Ocho mil sistemas solares y eólicos a merced de cualquiera

Los investigadores de Modat y el NCSC-NL no encontraron un fallo aislado, sino una herida abierta en la red. Ocho mil quinientos cuarenta y siete sistemas de gestión de parques solares y eólicos cuelgan en Internet sin ninguna barrera real. No es una cifra técnica vacía, es una puerta entreabierta. Cualquier persona con un navegador puede ver las interfaces de administración desde su sofá, sin más esfuerzo que la curiosidad.

España, el epicentro digital de la energía solar

El dato que más duele no es el total global, sino nuestra posición en él. España concentra 2.766 de esos sistemas expuestos, lo que representa el 35 % del conjunto europeo. Es una cifra abrumadora si la comparamos con el resto del continente. Grecia le sigue con 1.860, Italia con 753 y Alemania con 672. Estos cuatro países acaparan el 76 % de toda la exposición solar detectada en el estudio.

La brecha con el resto de la Unión es enorme. Hungría apenas registra 514 casos y Turquía, 454. La predominancia española no es casualidad, sino el reflejo de un despliegue masivo de infraestructura que no ha ido acompañado de la misma madurez en la ciberseguridad operativa. Nos hemos enfocado en producir kilovatios, pero hemos descuidado quién tiene las llaves de la central.

Para los administradores de estos activos, la noticia es una llamada de emergencia directa. No es una amenaza teórica de un informe académico, sino una puerta abierta que ya está siendo recorrida por ojos ajenos. La exposición no es un riesgo futuro, es una realidad presente que exige una reacción inmediata y coordinada.

El control absoluto como vulnerabilidad crítica

Lo más escalofriante del hallazgo no es que los sistemas estén visibles, sino qué se puede hacer con ellos. En 181 ubicaciones concretas, los investigadores lograron obtener el control total de la infraestructura. Esto significa que, con un simple clic, podían apagar turbinas eólicas o detener la producción de un parque solar completo.

Acceder a estos paneles también permite ver datos de producción en tiempo real y localizar físicamente las instalaciones. Un atacante no solo puede sabotear la red eléctrica, sino que puede espiar la capacidad instalada y la eficiencia operativa de un país entero. La línea entre una falla de software y un acto de sabotaje energético es más fina de lo que creemos.

La velocidad del ataque frente a la inercia defensiva

Soufian El Yadmani, CEO de Modat, lo resumió con una precisión quirúrgica. Lo que ellos tardaron horas en mapear, un atacante lo puede hacer en el mismo tiempo. La asimetría es total. Mientras las empresas de energía dedican semanas a auditar sus redes internas, los script kiddies y los grupos de ransomware tienen herramientas que escanean el mundo entero en minutos.

La frase de El Yadmani golpea fuerte. No puedes defender lo que no ves, y nadie puede ver este paisaje completo por sí solo. La fragmentación del sector renovable es su talón de Aquiles. Miles de operadores pequeños y medianos gestionan activos críticos sin la capacidad de un banco o una multinacional para vigilar su perímetro digital.

La exposición no es un error de configuración menor, sino un problema sistémico de la industria. Si la energía eólica y solar son la base del futuro energético, su seguridad digital es la base de la estabilidad de la red. Y hoy, esa base está en terreno inestable.

El contexto europeo de una crisis de seguridad

Este no es un incidente aislado. Japón declaró el estado de emergencia en el ciberespacio esta misma semana tras una oleada de ataques impulsados por IA. Bancos, aseguradoras y empresas de carsharing han visto comprometidos millones de datos. La IA está acelerando la capacidad de los atacantes para escanear vulnerabilidades y generar código malicioso a una velocidad que la defensa humana no puede seguir.

Mientras tanto, en Francia, un ciberataque ha elevado las temperaturas de refrigeración en más de 150 supermercados, arruinando toneladas de comida. La IA no solo ataca las finanzas, también ataca la cadena de suministro alimentario y la infraestructura energética. El patrón es claro. Los atacantes están buscando los puntos débiles de la sociedad, y la energía renovable expuesta a Internet es uno de los más obvios.

La urgencia de una respuesta coordinada

Los administradores de los sistemas afectados ya han sido alertados para que retiren las interfaces de la red pública. Pero eso no basta. Se necesita una revisión profunda de la arquitectura de red de los parques renovables. La separación entre la red de control y la red de gestión es una necesidad absoluta, no una opción de configuración.

La lección de España no es solo técnica, es estratégica. Somos el líder europeo en energía solar, pero también el punto más débil de su ciberseguridad. Corregir esto no es un gasto, es una inversión en la resiliencia del continente. Porque en 2026, apagar un parque solar con un clic ya no es ciencia ficción, es una amenaza real.