Agua y energía bajo ataque: diciembre de 2025, el ensayo general del daño físico

Archivo: reconstrucción escrita en noviembre de 2026

Tema del mes de diciembre de 2025 · por cybercoverinsurance

En diciembre de 2025 tres episodios mostraron, en pocas semanas, qué ocurre cuando los ataques llegan a las instalaciones. El 18 de diciembre Dinamarca atribuyó a Rusia un ataque de 2024 contra una planta de agua que había hecho reventar tuberías y dejado viviendas sin agua. A finales de mes un ransomware cifró unos 1.000 sistemas de la autoridad nacional del agua de Rumanía. El 29 de diciembre un ataque destructivo afectó a más de 30 plantas eólicas y fotovoltaicas y a una gran central de cogeneración en Polonia.

Para quien asume el riesgo cyber los tres casos son un banco de pruebas para tres temas: el daño físico causado por un ciberataque, las exclusiones por actores estatales y el cúmulo en las infraestructuras críticas. Ninguno de los tres causó un daño grave, y precisamente por eso deben leerse como ensayos generales.

Lo que se sabe

Dinamarca, la planta de agua. A finales de 2024 el grupo prorruso Z-Pentest alteró la presión del agua en la planta de Tureby Alkestrup, en Køge, 35 km al sur de Copenhague. Al menos tres tuberías reventaron, unas 50 viviendas se quedaron sin agua durante siete horas y 450 durante una hora. El 18 de diciembre de 2025 el servicio de inteligencia de defensa danés atribuyó el ataque a grupos vinculados al Estado ruso, la primera atribución pública de este tipo por parte de Copenhague. El responsable de la planta, Jan Hansen, aconsejó a otras empresas no recortar en ciberseguridad y contratar un seguro cyber (Euronews). El mismo servicio señaló al grupo NoName057(16) por los ataques de saturación contra webs danesas antes de las elecciones locales de 2025 (Security Affairs).

Rumanía, la autoridad del agua. A finales de diciembre de 2025 un ataque comprometió unos 1.000 sistemas informáticos de la autoridad nacional Apele Române y de 10 de sus 11 administraciones de cuenca. Los atacantes usaron BitLocker, la herramienta de cifrado incluida en Windows, en lugar de un ransomware propio. Se vieron afectados servidores de aplicaciones, bases de datos, correo, webs y DNS. Según la dirección nacional de ciberseguridad, los sistemas operativos que controlan las instalaciones hidráulicas no se vieron afectados y la gestión del agua continuó (eSecurity Planet).

Polonia, la red energética. El 29 de diciembre de 2025 un atacante afectó a más de 30 plantas eólicas y fotovoltaicas en sus puntos de conexión a la red, a una gran central de cogeneración que suministra calor a casi medio millón de usuarios y a una empresa manufacturera. En las plantas renovables se dañaron controladores remotos, relés de protección y equipos de comunicación: las estaciones perdieron el enlace con el operador de la red de distribución, pero la producción de electricidad continuó. En la central, un software de detección bloqueó un programa de borrado de datos. CERT Polska vinculó la infraestructura utilizada a un grupo conocido como Berserk Bear o Dragonfly, asociado a Rusia, y habló de la primera actividad destructiva descrita públicamente de este grupo (CERT Polska).

Cómo entraron en Polonia. Según CERT Polska, en todos los casos los atacantes entraron por equipos perimetrales expuestos a internet, configurados como VPN y cortafuegos, con accesos sin autenticación multifactor. Para la empresa manufacturera se usó una configuración robada anteriormente y publicada en un foro criminal (Help Net Security). Un informe posterior, de agosto de 2026, describió un cuarto ataque el mismo día contra una central más pequeña, con una turbina de vapor parada durante poco tiempo, y un acceso a través de una red móvil privada mal configurada (CERT Polska).

Lo que no se sabe. No se han hecho públicos los costes de los tres episodios, la posible existencia de coberturas de seguro ni, en el caso de Rumanía, el autor y la vía de entrada.

