Si una operación digital apaga una red eléctrica, paraliza aduanas o interrumpe un hospital, ¿sigue siendo solamente un “problema informático”?
En el ciberespacio pueden actuar delincuentes, investigadores de seguridad, empresas, grupos políticos, servicios de inteligencia y fuerzas armadas. Utilizan infraestructuras parcialmente compartidas y sus operaciones pueden parecerse desde fuera. Por eso comprender la seguridad informática contemporánea exige separar capacidad técnica, intención, atribución, efectos y marco jurídico. Esta ficha no te dará UNA respuesta. Te dará las herramientas para construir la tuya.
Objetivo didáctico
Al terminar esta ficha serás capaz de analizar críticamente incidentes de ciberseguridad y posibles operaciones de ciberguerra, distinguiendo actores, objetivos, efectos sobre infraestructura crítica, problemas de atribución, límites del derecho internacional y principios de ciberdefensa orientados a la resiliencia de sociedades digitalizadas.
Introducción
La expresión ciberguerra se utiliza con tanta facilidad que puede terminar ocultando más de lo que explica. No todo ataque informático es un acto de guerra. El robo de credenciales para obtener dinero, el espionaje de secretos gubernamentales, una campaña de ransomware contra un municipio y una operación digital realizada como parte de un conflicto armado pueden utilizar técnicas parecidas, pero pertenecen a categorías políticas y jurídicas distintas.
El problema se complica porque Internet fue diseñado como una red interdependiente. Bancos, hospitales, empresas eléctricas, gobiernos, ciudadanos y fuerzas armadas utilizan componentes físicos y digitales que no siempre están claramente separados. Un programa malicioso destinado a un objetivo puede propagarse fuera de él; una empresa tecnológica privada puede poseer infraestructura indispensable para operaciones estatales; y atribuir una intrusión a un responsable concreto puede requerir combinar evidencia forense, inteligencia y contexto geopolítico.
🔷 Distinción fundamental
Ciberseguridad es el campo amplio dedicado a gestionar riesgos para sistemas, redes, datos y servicios digitales. Ciberdefensa se refiere a capacidades organizadas para prevenir, detectar, resistir, responder y recuperarse frente a amenazas relevantes para una organización o un Estado. Ciberguerra es una expresión político-estratégica más estrecha y controvertida: no debe utilizarse como sinónimo automático de delito informático, espionaje o hackeo.
El derecho tampoco desaparece cuando una operación cruza una pantalla. Los Estados han reconocido en procesos de Naciones Unidas que el derecho internacional se aplica al uso estatal de las tecnologías de información y comunicación. Cuando existe un conflicto armado, entra además en juego el derecho internacional humanitario, con principios como distinción, proporcionalidad y precaución. Sin embargo, persisten debates importantes: qué efectos digitales constituyen un “ataque”, cuándo una operación puede alcanzar el umbral de uso de la fuerza y qué evidencia basta para atribuir jurídicamente una conducta a un Estado.
La consecuencia práctica es que la seguridad informática avanzada no consiste en imaginar una guerra invisible entre especialistas frente a pantallas. Consiste en comprender cómo decisiones técnicas pueden afectar electricidad, agua, salud, pagos, transporte, telecomunicaciones y confianza pública. El centro del problema no es la computadora atacada: es la función social que depende de ella.
Desarrollo del tema
Actores en ciberseguridad: la palabra “hacker” no explica la intención
Llamar hacker a cualquier persona que interviene técnicamente un sistema puede ser tan impreciso como llamar “conductor” a todas las personas que utilizan un vehículo sin preguntar si son taxistas, paramédicos, investigadores o delincuentes. En ciberseguridad importan la autorización, la intención, la organización que respalda al actor y el efecto buscado. Un investigador puede estudiar una vulnerabilidad para corregirla; un grupo criminal puede buscar extorsión; un colectivo político puede perseguir visibilidad; una empresa puede realizar pruebas autorizadas; y un Estado puede desarrollar capacidades de espionaje, interrupción o apoyo militar.
Los actores estatales o vinculados con Estados presentan un desafío especial. Pueden perseguir inteligencia estratégica durante meses sin provocar daños visibles, preparar accesos para una crisis futura o ejecutar operaciones disruptivas. En una conferencia pública de 2021, el National Cyber Security Centre británico citó atribuciones oficiales que vinculaban diferentes campañas con actores de Rusia, China, Corea del Norte e Irán. La atribución pública funciona así no solo como diagnóstico técnico, sino también como instrumento diplomático.
Las empresas privadas ocupan otra posición ambigua. Proveedores de nube, telecomunicaciones, software y ciberseguridad poseen visibilidad sobre enormes cantidades de actividad y, en ocasiones, capacidades defensivas superiores a las de instituciones públicas pequeñas. Durante una crisis internacional pueden convertirse en custodios de infraestructura esencial sin haberse concebido originalmente como actores geopolíticos.
