En apenas unas semanas, cientos de supermercados europeos han sufrido ataques informáticos que han provocado pérdidas millonarias de alimentos. En Francia, los sistemas de conservación de plasma sanguíneo han sido manipulados a distancia. Un banco ha sufrido un robo de alrededor de cien millones de euros. Decenas de vuelos han tenido que alterar sus rutas por falsas amenazas de bomba y cientos de colegios han recibido avisos similares. También las televisiones de distintos países se han visto obligadas a evacuar sus instalaciones. Mientras tanto, los gobiernos nos recomiendan preparar suministros para sobrevivir durante 72 horas ante una emergencia y advierten de los riesgos de la llamada guerra híbrida.
¿Qué está pasando? Y, sobre todo, ¿somos conscientes del poder que hemos depositado en unas tecnologías que la mayoría no comprendemos y que pueden terminar siendo utilizadas contra nosotros?
La primera gran alerta se produjo en Francia durante la noche del 11 al 12 de octubre. Alrededor de 700 supermercados sufrieron ataques contra sus sistemas de refrigeración. Alguien consiguió acceder a los dispositivos que controlaban las temperaturas y modificarlas, provocando la pérdida de enormes cantidades de alimentos. Las autoridades francesas identificaron vulnerabilidades en equipos industriales conectados a internet y emitieron una advertencia técnica.
Pero no terminó ahí. Durante la madrugada del 1 al 2 de noviembre se registró una nueva oleada en supermercados de Bélgica, Suecia, Países Bajos, Irlanda, Finlandia y otros países europeos. Cadenas como ICA, Coop, Colruyt o Ahold Delhaize resultaron afectadas. Los daños económicos todavía se están evaluando.
Esa misma noche, tres instalaciones del organismo público francés encargado de la sangre, el Établissement français du sang, detectaron una intrusión en sus sistemas de refrigeración. Según publicó Le Canard Enchaîné, los atacantes habían introducido parámetros de hasta 110 grados positivos en equipos que trabajan habitualmente bajo cero. Afortunadamente, las alarmas funcionaron, el personal intervino y no se perdieron productos sanguíneos.
Pero pensemos un momento en lo que significa. Una persona, desde un ordenador y sin necesidad de acercarse físicamente a las instalaciones, puede poner en peligro la conservación de productos esenciales para la salud de miles de pacientes. En esta ocasión funcionó la seguridad. ¿Qué habría sucedido si las alarmas también hubieran fallado?
Al mismo tiempo, Europa ha vivido una sucesión de falsas amenazas de bomba. Durante los primeros días de noviembre, decenas de vuelos comerciales se vieron afectados. En España, un avión procedente de Mánchester aterrizó en Murcia bajo un dispositivo especial de seguridad. En Barajas se investigaron amenazas relacionadas con tres vuelos. Otras aeronaves tuvieron que desviarse y algunas fueron escoltadas por cazas militares. El viernes 6 de noviembre, los recuentos publicados superaban los cincuenta vuelos afectados durante la semana. No se encontraron explosivos.
Los colegios tampoco han escapado a esta situación. El 19 de octubre, hasta 300 centros educativos de Irlanda del Norte recibieron amenazas por correo electrónico. Algunos tuvieron que cerrar preventivamente. Durante la primera semana de noviembre se registraron también cientos de mensajes intimidatorios dirigidos a escuelas italianas. Las autoridades investigan estos episodios como falsas alarmas, sin que se haya demostrado que compartan responsables con los ataques a los sistemas frigoríficos.
El viernes 6 de noviembre, las amenazas llegaron a varias televisiones europeas. La radiotelevisión pública irlandesa RTÉ evacuó instalaciones e interrumpió parte de sus emisiones. En Bulgaria, Nova TV activó sus protocolos de seguridad y la británica Sky recibió una advertencia similar.
No hace falta que una bomba exista para conseguir alterar el funcionamiento de un aeropuerto, movilizar servicios de emergencia o sembrar inquietud entre la población. Basta con que la amenaza resulte creíble.
Y mientras sucedía todo esto, el banco francés Crédit Mutuel Arkéa reconocía el 4 de noviembre haber sufrido un ataque informático que permitió realizar transferencias fraudulentas por alrededor de cien millones de euros. Los delincuentes aprovecharon una plataforma de un proveedor externo. La entidad aseguró que las cuentas de sus clientes no habían resultado afectadas.
Cada caso es diferente. No hay pruebas concluyentes que permitan afirmar que todos responden a una operación coordinada. Pero tienen algo en común: muestran hasta qué punto nuestra vida cotidiana depende de sistemas informáticos cuyo control puede verse comprometido.
La reacción internacional no se ha hecho esperar. El 4 de noviembre, la Comisión Europea y ENISA emitieron una declaración conjunta sobre los ataques a los sistemas frigoríficos. Al día siguiente, el FBI, CISA y varios departamentos federales estadounidenses advirtieron de una amenaza activa contra infraestructuras industriales de refrigeración, alertando incluso de posibles daños materiales e incendios.
En ese contexto, Bruselas volvió a poner sobre la mesa las recomendaciones para afrontar las primeras 72 horas de una emergencia. La estrategia europea se presentó originalmente en marzo de 2025, pero el pasado 3 de noviembre se anunciaron nuevas orientaciones dirigidas a preparar a la población ante apagones, catástrofes, sabotajes y otras situaciones de crisis.
Hemos entregado las llaves de buena parte de nuestras vidas a sistemas que apenas conocemos. Confiamos en ellos porque funcionan, hasta que dejan de hacerlo. Y quizás sea el momento de preguntarnos quién tiene realmente el control.
