Ciberataque al túnel de Fehmarnbelt: los hackers paralizan la construcción del enlace entre Dinamarca y Alemania

Durante el incidente, las tarjetas electrónicas del personal dejaron de funcionar, los trabajadores perdieron el acceso a los sistemas internos y al wifi oficial, y los procesos de negocio ordinarios tuvieron que realizarse manualmente. Los buques offshore especializados, las grúas flotantes y las plataformas utilizadas para colocar las enormes secciones de hormigón del túnel también quedaron inmovilizados después de que las herramientas digitales de navegación y logística dejaran de estar disponibles.

El alcance completo de la interrupción sigue sin estar claro. Medios daneses y alemanes informaron de que los atacantes explotaron una vulnerabilidad de seguridad no revelada para acceder a una amplia gama de sistemas internos. Ni los autores ni el método exacto de entrada habían sido identificados oficialmente a 14 de octubre. Tampoco hubo confirmación formal de que se hubieran reanudado las operaciones normales.

Para un proyecto que ya arrastra retrasos, el momento no podía ser peor. Pero el incidente plantea una pregunta que va mucho más allá del calendario de construcción: ¿quién es responsable de proteger un corredor de transporte europeo de primer orden cuando su infraestructura física la ejecuta una red internacional de empresas privadas?

Cuando el fallo digital detiene el trabajo físico

El túnel de Fehmarnbelt es una ilustración inusualmente clara de hasta qué punto los sistemas digitales se han integrado en la ingeniería pesada. El túnel sumergido, de unos 18 kilómetros, conectará Rødbyhavn, en la isla danesa de Lolland, con Puttgarden, en la isla alemana de Fehmarn. Sus 89 elementos prefabricados de hormigón se fabrican e instalan como parte de un proyecto destinado a acortar los trayectos entre Escandinavia y Europa Central.

El tercer elemento se colocó con éxito en agosto de 2026. Esa operación requirió la coordinación de grandes estructuras, equipos marinos especializados y complejos procesos logísticos. Cuando el software y los sistemas de comunicación que sostienen ese trabajo dejan de estar disponibles, las consecuencias no se limitan a la administración de oficina.

Una tarjeta de acceso desactivada es un inconveniente aislado. La pérdida de las herramientas digitales necesarias para coordinar equipos offshore es algo distinto. Los trabajadores pueden seguir presentes, la maquinaria puede seguir siendo operativa físicamente y los elementos del túnel pueden estar intactos, y aun así el contratista ya no puede llevar a cabo tareas esenciales mediante sus procedimientos habituales.

Los apaños manuales pueden mantener en marcha algunas actividades, pero no son necesariamente un sustituto seguro ni práctico de los sistemas integrados que se utilizan en una gran obra. El izado de cargas pesadas y las operaciones marinas dependen de la coordinación, la información fiable y procedimientos claramente definidos. Continuar sin confianza en esos sistemas puede ser más peligroso que detenerse.

El incidente pone así de manifiesto una distinción que las estrategias de seguridad de infraestructuras a menudo han tenido dificultades para asumir. Proteger los equipos frente a daños físicos no es lo mismo que garantizar que esos equipos puedan operarse con seguridad cuando su entorno digital ha sido comprometido.

No hay indicios, en la información disponible, de que los atacantes tomaran el control directo de la maquinaria de construcción o causaran daños físicos. La interrupción reportada fue, aun así, lo bastante sustancial como para interferir en las operaciones. Solo eso demuestra la capacidad de palanca que puede adquirir una intrusión digital sin que se destruya un solo bloque de hormigón o acero.

La vulnerabilidad está más allá del propietario del proyecto

El proyecto de Fehmarnbelt está supervisado por Sund & Bælt, una empresa estatal danesa, pero la construcción la lleva a cabo FLC, un consorcio que reúne a empresas de Dinamarca, Francia, Alemania, Bélgica y los Países Bajos.

Este reparto de responsabilidades es central para el problema de seguridad.

Las autoridades públicas pueden conservar la propiedad de un activo estratégico y, al mismo tiempo, depender de contratistas privados para diseñar, construir y operar los sistemas que lo hacen funcionar. Esos contratistas, a su vez, mantienen sus propios entornos informáticos y se coordinan con subcontratistas, proveedores y fabricantes de equipos especializados. La seguridad debe funcionar a través de estas relaciones, no solo dentro de la organización formalmente responsable del proyecto.

Un consorcio multinacional aporta una considerable experiencia en ingeniería. También crea un amplio entorno organizativo en el que los permisos de acceso, el software, los procedimientos operativos y los estándares de seguridad deben encajar entre sí. Cuanto más interconectada está la operación, más difícil puede resultar determinar dónde se originó una vulnerabilidad y hasta dónde se ha extendido una intrusión.

La debilidad precisa explotada en FLC sigue sin revelarse. Por lo tanto, sería prematuro atribuir la brecha a un proveedor, un sistema o un fallo concreto de los controles internos. Tampoco hay pruebas que identifiquen a los atacantes como un Estado extranjero, un grupo de ransomware o un sindicato criminal.

Pero la incertidumbre sobre el método no elimina la preocupación de fondo. Si la red interna de un contratista sostiene tanto la administración rutinaria como la logística esencial de la construcción, un compromiso de esa red puede afectar a un proyecto público estratégico incluso cuando los sistemas del cliente estatal no han sido vulnerados.

El perímetro de seguridad de un proyecto de infraestructura moderno ya no lo definen los límites del propio activo. Se extiende a las redes comerciales y tecnológicas de las que depende la construcción.

Eso es un problema más complicado que proteger un sistema informático gubernamental o un único operador de transporte. Exige que los clientes públicos entiendan no solo si sus contratistas cuentan con políticas de ciberseguridad, sino si esas políticas protegen los sistemas cuyo fallo podría detener el trabajo sobre el terreno.

