Hospitales paralizados, ciudades sin electricidad y millones de datos comprometidos. ESET España revisa cinco de los incidentes que marcaron un antes y un después en la ciberseguridad europea y advierte de una realidad incómoda: casi una década después, muchas de las vulnerabilidades que los hicieron posibles siguen abiertas.
Europa ha vivido algunos de los ciberataques más devastadores de la historia reciente. Desde el colapso de servicios sanitarios hasta el sabotaje de infraestructuras energéticas, estos incidentes demostraron que una brecha de seguridad puede trascender las pantallas y poner en jaque el funcionamiento de países enteros.
Sin embargo, el paso del tiempo no siempre se ha traducido en una mayor preparación. Con motivo del Mes Europeo de la Ciberseguridad, ESET España ha recuperado cinco ataques que transformaron la manera de entender el riesgo digital, poniendo el foco en las lecciones que dejaron y en las debilidades que, años después, siguen sin resolverse.
El diagnóstico es preocupante: el phishing continúa siendo una de las principales puertas de entrada de los ciberdelincuentes, las vulnerabilidades sin corregir siguen facilitando intrusiones y el ransomware mantiene su capacidad de evolución.
Como advierte Josep Albors, responsable de Investigación y Concienciación de ESET España, el verdadero problema no reside tanto en desconocer las soluciones como en la falta de aplicación sistemática de medidas fundamentales: actualizar los sistemas, restringir privilegios y comprobar que los procedimientos de recuperación funcionan cuando realmente se necesitan.
<text color=»secondary» italic>La lección: tener una actualización disponible no sirve de nada si no se instala a tiempo.</text>
En mayo de 2017, WannaCry se propagó a escala mundial aprovechando una vulnerabilidad de Windows y provocó una crisis especialmente grave en el sistema sanitario británico.
En Inglaterra, al menos el 34% de las organizaciones hospitalarias del NHS sufrió interrupciones y se estima que más de 19.000 citas médicas tuvieron que cancelarse.
Lo más llamativo es que la solución ya existía. Microsoft había publicado casi dos meses antes el parche de seguridad MS17-010, capaz de corregir la vulnerabilidad explotada por el malware.
El incidente dejó al descubierto una debilidad estructural: la distancia entre disponer de herramientas de protección y aplicarlas eficazmente en toda una organización.
¿Qué sigue pendiente? Casi diez años después, la explotación de vulnerabilidades continúa siendo una vía habitual de intrusión. Identificar los activos críticos, eliminar sistemas obsoletos y actualizar con rapidez sigue siendo una asignatura pendiente para numerosas empresas.
<text color=»secondary» italic>La lección: la seguridad de una empresa también depende de la de sus proveedores.</text>
Apenas unas semanas después de WannaCry, NotPetya puso de manifiesto que una amenaza podía propagarse a través de herramientas aparentemente legítimas.
Los atacantes comprometieron el mecanismo de actualización de M.E.Doc, un programa de contabilidad utilizado en Ucrania, e introdujeron código malicioso que terminó extendiéndose a organizaciones de distintos países.
Aunque se presentaba como ransomware, NotPetya tenía un comportamiento esencialmente destructivo, que dificultaba enormemente la recuperación de los datos.
Las pérdidas fueron millonarias. Solo la compañía logística Maersk estimó daños de entre 200 y 300 millones de dólares, mientras que el Gobierno británico calculó que el impacto económico en Europa ascendió a cientos de millones de libras.
Este episodio transformó la percepción del riesgo asociado a la cadena de suministro tecnológica.
¿Qué sigue pendiente? La dependencia de terceros continúa siendo un punto vulnerable. El informe de ENISA publicado en septiembre de 2026 vuelve a señalar los ataques a proveedores y cadenas de suministro como una fuente de incidentes de gran alcance. La segmentación de redes, la limitación de privilegios y la supervisión del software externo siguen siendo esenciales.
<text color=»secondary» italic>La lección: proteger los sistemas industriales es también proteger la seguridad física.</text>
En diciembre de 2016, una parte de Kyiv se quedó sin suministro eléctrico durante aproximadamente una hora. Detrás del incidente había una amenaza diseñada para interactuar directamente con los sistemas de control utilizados en infraestructuras eléctricas.
Investigadores de ESET identificaron y bautizaron aquel malware como Industroyer, una de las amenazas más significativas conocidas contra redes eléctricas.
El caso marcó un punto de inflexión: los ciberataques ya no solo podían comprometer información o interrumpir servicios digitales, sino también alterar infraestructuras físicas esenciales.
La amenaza volvió a manifestarse en 2022, cuando ESET y CERT-UA descubrieron Industroyer2, una nueva variante preparada para atacar subestaciones de alta tensión en Ucrania. La operación pudo frustrarse antes de que se ejecutara la fase destructiva prevista.
¿Qué sigue pendiente? La separación entre tecnología de la información (IT) y tecnología operacional (OT) continúa planteando desafíos. Supervisar los entornos industriales, controlar las conexiones entre redes y preparar procedimientos de operación manual resulta fundamental para garantizar la continuidad de los servicios esenciales.