También están los actores internos: empleados, contratistas o administradores con acceso legítimo que cometen errores o abusan de privilegios. La imagen popular de un atacante entrando “desde fuera” puede ocultar que numerosas brechas comienzan con credenciales válidas. Analizar actores exige preguntar siempre: ¿qué acceso tienen, qué quieren conseguir, quién los dirige, qué restricciones enfrentan y qué evidencia permite distinguir una hipótesis de una atribución?
Incidentes históricos: cuando el daño digital cruza al mundo físico y social
La historia reciente muestra una progresión importante. Los primeros grandes incidentes ayudaron a comprender la fragilidad de redes informáticas; después aparecieron operaciones capaces de afectar procesos industriales, hospitales, cadenas logísticas, sistemas financieros y servicios gubernamentales. El cambio no consiste en que “Internet se volvió peligroso”, sino en que cada vez más funciones esenciales comenzaron a depender de sistemas conectados.
Stuxnet, descubierto públicamente en 2010, se convirtió en uno de los ejemplos emblemáticos porque estaba diseñado para intervenir sistemas industriales asociados con centrifugadoras de enriquecimiento de uranio. Su autoría no quedó demostrada públicamente mediante evidencia jurídica concluyente, lo que ilustra una característica recurrente: un análisis técnico puede describir con gran precisión qué hace un código y, aun así, no resolver definitivamente quién es responsable.
En diciembre de 2015, compañías eléctricas de Ucrania sufrieron interrupciones no planificadas vinculadas posteriormente por autoridades estadounidenses con actividad cibernética patrocinada por Rusia. En 2017, WannaCry se propagó a cientos de miles de computadoras en más de 150 países; durante el mismo año, NotPetya mostró cómo una operación destructiva podía extender consecuencias económicas a empresas situadas mucho más allá del objetivo geopolítico inicial.
América Latina aporta casos igualmente importantes. En México, los ataques de 2018 contra aplicaciones utilizadas por participantes del SPEI afectaron sistemas de conexión de instituciones financieras, no el sistema central operado por Banco de México. El banco central informó pérdidas cercanas a 300 millones de pesos y posteriormente reforzó controles, supervisión y mecanismos de contingencia. La precisión importa: decir simplemente “hackearon el SPEI” elimina la diferencia entre vulnerar un núcleo central y comprometer sistemas periféricos conectados a él.
Infraestructura crítica: cuando disponibilidad y seguridad física son inseparables
Una infraestructura es crítica no porque utilice tecnología sofisticada, sino porque su interrupción puede afectar funciones esenciales de una sociedad: energía, agua, telecomunicaciones, salud, transporte, pagos o administración pública. Esto cambia las prioridades de seguridad. En una computadora doméstica puede ser aceptable reiniciar inmediatamente después de una actualización; en una planta industrial, detener un proceso sin preparación puede generar riesgos físicos.
Los sistemas de tecnología operacional —operational technology u OT— controlan procesos reales: válvulas, motores, presión, temperatura, generación eléctrica o líneas de producción. Algunos tienen ciclos de vida de décadas, dependen de componentes heredados y no pueden recibir actualizaciones con la misma frecuencia que una aplicación web. Es como reparar los frenos de un autobús mientras lleva pasajeros: la seguridad del cambio importa tanto como corregir la falla.
El ataque ucraniano de 2015 ayudó a demostrar que una intrusión digital podía coincidir con una interrupción eléctrica. Desde entonces, la seguridad de infraestructura crítica se analiza no solo en términos de confidencialidad, sino también de disponibilidad, integridad de procesos y seguridad física. Una lectura incorrecta en un sistema industrial puede ser más peligrosa que la filtración del mismo dato.
En 2024, NIST publicó la versión 2.0 de su Cybersecurity Framework y organizó la gestión del riesgo alrededor de seis funciones: Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar. El cambio es significativo porque coloca Govern en el centro: defender sistemas críticos no es responsabilidad exclusiva del personal técnico. Requiere decisiones de dirección sobre prioridades, proveedores, dependencias, riesgos aceptables y continuidad operativa.
Ciberderecho internacional: el ciberespacio no es un territorio sin reglas
Una dificultad frecuente consiste en imaginar que, porque Internet atraviesa fronteras, el derecho internacional deja de funcionar. Los procesos de Naciones Unidas han sostenido lo contrario: el derecho internacional, incluida la Carta de la ONU, se aplica a la conducta de los Estados en el uso de tecnologías de información y comunicación. Esto incluye principios relacionados con soberanía, no intervención, solución pacífica de controversias y prohibición del uso de la fuerza.
