Irán acaba de cruzar una línea. El cierre de una central eléctrica británica lo cambia todo.
Hackers vinculados a Irán han dejado sin luz por primera vez una planta eléctrica británica, señalando un giro decisivo de las operaciones de información a los ataques contra infraestructura física. Las mismas tácticas se usaron contra sistemas de agua de EE. UU. hace semanas, y el método es aterradoramente simple.
Una puerta silenciosa quedó abierta
Una planta de energía británica se apagó el pasado julio. Permaneció fuera de servicio durante cuatro días. Los operadores tuvieron que restaurar manualmente el control de los sistemas de la instalación después de que hackers irrumpieran mediante lo que los expertos en seguridad ahora califican como una brecha notablemente poco sofisticada: escaneando dispositivos expuestos, explotando contraseñas predeterminadas, atravesando lo que equivale a una puerta principal sin cerrar.
Nadie sabe cuál fue la planta atacada. Nadie sabe exactamente cuánto daño se causó más allá de esos cuatro días. El Centro Nacional de Ciberseguridad del Reino Unido se negó a confirmar o desmentir el ataque cuando CBS News lo preguntó. Pero múltiples medios británicos, incluyendo The Telegraph y Financial Times, reportaron el incidente en agosto de 2026, y los detalles cuentan una historia mucho más alarmante de lo que sugiere el silencio oficial.
Esta fue la primera vez que se cree que hackers vinculados a Irán lograron poner fuera de servicio una instalación energética británica. No la interrumpieron. No amenazaron con hacerlo. Realmente la apagaron.
Y no ocurrió de forma aislada.
El mismo mes, un objetivo diferente
Mientras los periodistas británicos aún procesaban la noticia de la planta de energía, funcionarios estadounidenses lidiaban con un incidente paralelo. Actores vinculados a Irán golpearon sistemas de agua en al menos una docena de estados estadounidenses —Nueva Jersey, Minnesota, Georgia, Dakota del Sur— bloqueando a los operadores, causando pérdida de presión e inundaciones. Los objetivos eran diferentes. La metodología era idéntica: controladores lógicos programables, las computadoras industriales que sirven como sistema nervioso de las instalaciones automatizadas en todo el mundo.
Los PLC están en todas partes. Hay entre 12 millones y 70 millones de ellos operando a nivel global, según firmas de investigación de mercado. Ellos gestionan redes eléctricas. Controlan el tratamiento de agua. Administran la temperatura y la presión en plantas químicas para prevenir explosiones. Suministran energía de respaldo en hospitales. Ellos operan ascensores, controles de velocidad de trenes, puertas de seguridad de prisiones, sincronización de semáforos, sistemas de supresión de incendios.
El primer PLC se construyó a finales de la década de 1960. Muchas unidades que aún están en operación hoy fueron diseñadas para una época en la que la mayor amenaza para el equipo industrial era un pico de energía, no una explotación de acceso remoto.
Estos dispositivos no fueron diseñados pensando en la ciberseguridad. Fueron diseñados para durar décadas en entornos controlados. No fueron diseñados para ser encontrados, escaneados y penetrados por alguien sentado a miles de kilómetros de distancia con una lista de contraseñas predeterminadas.
La arquitectura de la vulnerabilidad
Lo que hace que esta escalada sea tan peligrosa no es la sofisticación de los ataques. Es todo lo contrario.
La Agencia de Ciberseguridad e Infraestructura de Seguridad de EE. UU. ha sido contundente sobre la metodología: los actores vinculados a Irán no están desplegando exploits de día cero ni herramientas de nivel estatal. Están escaneando dispositivos expuestos. Están iniciando sesión con contraseñas que nunca cambiaron. Un escaneo de 2024 realizado por investigadores de seguridad encontró miles de PLCs visibles y buscables en internet abierto, con sus credenciales aún configuradas en los valores de fábrica.