Del dato al daño físico

El riesgo cambia de naturaleza. Un robo de datos produce costes de notificación y responsabilidad. Una presión alterada en una planta de agua produce tuberías rotas y usuarios sin agua. Cuando el ataque llega a la instalación, el daño pasa de la póliza cyber a las pólizas de daños y de responsabilidad civil, y la pregunta es cuál de ellas responde.

El cyber silencioso vuelve a escena. Muchas pólizas de daños han excluido o aclarado el riesgo informático en los últimos años. Un daño físico causado por un ataque puede quedar entre las dos coberturas: excluido de la póliza de daños y no previsto en la póliza cyber. Los casos danés y polaco muestran que el escenario no es teórico.

La separación entre la informática de oficina y las instalaciones importa. En Rumanía el cifrado se detuvo en los sistemas de oficina y el agua siguió fluyendo (eSecurity Planet). En Polonia los atacantes llegaron a los equipos de campo. Para quien asume el riesgo, la separación entre las dos redes es el dato que distingue un siniestro de interrupción de uno con daños materiales.

Actores estatales y exclusiones

Tres episodios, tres atribuciones distintas. En Dinamarca la atribución es oficial, de un servicio de inteligencia. En Polonia procede de CERT Polska, el organismo técnico nacional. En Rumanía no hay atribución. Las exclusiones por ataques estatales que exigen una atribución gubernamental se aplicarían de forma distinta en los tres casos.

Infraestructuras críticas, el punto más delicado. Las exclusiones introducidas en los últimos años se centran a menudo en los ataques que perjudican el funcionamiento de un servicio esencial de un Estado. El agua y la energía son el caso típico. Un ataque como el polaco, si hubiera detenido la producción, habría estado cerca del umbral de estas cláusulas.

El asegurado no elige al atacante. Una empresa de agua o un productor de energía no puede prever si lo atacarán delincuentes o un grupo estatal. El texto de la póliza debe aclarar de antemano cómo se trata un ataque atribuido después del siniestro, incluso meses después, como en Dinamarca.

El cúmulo en las infraestructuras

Más de 30 plantas el mismo día. En Polonia el mismo atacante afectó a decenas de plantas de distintos propietarios con la misma técnica (CERT Polska). Para una cartera de productores de energía renovable, a menudo pequeños y numerosos, es un escenario de cúmulo concreto.

La misma debilidad en todas partes. Equipos perimetrales expuestos sin autenticación multifactor, y configuraciones de redes móviles privadas que según CERT Polska son frecuentes también fuera de Polonia. Una debilidad común a muchos asegurados es el punto de partida de un evento de cúmulo.

El operador pequeño es el más expuesto. Una planta de agua local como Tureby Alkestrup tiene recursos limitados para la seguridad. El consejo de su responsable de asegurarse (Euronews) indica una demanda de cobertura que llega justo donde los controles son más débiles.

Qué llevar a las renovaciones

Impacto para las aseguradorasAlto

En un mes, ataques atribuidos o vinculados a Rusia afectaron a instalaciones de agua y energía en Dinamarca y Polonia, con tuberías reventadas y decenas de plantas dañadas, mientras un ransomware paraba la autoridad del agua rumana.

En cuanto a la cartera, los casos de diciembre sugieren contar cuántos asegurados del sector energético e hídrico usan los mismos equipos perimetrales y las mismas redes de comunicación. Un ataque estatal coordinado contra decenas de pequeñas plantas es un escenario de cúmulo que debe probarse junto con las exclusiones, porque es ahí donde se encuentran el límite de la cartera y el texto de la póliza.

Fuentes

• Euronews – la atribución danesa y el ataque a la planta de Tureby Alkestrup
• Security Affairs – los grupos señalados por la inteligencia danesa
• eSecurity Planet – el ataque a Apele Române
• CERT Polska – informe sobre el ataque al sector energético
• Help Net Security – la vía de entrada en Polonia
• CERT Polska – informe de seguimiento, agosto de 2026