En los últimos días de diciembre de 2025, la red eléctrica de Polonia sufrió lo que las autoridades del país calificaron como el mayor ciberataque dirigido contra su infraestructura crítica en años. Investigadores de ESET Research han determinado que el responsable es Sandworm, el notorio grupo de amenaza persistente avanzada (APT) alineado con Rusia. El análisis técnico del malware utilizado, al que los investigadores han bautizado como DynoWiper, revela un solapamiento significativo con campañas anteriores del grupo, lo que ha permitido una atribución con un nivel de confianza medio. Aunque el ataque no logró una interrupción confirmada del suministro eléctrico, la elección del objetivo y la fecha — justo una década después del primer apagón facilitado por malware orquestado por Sandworm en Ucrania — envían una señal clara sobre las capacidades y la persistencia de este actor estatal.
Atribución a Sandworm: el análisis de ESET y el malware DynoWiper
La investigación de ESET, presentada el 23 de enero de 2026, se basa en el estudio de las muestras de malware recuperadas del incidente y en la comparación con tácticas, técnicas y procedimientos (TTPs) documentados del grupo Sandworm. Los investigadores encontraron una fuerte correspondencia con numerosas actividades pasadas de wiper — malware diseñado para destruir datos — atribuidas a este grupo, especialmente en Ucrania. El malware utilizado en Polonia ha sido nombrado DynoWiper y es detectado por las soluciones de ESET como Win32/KillFiles.NMO.
La atribución se realiza con confianza media, una calificación habitual en estos casos dada la naturaleza de las operaciones de los APT, que a menudo emplean infraestructura y herramientas que pueden ser compartidas o imitadas. Sin embargo, la acumulación de evidencias — desde las técnicas de despliegue hasta la firma del código malicioso — apunta inequívocamente a Sandworm. El hecho de que el ataque ocurriera durante la última semana de diciembre de 2025, coincidiendo con el décimo aniversario del histórico ataque a la red ucraniana, añade un componente simbólico difícil de ignorar.
¿Qué es DynoWiper y cómo funciona el malware detrás del ataque?
DynoWiper es un malware de tipo wiper, cuya función principal es eliminar o corromper datos de forma irreversible en los sistemas infectados. A diferencia de un ransomware, que busca un rescate económico, un wiper persigue la destrucción pura, causando daños operativos y paralización de servicios críticos. ESET aún investiga el vector de entrada exacto y el alcance completo de la infección, pero el análisis inicial confirma que el código malicioso estaba diseñado para borrar archivos específicos en los sistemas de control industrial de la red eléctrica polaca.
El nombre DynoWiper sugiere una relación con ataques anteriores que utilizaban el término «Dyn» (como en DynDNS o Dynamic) quizás para referirse a la dinámica de la infraestructura de red, aunque ESET no ha confirmado esta interpretación. Lo que sí está claro es que la detección como Win32/KillFiles.NMO indica que el malware opera en entornos Windows, un blanco habitual en infraestructuras críticas. La ausencia de una interrupción exitosa del suministro sugiere que, o bien las defensas de la compañía energética polaca detectaron y bloquearon parcialmente el ataque, o que los atacantes no lograron ejecutar completamente la fase de borrado en los sistemas SCADA que controlan la generación y distribución de electricidad.
Una década de ciberguerra contra infraestructuras críticas: de BlackEnergy a DynoWiper
El contexto histórico es fundamental para entender la gravedad del incidente. En diciembre de 2015, Sandworm empleó el malware BlackEnergy para acceder a los sistemas de control de varias subestaciones eléctricas en Ucrania. El resultado fue un apagón que dejó sin electricidad a aproximadamente 230.000 personas durante varias horas. Fue la primera vez en la historia que un malware causaba un corte de luz a gran escala, marcando un hito en la ciberguerra.
Desde entonces, Sandworm ha perfeccionado sus métodos. En los años siguientes, el grupo ha lanzado campañas de wiper contra Ucrania de forma casi regular, como documenta ESET en su último informe de actividad APT, que cubre de abril a septiembre de 2025. El análisis muestra que Sandworm no ha abandonado su enfoque en infraestructuras críticas, sino que lo ha intensificado. La elección de Polonia, un país miembro de la OTAN y fronterizo con Ucrania, indica una escalada geográfica en las operaciones del grupo. Polonia ha sido un firme apoyo de Ucrania desde la invasión rusa, y este ataque puede interpretarse como una advertencia o una represalia, además de una prueba de capacidades en un contexto de guerra híbrida.