Ese mismo día, durante el Foro Europeo de Protección Civil, la comisaria europea Hadja Lahbib pronunció una frase que merece especial atención: "No estamos en guerra, pero tampoco estamos en paz". Advirtió que vivimos en una peligrosa zona gris que puede convertirse rápidamente en un escenario mucho más grave.
Es precisamente esa zona gris la que define una parte de las amenazas híbridas. No siempre necesitan soldados, armas o enfrentamientos militares. Pueden buscar la desestabilización económica, el desgaste de los servicios públicos, la difusión de información falsa o la pérdida de confianza de los ciudadanos en sus instituciones.
También hemos visto en las últimas semanas disturbios y saqueos en distintas ciudades europeas. En Barcelona, los altercados del 24 de octubre terminaron con 130 detenidos y numerosos comercios dañados. La investigación de RTVE sobre el movimiento Blocus documentó cómo algunas convocatorias se difundían mediante redes sociales y carteles generados con inteligencia artificial. No hay motivos para relacionar automáticamente aquellos disturbios con los ciberataques. Pero sí para prestar atención a cómo las herramientas digitales pueden facilitar la organización, amplificación y difusión de determinadas acciones.
Durante años hemos aceptado que la tecnología asuma cada vez más funciones esenciales porque resulta cómoda, rápida y aparentemente eficiente. Nuestros bancos, nuestros hospitales, nuestros transportes, nuestros sistemas energéticos... Todo está conectado. Y ahora estamos dando un paso más con la inteligencia artificial, atribuyéndole capacidades de supervisión, interpretación y decisión que pueden terminar influyendo directamente en nuestra seguridad.
No se trata de negar sus ventajas. La IA puede detectar anomalías, prevenir accidentes y ayudar a resolver problemas que un ser humano tardaría mucho más en identificar. Pero también puede equivocarse, trabajar con información manipulada, ser atacada o utilizarse deliberadamente para causar daños. Y la velocidad con la que se está implantando obliga a preguntarse si estamos preparados para asumir esas consecuencias.
Hay un ejemplo especialmente cercano. El pasado 3 de noviembre, antes de anunciar su dimisión, Óscar Puente presentó ocho medidas para reforzar la seguridad ferroviaria después de la tragedia de Urda. Entre ellas, propuso crear un agente de inteligencia artificial y un gemelo digital de la red ferroviaria para supervisar su funcionamiento, detectar anomalías, anticipar escenarios y analizar las comunicaciones entre maquinistas y controladores.
El propio ministro reconoció que no conocía ningún sistema ferroviario que dispusiera de un equipamiento semejante y que sería necesario innovar.
Y precisamente por eso considero que debemos detenernos a reflexionar. Después de una tragedia de semejante magnitud, ¿estamos en condiciones de introducir nuevas tecnologías en los sistemas de seguridad sin haber acreditado suficientemente su fiabilidad? ¿Quién comprobará sus resultados? ¿Qué ocurrirá cuando se equivoquen? ¿Quién asumirá la responsabilidad? ¿Y qué garantías tendremos de que no puedan ser manipuladas desde fuera?
Por supuesto que la tecnología puede ayudar a prevenir errores humanos. Pero conviene recordar que también puede introducir errores nuevos. No tendría sentido intentar solucionar una vulnerabilidad creando otra que todavía no sabemos controlar.
El debate, además, ya está abierto a ambos lados del Atlántico. La Unión Europea está aplicando su Reglamento de Inteligencia Artificial, aunque ha aplazado hasta diciembre de 2027 determinadas obligaciones para sistemas de alto riesgo, incluidos los utilizados en infraestructuras críticas. Estados Unidos, por su parte, anunció el 4 de noviembre que prepara una exposición del marco legal aplicable a sus laboratorios de IA.
Y aquí existe una contradicción que me parece especialmente preocupante: estamos acelerando la incorporación de estas herramientas a nuestra vida cotidiana mientras seguimos discutiendo cuáles deben ser sus límites, quién debe supervisarlas y qué responsabilidades corresponden a quienes las desarrollan y utilizan.
No está demostrado que los recientes ataques contra los sistemas frigoríficos europeos hayan utilizado inteligencia artificial. Los investigadores apuntan, de hecho, a vulnerabilidades informáticas conocidas. Pero eso no elimina el riesgo de que la IA permita multiplicar ataques similares, perfeccionar las técnicas de engaño o extender campañas de desinformación con una rapidez difícil de controlar.
Tampoco significa que la solución consista simplemente en prohibirla o someter cualquier innovación a restricciones indiscriminadas. El debate debería ser mucho más profundo: qué tecnologías queremos utilizar, para qué, bajo qué controles y con qué capacidad real de intervención humana.
Porque preparar un kit de emergencia en casa puede ser razonable. Pero no podemos acostumbrarnos a que la respuesta a nuestra creciente vulnerabilidad consista únicamente en recomendar a los ciudadanos que tengan agua, alimentos, linternas y baterías por si los sistemas fallan.
La responsabilidad principal corresponde a quienes diseñan, comercializan, implantan y supervisan esas tecnologías. Y a las administraciones que permiten que servicios esenciales dependan de ellas.
Hemos entregado las llaves de buena parte de nuestras vidas a sistemas que apenas conocemos. Confiamos en ellos porque funcionan, hasta que dejan de hacerlo. Y quizás sea el momento de preguntarnos quién tiene realmente el control.
La inteligencia artificial puede convertirse en una herramienta extraordinaria para mejorar nuestra seguridad. Pero también en un instrumento de desestabilización en un contexto de guerra híbrida. La diferencia estará en nuestra capacidad para conocerla, exigir garantías y establecer límites antes de que los acontecimientos nos obliguen a hacerlo.
El verdadero peligro no es que las máquinas sean cada vez más capaces. Es que nosotros dejemos de comprenderlas, de cuestionarlas y, finalmente, de controlarlas.