Irán y Corea del Norte atacan infraestructura occidental

Entre noviembre de 2023 y enero de 2024, piratas informáticos vinculados a la Guardia Revolucionaria iraní (IRGC) penetraron sistemas de agua potable en varios estados de Estados Unidos. Bajo el alias "CyberAv3ngers", comprometieron al menos 75 controladores lógicos programables (PLC) del fabricante israelí Unitronics; 34 de ellos operaban en plantas de tratamiento de agua y aguas residuales. No necesitaron vulnerabilidades sofisticadas: entraron por dispositivos conectados a internet con contraseñas de fábrica, o sin contraseña alguna.

En febrero de 2025, el Lazarus Group norcoreano vació 1.500 millones de dólares en Ethereum del exchange Bybit, el mayor robo de criptomonedas jamás registrado. Desde 2017, Lazarus ha robado más de 3.000 millones en criptoactivos. Cada dólar evade sanciones de la ONU y financia el programa nuclear de Pyongyang.

Stuxnet, el origen asimétrico

Los piratas iraníes atacan depuradoras con componentes israelíes por razones que se remontan a junio de 2010. Ese mes se descubrió Stuxnet, un gusano diseñado por Estados Unidos e Israel bajo la Operación Olympic Games para destruir centrifugadoras en la planta nuclear iraní de Natanz. Fue el primer ciberataque documentado contra sistemas de control industrial (SCADA/ICS) y le infligió daños graves al programa nuclear de Teherán.

Stuxnet le dio a Irán un agravio y un manual. En meses, Teherán creó su Mando de Defensa Cibernética. Para 2013, un general de la Guardia Revolucionaria ya declaraba a Irán como "la cuarta potencia cibernética entre los ejércitos del mundo". Lo que nació como represalia se volvió doctrina militar: en la guerra con Estados Unidos de 2026, Irán desplegó capacidades "más avanzadas y agresivas" que en cualquier conflicto previo.

Ataques industriales, robos a escala

Los ataques a los sistemas de agua estadounidenses fueron simples pero efectivos. CyberAv3ngers rastreó internet en busca de PLC Unitronics en el puerto TCP 20256, inició sesión con las credenciales de fábrica y reemplazó la pantalla de interfaz con un mensaje: "Han sido hackeados, abajo Israel. Todo equipo fabricado en Israel es blanco legítimo de CyberAv3ngers". Modificaron la lógica de los dispositivos y cambiaron puertos para impedir la reparación. CISA advirtió que el acceso obtenido permitía "efectos ciberfísicos más profundos en procesos y equipos".

Corea del Norte opera con otra lógica. Lazarus Group, brazo ofensivo del Bureau 121 —la agencia de ciberguerra de Pyongyang creada en 1998—, evolucionó del espionaje al crimen financiero industrial. Su célula BlueNorOff se especializa en robo de criptomonedas. En 2022 sustrajo 620 millones de dólares del puente Ronin (Axie Infinity). Tres años después, Bybit quintuplicó la cifra al explotar una vulnerabilidad en la infraestructura de Safe{Wallet}. Ethereum cayó más del 20% tras el ataque; Bitcoin bajó de los 90.000 dólares.

Infiltrados sin malware

No toda operación norcoreana requiere código malicioso. En mayo de 2024, el FBI emitió una alerta pública sobre un vector distinto: trabajadores de TI con identidades falsas, currículos inventados y colaboradores en suelo estadounidense que reciben portátiles y los reenvían a Pyongyang. Estos operativos asisten a entrevistas virtuales, a veces con suplentes que responden por ellos, y obtienen empleo remoto en empresas estadounidenses. Una vez dentro, acceden a redes internas, extraen datos y canalizan los salarios hacia el régimen.

El sector sanitario también está en la mira. Desde mayo de 2021, actores norcoreanos despliegan el ransomware Maui contra hospitales y organismos de salud pública estadounidenses. Un aviso conjunto del FBI, CISA y el Departamento del Tesoro lo confirmó en julio de 2022. Los ataques iraníes a las plantas de agua provocaron una respuesta de siete agencias de cinco países: el aviso CISA AA23-335A fue firmado por el FBI, la NSA, la EPA, el INCD israelí, el CCCS canadiense y el NCSC británico.

La convergencia de dos amenazas

Irán y Corea del Norte comparten una lógica estratégica. Ambos operan bajo sanciones internacionales severas. Ambos tienen inferioridad militar convencional frente a Estados Unidos y sus aliados. Y ambos encontraron en las operaciones cibernéticas el instrumento de mejor relación costo-impacto.

La diferencia está en el motor. Las campañas iraníes son geopolíticas: apuntan a infraestructura vinculada con Israel y buscan disuasión. Las norcoreanas son extractivas: cada bitcoin robado es material fisible pagado, cada red hospitalaria comprometida es moneda de cambio. La frontera entre ciberguerra y crimen organizado ya no existe. Las depuradoras de Michigan y los monederos de Ethereum son frentes del mismo conflicto.

Fuentes

• CISA — "IRGC-Affiliated Cyber Actors Exploit PLCs in Multiple Sectors, Including US Water and Wastewater Systems Facilities" (AA23-335A, diciembre 2024). https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-335a
• FBI IC3 — "Democratic People's Republic of Korea Leverages U.S.-Based Individuals to Defraud U.S. Businesses and Generate Revenue" (PSA I-051624, mayo 2024). https://www.ic3.gov/PSA/2024/PSA240516
• CISA / FBI / Departamento del Tesoro — "North Korean State-Sponsored Cyber Actors Use Maui Ransomware to Target the Healthcare and Public Health Sector" (AA22-187A, julio 2022). https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-187a
• Wikipedia — "Lazarus Group". https://en.wikipedia.org/wiki/Lazarus_Group
• Wikipedia — "Cyberwarfare and Iran". https://en.wikipedia.org/wiki/Cyberwarfare_and_Iran
• Wikipedia — "Stuxnet". https://en.wikipedia.org/wiki/Stuxnet
• Wikipedia — "Bureau 121". https://en.wikipedia.org/wiki/Bureau_121
• CISA — "Iran Cyber Threat Overview and Advisories". https://www.cisa.gov/iran
• Associated Press — FBI investiga ciberataques a sistemas de agua en Michigan y Minnesota. https://apnews.com/search?q=Michigan+water+cyberattack+FBI+CISA