El simbolismo de la fecha: décimo aniversario del apagón ucraniano de 2015
La coordinación temporal del ataque no es casual. El hecho de que ocurriera exactamente una década después del ataque de BlackEnergy en Ucrania subraya la continuidad de las operaciones de Sandworm y su voluntad de reafirmar su capacidad de infligir daño. ESET lo destaca en su análisis: se trata de un recordatorio de que, diez años después, las herramientas y la determinación del grupo no solo se mantienen, sino que evolucionan. Este tipo de sincronización es característico de los actores estatales, que utilizan fechas simbólicas para reforzar el impacto psicológico y político de sus acciones.
El ataque a Polonia, aunque no logró un apagón, sí demuestra que Sandworm está dispuesto a expandir su radio de acción más allá de Ucrania. Polonia comparte frontera con el país invadido y alberga infraestructura logística crítica para el envío de ayuda militar y humanitaria. Atacar su red eléctrica representa un desafío directo a la OTAN y una prueba de estrés para los sistemas de defensa cibernética europeos.
Impacto y consecuencias: ¿por qué el ataque no logró cortar el suministro?
Según las declaraciones de ESET, no tienen constancia de que se produjera una interrupción exitosa como resultado de este ataque. Esto plantea preguntas importantes sobre la efectividad del malware o la preparación de la compañía objetivo. Es posible que los mecanismos de seguridad de la red eléctrica polaca, reforzados tras años de alertas sobre amenazas a infraestructuras críticas, hayan sido capaces de contener la propagación del wiper antes de que alcanzara los sistemas de control más sensibles.
Otra posibilidad técnica es que DynoWiper no estuviera completamente desarrollado o que los atacantes hubieran cometido errores en la fase de despliegue. Los wipers suelen requerir un acceso profundo a la red de destino y un conocimiento detallado de la arquitectura industrial. Si los defensores detectaron actividades anómalas a tiempo, pudieron aislar los segmentos afectados. De cualquier modo, el incidente demuestra que la amenaza es real y que la disuasión no es suficiente; la inversión en ciberdefensa para infraestructuras críticas sigue siendo una prioridad ineludible.
Implicaciones estratégicas para Europa y América Latina
El ataque a Polonia tiene repercusiones que trascienden el ámbito local. Para los países europeos, especialmente aquellos que apoyan activamente a Ucrania, es una llamada de atención sobre la necesidad de proteger sus propias redes eléctricas, de telecomunicaciones y de transporte. La OTAN ha identificado el ciberespacio como un dominio de conflicto, y eventos como este refuerzan la urgencia de compartir inteligencia y coordinar respuestas.
En el caso de América Latina, aunque la amenaza inmediata de Sandworm parece lejana, el patrón de ataque a infraestructuras críticas ofrece lecciones valiosas. Países como México, Brasil, Colombia y Chile, que dependen crecientemente de sistemas SCADA interconectados para la gestión de energía y agua, deben considerar que actores estatales hostiles podrían exportar sus tácticas a otras regiones. La replicabilidad de ataques como el de DynoWiper es alta: un wiper puede ser adaptado para atacar cualquier sistema Windows que controle procesos industriales, y los protocolos de comunicación industrial como IEC 60870 o Modbus son estándar globales.
Es fundamental que las empresas del sector energético en toda la región implementen segmentación de red, monitoreo continuo de amenazas, y planes de respuesta ante incidentes específicos para malware destructivo. La atribución del ataque a Sandworm, aunque con confianza media, ya es suficiente para justificar una revisión de las posturas de seguridad.