<text color=»secondary» italic>La lección: tener copias de seguridad no garantiza que una organización pueda seguir funcionando.</text>
En mayo de 2021, el sistema público de salud de Irlanda sufrió uno de los ataques de ransomware más graves de su historia.
El grupo Conti consiguió comprometer la infraestructura tecnológica del Health Service Executive (HSE), obligando a desconectar buena parte de sus sistemas y provocando importantes alteraciones en la atención sanitaria.
La intrusión había comenzado semanas antes mediante un correo de phishing. Los atacantes aprovecharon ese acceso inicial para avanzar por la red hasta desplegar el ransomware.
El incidente evidenció que una crisis de ciberseguridad puede desarrollarse silenciosamente durante semanas antes de manifestar sus consecuencias más visibles.
Tras el ataque, el organismo sanitario irlandés reforzó sus mecanismos de monitorización y aceleró la implantación de medidas como la autenticación multifactor.
¿Qué sigue pendiente? La preparación para recuperarse de un incidente debe comenzar mucho antes de que ocurra. La detección temprana, las copias de seguridad aisladas, la protección de credenciales y los planes alternativos de funcionamiento son tan importantes como las herramientas destinadas a bloquear amenazas.
<text color=»secondary» italic>La lección: los datos pueden convertirse en el objetivo principal sin necesidad de bloquear los sistemas.</text>
En 2023, la campaña contra MOVEit Transfer evidenció una nueva evolución de las estrategias de extorsión digital.
El grupo Cl0p explotó una vulnerabilidad de día cero en este software de transferencia de archivos para acceder a información confidencial de numerosas organizaciones.
A diferencia de las campañas tradicionales de ransomware, el objetivo no era necesariamente cifrar los sistemas, sino sustraer grandes cantidades de datos y utilizar su posible divulgación como mecanismo de presión.
El alcance de la operación afectó incluso a entidades cuyos sistemas internos no habían sido comprometidos directamente, pero que dependían de proveedores que utilizaban la plataforma vulnerable.
Entre las organizaciones afectadas se encontraba el regulador británico de comunicaciones Ofcom, que confirmó la exposición de información a través de esta vía.
¿Qué sigue pendiente? Conocer dónde se almacena la información, quién tiene acceso a ella y qué proveedores intervienen en su tratamiento resulta indispensable. La gestión del riesgo ya no puede limitarse a los sistemas que una organización controla directamente.
Los grandes incidentes de la última década han contribuido a impulsar un marco regulatorio europeo cada vez más exigente.
La directiva NIS2 ha ampliado las obligaciones de gestión del riesgo y ciberseguridad para sectores esenciales e importantes. Por su parte, DORA ha establecido requisitos específicos de resiliencia operativa digital para el sector financiero.
A estas iniciativas se suma el Reglamento de Ciberresiliencia, conocido como Cyber Resilience Act, cuyas obligaciones de notificación de vulnerabilidades explotadas activamente e incidentes graves comenzaron a aplicarse el 11 de septiembre de 2026.
Sin embargo, contar con nuevas normas no implica necesariamente haber resuelto las debilidades que facilitaron los grandes ataques del pasado.
Los sistemas desactualizados, los accesos excesivos, la falta de visibilidad sobre terceros y los procedimientos de recuperación insuficientemente probados continúan formando parte del panorama de riesgo.
WannaCry, NotPetya, Industroyer, Conti y MOVEit utilizaron técnicas diferentes y persiguieron objetivos distintos. Pero todos comparten un denominador común: aprovecharon debilidades que, en muchos casos, podían haberse reducido mediante una preparación más sólida.
La evolución de las amenazas ha demostrado que ninguna organización puede garantizar una protección absoluta. Por eso, el debate sobre ciberseguridad ha dejado de centrarse exclusivamente en impedir los ataques para incorporar una pregunta mucho más decisiva: ¿qué ocurre cuando las defensas fallan?
La respuesta pasa por detectar las intrusiones antes, contener su propagación, proteger los activos esenciales y mantener la actividad incluso en situaciones adversas.
Porque, casi una década después de algunos de los ataques más importantes de la historia reciente, Europa sigue enfrentándose a una paradoja: dispone de más tecnología, más conocimiento y más regulación que nunca, pero todavía arrastra vulnerabilidades que los ciberdelincuentes conocen demasiado bien.
La gran lección no es que los ciberataques hayan cambiado Europa, sino que Europa aún tiene que demostrar cuánto ha aprendido de ellos.
Rincón del CISO
30 Octubre 2026
Actualidad
30 Octubre 2026
Jarana
30 Octubre 2026
Podcast de Cyberlideria MGZN.
Todos los jueves, a partir de las 22:00, estará disponible en CyberLideria MGZN una nueva entrevista, donde un prestigioso CISO colaborador charlará con una personalidad inspiradora, importante, y líder empresarial, tanto del ámbito privado como público.
Manténgase informado sobre la ciberseguridad, tecnología, las tendencias y las noticias que afectan a los líderes de TI.
Suscríbete GRATIS y disfruta de contenido ilimitado sobre ciberseguridad y personas
