupciones en el suministro eléctrico nacional ni sometió a presión a la red británica en su conjunto.

Sin embargo, el caso se considera el primer episodio confirmado en el que grupos asociados al régimen iraní habrían conseguido cerrar una instalación energética en el Reino Unido. También se describe como el ataque más eficaz atribuido a estos actores contra la infraestructura energética británica.

El incidente fue notificado al National Cyber Security Centre (NCSC), el organismo del GCHQ que contribuye a proteger las infraestructuras críticas del país. El NCSC no ha comentado públicamente el caso concreto.

El objetivo podría haber sido demostrar una capacidad operativa

La atribución comunicada vincula a los atacantes con Irán y, más concretamente, con hackers asociados al Cuerpo de la Guardia Revolucionaria Islámica (IRGC).

No hay indicios de que la operación estuviera diseñada para causar víctimas o daños directos a la población. La principal hipótesis es que el ataque pretendiera demostrar la capacidad de penetrar en una infraestructura británica e interrumpir su funcionamiento.

Por tanto, el reducido tamaño de la instalación no habría anulado su valor estratégico. Un generador con un peso marginal frente a la red nacional puede convertirse aun así en una prueba tangible de acceso, control y persistencia dentro de un entorno operativo.

El hecho de que la central permaneciera parada durante cuatro días añade un elemento relevante. El problema no habría consistido únicamente en obtener un acceso temporal, sino en mantener la interrupción el tiempo suficiente para requerir una intervención prolongada del personal.

No se han divulgado el vector inicial, los sistemas comprometidos, las herramientas utilizadas por los atacantes ni el método empleado para devolver la instalación al servicio. Por ello, no es posible determinar si la operación explotó una vulnerabilidad, credenciales robadas, accesos remotos expuestos o técnicas de manipulación de sistemas industriales.

La operación coincidió con los ataques contra instalaciones hídricas estadounidenses

La acción contra la central británica se habría producido al mismo tiempo que una campaña contra infraestructuras de agua en Estados Unidos.

Decenas de plantas de tratamiento de aguas residuales distribuidas en 12 estados sufrieron intrusiones. En algunos casos, los ataques provocaron inundaciones y reducciones de la presión del agua en los grifos. Las autoridades locales recomendaron a los residentes hervir el agua destinada al consumo.

Los primeros avisos llegaron desde Minnesota el 26 de julio. Posteriormente se notificaron incidentes similares en Michigan, Georgia, Dakota del Sur y Nueva Jersey.

En una primera fase, el FBI se refirió de forma genérica a “actores cibernéticos maliciosos”. Más tarde, fuentes del Gobierno estadounidense señalaron a Teherán como el origen más probable de la amenaza.

La secuencia sugiere un interés por objetivos operativos y visibles: la energía y el agua son servicios esenciales, pero no todas las instalaciones afectadas tienen un tamaño capaz de generar consecuencias nacionales. Aun así, una planta local puede ofrecer a los atacantes un entorno real para probar accesos, procedimientos y capacidades de interrupción.

Un riesgo limitado para la red, pero no para las instalaciones individuales

El Gobierno británico ha subrayado que el sitio afectado se encuentra muy por debajo de los umbrales que exigen notificar las actividades cibernéticas. Su capacidad sería insignificante en comparación con la red eléctrica general.

Esta evaluación reduce el impacto sistémico del episodio: no hubo consecuencias para el suministro nacional y la resiliencia de la red no parece haberse visto comprometida. Sin embargo, no elimina el riesgo para las instalaciones más pequeñas, que a menudo son menos visibles y pueden disponer de menos recursos para la seguridad y la recuperación.

En marzo, el NCSC ya había recomendado a las organizaciones británicas revisar su postura de seguridad ante la expansión del conflicto. En junio, el director ejecutivo de la agencia, Richard Horne, declaró que durante el año anterior se habían gestionado más de 200 ataques contra infraestructuras críticas nacionales.

El comité parlamentario encargado de supervisar a las agencias de inteligencia había considerado el año pasado “improbable” un ciberataque iraní contra las infraestructuras del Reino Unido. Sin embargo, una evaluación de riesgos del Cabinet Office publicada el mes pasado estimó entre un 5 % y un 25 % la probabilidad de que se produjera un ciberataque grave y exitoso contra infraestructuras nacionales.

El mismo documento destacó otro factor de presión: la inteligencia artificial puede hacer que las operaciones ofensivas sean más rápidas y baratas, reduciendo los conocimientos técnicos necesarios para llevarlas a cabo. No obstante, el informe no vincula el ataque contra la central británica con el uso de herramientas concretas de IA.

Una campaña más amplia contra los países occidentales

Según la evaluación divulgada, Irán habría intensificado sus operaciones contra países occidentales tras el inicio de los ataques aéreos estadounidenses e israelíes en febrero.

También se han comunicado actividades sospechosas en Alemania, Polonia, Finlandia, Bélgica y Albania. Israel y otros países de Oriente Medio siguen siendo, no obstante, los objetivos más frecuentes asociados con esta actividad.

El caso británico se enmarca así en una presión distribuida entre varios sectores y zonas geográficas. El objetivo no parece limitarse al robo de datos: los incidentes descritos también apuntan a la disponibilidad de los servicios, es decir, a la posibilidad de detener o degradar procesos esenciales.

Para las autoridades, la dificultad consiste en distinguir un sabotaje con consecuencias sistémicas de una interrupción local utilizada como demostración de capacidades. Esta última puede tener efectos inmediatos más limitados, pero proporcionar a los atacantes información valiosa sobre procedimientos, tiempos de respuesta y puntos débiles.

Qué deben hacer los operadores y las organizaciones

Las empresas energéticas y otras compañías británicas han recibido alertas gubernamentales sobre las medidas de respuesta. Además, el NCSC ha recomendado revisar la postura de seguridad, sin limitar la atención a las instalaciones clasificadas como infraestructuras de importancia nacional.

En la práctica, las organizaciones deberían verificar los accesos remotos a los sistemas operativos e industriales, revisar las credenciales privilegiadas y separar en la medida de lo posible las redes administrativas de las redes de control. También es esencial asegurarse de que los planes de recuperación puedan aplicarse incluso cuando la instalación deba funcionar en modo degradado o manual.

El episodio también demuestra el valor de una respuesta rápida: el incidente fue notificado al NCSC mientras el personal trabajaba para recuperar la instalación. No se han divulgado indicadores técnicos, direcciones, malware ni procedimientos específicos que deban buscarse en los sistemas.

En el caso de las instalaciones hídricas estadounidenses afectadas, las recomendaciones a las comunidades incluyeron hervir el agua destinada al consumo. En cuanto a una posible inclusión del incidente en el catálogo KEV de la CISA, no hay información disponible para el caso descrito.