Indicadores de compromiso (IoCs) y medidas de protección
ESET ha publicado los indicadores de compromiso (IoCs) relacionados con este ataque, que permiten a los equipos de seguridad buscar señales de infección en sus propias redes. El IoC principal es un hash SHA-1 del binario de DynoWiper:
- SHA-1: 4EC3C90846AF6B79EE1A5188EEFA3FD21F6D4CF6
- Detección: Win32/KillFiles.NMO
- Descripción: DynoWiper
Los administradores de sistemas deben asegurarse de que sus soluciones antimalware estén actualizadas con las firmas que cubren esta detección. Además, se recomienda revisar los registros de eventos en busca de actividades sospechosas relacionadas con el borrado masivo de archivos, especialmente en servidores Windows que formen parte de la red de control industrial. La segmentación entre la red corporativa y la red OT (tecnología operativa) sigue siendo la mejor defensa contra este tipo de ataques, ya que limita la capacidad del malware para propagarse desde un punto de entrada inicial hasta los sistemas críticos.
Preguntas frecuentes sobre el ataque de Sandworm a la red eléctrica de Polonia
¿Quién es Sandworm y por qué ataca infraestructuras críticas?
Sandworm, también conocido como APT44 o Voodoo Bear, es un grupo de ciberamenaza vinculado a la inteligencia militar rusa, concretamente a la Unidad 74455 del GRU. Su especialidad son los ataques disruptivos contra infraestructuras críticas, especialmente redes eléctricas, telecomunicaciones y transporte. Han ejecutado campañas notables en Ucrania desde 2015 y ahora han ampliado su alcance a Polonia. Su objetivo es desestabilizar a los adversarios de Rusia mediante la destrucción de capacidades operativas esenciales, sin buscar beneficio económico.
¿Cuándo ocurrió el ataque y cómo fue detectado?
El ataque tuvo lugar en la última semana de diciembre de 2025. Fue detectado por ESET Research durante su monitoreo rutinario de amenazas contra infraestructuras críticas. Los investigadores analizaron las muestras de malware recuperadas del incidente y las vincularon con actividades previas de Sandworm, lo que permitió la atribución. El anuncio público se realizó el 23 de enero de 2026 a través del blog WeLiveSecurity.
¿Qué es DynoWiper y cómo se diferencia de otros wipers?
DynoWiper es un malware diseñado para eliminar archivos de forma permanente en sistemas Windows. A diferencia de wipers como NotPetya o KillDisk, que también han sido utilizados por Sandworm, DynoWiper parece estar enfocado específicamente en entornos industriales, aunque aún no se ha detallado si ataca procesos o archivos de configuración SCADA. Su nombre sugiere una posible evolución de herramientas previas, pero el análisis técnico completo aún está en curso.
¿Está España o América Latina en riesgo de un ataque similar?
Si bien Sandworm ha concentrado sus ataques en Ucrania y ahora Polonia, la metodología y las herramientas utilizadas son transferibles a cualquier país que utilice infraestructura crítica basada en Windows y protocolos industriales estándar. España, como miembro de la OTAN y aliado de Ucrania, es un objetivo potencial en caso de escalada del conflicto. En América Latina, aunque el riesgo inmediato es bajo, la adopción de medidas preventivas — como segmentación de redes, copias de seguridad offline y monitoreo de anomalías — es recomendable para cualquier organización del sector energético.
La amenaza persistente de Sandworm y el futuro de la ciberseguridad en infraestructuras críticas
El ataque a la red eléctrica de Polonia, aunque no logró su objetivo máximo, representa un hito en la evolución de la ciberguerra. Sandworm demuestra una vez más que dispone de la voluntad y los recursos para atacar más allá de Ucrania, ampliando el teatro de operaciones a países de la OTAN. La atribución realizada por ESET, basada en el análisis del malware DynoWiper, aporta una pieza clave para entender las capacidades actuales del grupo.
La comunidad internacional debe interpretar este incidente como un ensayo general de ataques mayores. La sincronización con el décimo aniversario del apagón ucraniano no es una coincidencia, sino una declaración de intenciones. A medida que la guerra en Ucrania continúa, es previsible que Sandworm y otros grupos alineados con Rusia intensifiquen sus operaciones híbridas contra países que apoyan a Kiev. Para los operadores de infraestructuras críticas en Europa y más allá, la lección es clara: la ciberdefensa debe ser una prioridad presupuestaria y estratégica, y la cooperación entre gobiernos y empresas de seguridad como ESET es indispensable para anticiparse a la próxima oleada de ataques.