Sin embargo, aplicar reglas antiguas a efectos digitales plantea problemas nuevos. Si una operación destruye físicamente una instalación, el análisis se parece más al de otros medios de ataque. Pero ¿qué sucede cuando no rompe ninguna máquina y, aun así, inutiliza durante días un hospital o borra datos indispensables para abastecer agua? El Comité Internacional de la Cruz Roja ha señalado que estas consecuencias no físicas requieren mayor clarificación jurídica.
Cuando existe un conflicto armado, el derecho internacional humanitario limita también las operaciones cibernéticas. Distinción exige diferenciar objetivos militares de bienes civiles; proporcionalidad limita daños incidentales excesivos; y las medidas de precaución buscan reducir riesgos para la población. Hospitales, servicios médicos y otras infraestructuras civiles no pierden su protección simplemente porque ahora dependan de software.
El debate continúa activo. Del 20 al 24 de julio de 2026, Naciones Unidas celebró la primera sesión sustantiva de su nuevo Mecanismo Global sobre tecnologías de información y comunicación en el contexto de la seguridad internacional. Uno de sus cinco pilares de discusión es precisamente el derecho internacional. El 22 de julio de 2026, el CICR insistió ante ese mecanismo en que las operaciones militares mediante TIC durante conflictos armados deben cumplir el derecho internacional humanitario.
¿Puede esa conducta atribuirse jurídicamente a un Estado? es una pregunta de responsabilidad internacional.
¿Qué respuesta está permitida? exige analizar el marco jurídico aplicable, los efectos y las circunstancias. Una respuesta sólida no salta directamente de una dirección IP a una conclusión de guerra.
Ciberdefensa: resistir, responder y recuperarse sin depender de una muralla perfecta
Una defensa madura parte de una premisa incómoda: ningún sistema conectado puede garantizar riesgo cero. La estrategia no consiste solo en impedir intrusiones, sino en evitar que una intrusión inicial se convierta en una crisis sistémica. Por eso aparecen conceptos como defensa en profundidad, segmentación, privilegio mínimo, monitoreo continuo, recuperación probada, gestión de incidentes y redundancia.
La analogía más útil no es una fortaleza medieval, sino un sistema moderno contra incendios. Un edificio seguro no depende de que jamás aparezca una chispa: utiliza materiales adecuados, sensores, extintores, puertas cortafuego, rutas de evacuación, simulacros y servicios de emergencia. En ciberdefensa ocurre algo semejante. Prevenir importa, pero también detectar rápidamente, contener, continuar las funciones esenciales y reconstruir de manera segura.
La historia de la respuesta coordinada nació en buena medida de un fracaso. El 2 de noviembre de 1988, el gusano Morris alteró aproximadamente el 10% de los sistemas conectados a la entonces pequeña Internet. Después del incidente, DARPA pidió al Software Engineering Institute de Carnegie Mellon establecer un equipo para coordinar respuestas a emergencias informáticas. Así nació CERT/CC, antecedente de una red internacional de equipos de respuesta a incidentes.
La ciberdefensa estatal añade otras capas: inteligencia de amenazas, coordinación entre sectores, protección de infraestructura crítica, ejercicios nacionales, diplomacia, atribución pública y, en algunos Estados, capacidades militares. Pero disponer de capacidad ofensiva no sustituye la resiliencia interna. Un país cuya electricidad, banca o salud colapsan por una falla conocida posee un problema defensivo aunque también pueda realizar sofisticadas operaciones en el exterior.
Para México y América Latina, la prioridad no debería reducirse a adquirir tecnología. Los incidentes contra sistemas financieros, gobiernos y servicios públicos muestran que gobernanza, personal especializado, procedimientos, cooperación regional y recuperación son tan importantes como las herramientas. La ciberdefensa es una capacidad institucional sostenida, no un producto que se instala una vez.
Conclusión
Comprender la seguridad informática contemporánea exige dejar de imaginar el ciberespacio como un mundo separado de la sociedad. Cuando una red sostiene pagos, electricidad, hospitales, impuestos o telecomunicaciones, una alteración digital puede producir consecuencias económicas, políticas y humanas. Esa realidad explica por qué la ciberseguridad dejó de ser un asunto exclusivo de especialistas técnicos.
También exige precisión conceptual. Un delincuente que despliega ransomware, un servicio de inteligencia que obtiene información y una fuerza militar que utiliza capacidades digitales durante un conflicto no son automáticamente el mismo tipo de actor. La atribución debe distinguir evidencia técnica de responsabilidad jurídica, y el concepto de ciberguerra no debería emplearse para dramatizar cualquier incidente.