CISA también ha destacado un problema estructural que amplifica la amenaza: la responsabilidad de asegurar este equipo ha caído en gran medida sobre los operadores individuales de las plantas. Muchos son utilidades pequeñas sin personal dedicado de ciberseguridad. Heredaron sistemas industriales que nunca fueron construidos para ser seguros, y los heredaron sin los recursos para reparar lo que estaba roto.
El resultado es un paisaje de infraestructura crítica que se asemeja a una ciudad sin cerraduras en sus puertas y sin nadie contratado para vigilarlas.
Prueba de concepto, no el evento principal
Los funcionarios británicos y ejecutivos industriales no han revelado la identidad de la planta de energía atacada. Los informes indican que era una instalación a pequeña escala y que el ataque no se propagó por el suministro eléctrico general del Reino Unido. Ese detalle importa: sugiere que el ataque podría haber sido un ensayo, un intento de prueba de concepto para mapear cómo responden estos sistemas bajo presión real antes de escalar.
El cronograma de restauración de cuatro días es revelador. Nos dice que incluso una brecha moderada en una instalación controlada por PLC puede crear una interrupción prolongada. Nos dice que la recuperación es lenta, manual y costosa. Y nos dice que si los operadores estaban desprevenidos —lo cual claramente estaban— las consecuencias se extienden mucho más allá de la intrusión inicial.
Los expertos en seguridad ahora tratan el ataque a la planta de energía del Reino Unido y los incidentes en sistemas de agua de EE. UU. como parte de un ciclo coordinado de aprendizaje. Irán está mapeando la debilidad de la infraestructura crítica occidental. Está identificando qué instalaciones son más fáciles de penetrar. Está midiendo cuánto tiempo toma restaurar el control y cuánto daño ocurre en el intertanto.
Cada brecha es datos. Cada apagón es una lección. Y las lecciones se están aplicando.
El detonante geopolítico
La cronología de estos ataques no es casualidad. Las advertencias sobre la actividad cibernética vinculada a Irán se intensificaron drásticamente a principios de 2026, desencadenadas por la guerra de EE. UU. e Israel contra Irán y el asesinato del líder supremo Ayatollah Ali Khamenei. Los ataques parecen ser represalia —pero también preparación.
En junio de 2026, el Dr. Richard Horne, jefe del Centro Nacional de Ciberseguridad del Reino Unido, reveló que su agencia había gestionado más de 200 ciberataques contra infraestructura crítica del Reino Unido en el año anterior. Aproximadamente el 75 por ciento estaban vinculados a estados hostiles, con Rusia, China e Irán como actores principales.
Irán tiene un historial de operaciones cibernéticas disruptivas. En 2022, funcionarios británicos condenaron a Irán por un ciberataque que dejó inutilizables los servicios gubernamentales de Albania. Pero eso fue una operación informativa —robar datos, interrumpir servicios, crear caos. El apagón de la planta de energía del Reino Unido representa algo cualitativamente diferente. Es un ataque físico, habilitado por medios digitales, dirigido contra los sistemas que mantienen funcionando a la sociedad moderna.
Qué sigue
El cambio de hackeo-y-fuga a hackeo-y-apagón es el desarrollo más significativo en la guerra de infraestructura en años. Plantea preguntas que los gobiernos occidentales han evitado ampliamente: ¿Quién es responsable de asegurar sistemas industriales que nunca fueron construidos para ser seguros? ¿Quién paga por actualizaciones de equipo que aún está cumpliendo su función original? ¿Y qué pasa cuando la próxima brecha apunta a una instalación que no puede permitirse cuatro días de parada?
La respuesta a la última pregunta podría llegar más pronto de lo que los políticos esperan. Irán ya no está probando si puede penetrar la infraestructura crítica occidental. Ha demostrado que puede. La fase actual se trata de entender las consecuencias de esas brechas y prepararse para la siguiente escalada.
Para el Reino Unido, EE. UU. y otras naciones occidentales con infraestructura industrial envejecida, el apagón de la planta de energía debe tratarse como una advertencia —no como el evento principal.