La infraestructura crítica muestra además que una defensa perfecta es una ilusión peligrosa. Las sociedades necesitan prevenir, detectar, contener y recuperar. El derecho internacional establece límites, pero sigue enfrentando preguntas complejas sobre efectos no físicos, atribución y umbrales. La pregunta que queda abierta no es si habrá más operaciones cibernéticas, sino cómo construir instituciones capaces de resistirlas sin normalizar una militarización ilimitada del espacio digital.
Referencias
- Banco de México. (2018). Reporte de análisis forenses sobre los incidentes que afectaron a participantes del Sistema de Pagos Electrónicos Interbancarios.
- Banco de México. (2019). Informe anual sobre las infraestructuras de los mercados financieros 2018.
- Carnegie Mellon University Software Engineering Institute. (2025). Fostering growth in professional cyber incident management.
- Cybersecurity and Infrastructure Security Agency. (2022). Understanding and mitigating Russian state-sponsored cyber threats to critical infrastructure.
- International Committee of the Red Cross. (2026). Global Mechanism on ICTs: Statement on international law.
- International Committee of the Red Cross. (2026). Cyber operations and harmful information.
- National Institute of Standards and Technology. (2024). The NIST Cybersecurity Framework (CSF) 2.0. NIST CSWP 29.
- United Nations. (2025). Final report of the Open-ended Working Group on Security of and in the Use of Information and Communications Technologies 2021–2025. A/80/257.
- United Nations. (2026). Global Mechanism on developments in the field of information and communications technologies in the context of international security: Provisional agenda. A/AC.304/2026/L.1.
- World Bank. (2025). Cybersecurity economics for emerging markets: Evidence and lessons from Latin America and the Caribbean.
🔭 Para seguir aprendiendo
- ¿Qué nivel de evidencia debería exigirse antes de que un Estado atribuya públicamente una operación cibernética a otro Estado?
- ¿Puede la dependencia militar de nubes y redes civiles alterar jurídicamente la protección de esas infraestructuras durante un conflicto?
- ¿Qué servicios digitales deberían considerarse tan esenciales para la población como el agua, la electricidad o la atención médica?
Actividad de aprendizaje autónoma
Proyecto: elabore un dictamen de ciberseguridad sobre un incidente real. Seleccione un caso documentado ocurrido desde 2010 que haya afectado a una empresa, gobierno, hospital, sistema financiero, infraestructura crítica o servicio público. Puede utilizar un caso de México o América Latina, o comparar uno regional con otro internacional.
- Construya una cronología mínima del incidente con tres momentos: acceso o detección inicial, impacto principal y respuesta posterior.
- Identifique a los actores relevantes. Distinga víctima, operador técnico, posible beneficiario, proveedores afectados, autoridades y población expuesta.
- Clasifique la motivación predominante como financiera, espionaje, política, destructiva, militar o indeterminada. Justifique por qué y señale qué evidencia podría modificar su conclusión.
- Determine si existió afectación a infraestructura crítica o servicios esenciales. Describa el efecto social, no solamente el daño a computadoras.
- Separe tres niveles de atribución: qué demuestra la evidencia técnica, qué atribuyeron autoridades o investigadores y qué permanece sin comprobar.
- Analice qué marco jurídico podría resultar pertinente. Si el incidente no ocurrió dentro de un conflicto armado, no aplique automáticamente derecho internacional humanitario.
- Proponga cinco medidas defensivas de alto nivel: una de gobernanza, una preventiva, una de detección, una de respuesta y una de recuperación.
- Cierre con un dictamen de 300 a 450 palabras respondiendo: ¿es más apropiado describir el caso como cibercrimen, espionaje, operación estatal, incidente de seguridad, operación de conflicto armado o una combinación todavía incierta?
Evidencia de logro: entregue la cronología, el mapa de actores, el análisis de atribución, la identificación del marco jurídico, las cinco medidas defensivas y el dictamen final. Incluya al menos tres fuentes confiables y distinga claramente entre hechos documentados e inferencias.
Criterio de éxito: el trabajo será sólido si no utiliza “hackeo” o “ciberguerra” como categorías intercambiables; diferencia actor, intención y efecto; identifica consecuencias sobre servicios reales; reconoce incertidumbre de atribución; utiliza correctamente el derecho internacional humanitario solo cuando el contexto lo justifica; y propone defensa basada tanto en prevención como en resiliencia.
Desafío avanzado: escriba después una segunda conclusión desde la posición contraria. Si calificó el incidente como operación estatal, construya el mejor argumento posible para mantener la atribución abierta; si rechazó el término ciberguerra, explique qué evidencia adicional haría razonable reconsiderarlo.
Reflexión final: después de estudiar el caso, ¿qué resulta más difícil de defender públicamente: afirmar quién atacó, decidir cómo responder o aceptar cuánto depende una sociedad de sistemas que nunca pueden hacerse completamente invulnerables?