Copenhague afronta una prueba de responsabilidad

La respuesta danesa ya ha ido más allá de las dificultades técnicas inmediatas del contratista. Sund & Bælt confirmó que FLC había denunciado el incidente y señaló que seguía en comunicación con el consorcio mientras continuaban las investigaciones. La ministra de Transporte, Signe Munk, y la ministra de Seguridad Pública y Gestión de Desastres, Lisbeth Bech-Nielsen, se pronunciaron sobre la gravedad de la situación.

El 14 de octubre, Bech-Nielsen convocó a los partidos parlamentarios para debatir la resiliencia digital nacional y los protocolos de respuesta.

La atención política es comprensible. Un contratista de construcción puede ser una entidad comercial privada, pero la interrupción de un proyecto de infraestructura transfronterizo de primer orden genera cuestiones de rendición de cuentas pública. El Estado debe determinar si el emplazamiento es seguro, si las operaciones pueden reanudarse con garantías y si existen debilidades similares en otras partes de las redes que sostienen la infraestructura de transporte crítica.

Esas preguntas no pueden responderse simplemente restaurando el acceso a los ordenadores o reconectando los servicios digitales. Los investigadores deben determinar el alcance de la intrusión y verificar la integridad de los sistemas afectados antes de que pueda restablecerse la confianza en las operaciones normales.

La distinción importa porque la recuperación técnica inmediata y la respuesta de seguridad a más largo plazo son tareas separadas. Un sistema que parece volver a funcionar puede requerir aún escrutinio si el punto de entrada original sigue siendo desconocido o si no se ha establecido el alcance completo del acceso no autorizado.

La información disponible no establece si las autoridades alemanas o agencias de seguridad transfronterizas más amplias participan directamente en la investigación forense. Dada la estructura internacional del proyecto y su futuro papel como enlace entre los dos países, la cooperación entre jurisdicciones será una consideración importante. No debe confundirse, sin embargo, con un acuerdo operativo confirmado.

Para Copenhague, el incidente también presenta un difícil equilibrio político. Una respuesta contundente puede ser necesaria para demostrar que la seguridad de las infraestructuras estratégicas se toma en serio. Pero el Gobierno debe evitar tratar un ataque no identificado como prueba de una amenaza geopolítica concreta antes de que las pruebas respalden esa conclusión.

La prioridad inmediata es establecer qué ocurrió. El reto institucional es garantizar que la próxima investigación no comience solo después de que otra obra se haya detenido.

Europa ya ha ensayado el escenario más amplio

El ataque se produce en medio de una creciente preocupación europea por las ciberamenazas al transporte y la logística. En junio de 2026, la UE llevó a cabo Cyber Europe 2026, su mayor ejercicio de crisis cibernética, en el que se simularon ataques coordinados contra redes ferroviarias y de transporte marítimo transfronterizas. Las agencias de seguridad también han seguido campañas de phishing dirigidas a la logística europea, las bolsas de carga y las plataformas de tarjetas de combustible, incluidas campañas atribuidas a grupos como Diesel Vortex.

El incidente de Fehmarnbelt no debe interpretarse como prueba de que se haya materializado un escenario concreto de ejercicio ni de que el ataque forme parte de una campaña coordinada. No se ha establecido tal conexión. Su relevancia radica en que la interrupción ilustra el tipo de dependencia operativa que hace vulnerables a la interferencia digital a las infraestructuras transfronterizas.

Las redes de transporte europeas no son simples conjuntos de carreteras, ferrocarriles, puertos y puentes. Su construcción y operación dependen de sistemas interconectados de contratistas, equipos, comunicaciones y logística. Una intrusión que afecta a una organización puede generar consecuencias más allá de sus instalaciones inmediatas, especialmente cuando esa organización realiza trabajos esenciales para un activo público mayor.

Esto crea un posible desajuste entre la escala del riesgo y la distribución de la responsabilidad de gestionarlo. La importancia estratégica de un túnel es evidente. La importancia de los sistemas de control de acceso, las redes internas o el software operativo del contratista puede ser menos visible hasta que esos sistemas fallan.

El marco de ciberseguridad NIS2 de la UE constituye un punto de referencia normativo ya existente para reforzar la seguridad de las entidades esenciales. La presión política tras la brecha de Fehmarnbelt puede reforzar los argumentos a favor de un cumplimiento más riguroso, obligaciones más claras para los contratistas y una auditoría más sistemática de los sistemas digitales que sostienen los proyectos transfronterizos.

Sin embargo, las normas adicionales por sí solas no pueden garantizar la resiliencia. Los requisitos deben llegar a las organizaciones y a los procesos técnicos de los que depende realmente la infraestructura. Los clientes públicos necesitan entender con claridad qué sistemas del contratista son esenciales para las operaciones, cómo se controla el acceso, cómo se contienen los incidentes y qué puede seguir funcionando con seguridad cuando los servicios digitales dejan de estar disponibles.

También hay una cuestión práctica de proporcionalidad. Los grandes consorcios de infraestructura reúnen a empresas con entornos técnicos y capacidades organizativas diferentes. Aplicar estándares coherentes en toda esa red requiere algo más que una instrucción general de mejorar la ciberseguridad. Requiere que el propietario del proyecto sepa dónde están las dependencias críticas y establezca cómo se protegerán esas dependencias.

Un proyecto propenso a retrasos afronta otra incertidumbre

Para FLC y Sund & Bælt, el problema de seguridad inmediato llega sobre un calendario ya de por sí difícil. La fecha de apertura original del túnel, prevista para 2031, se descartó a principios de 2026, y se ha estado considerando un lanzamiento revisado en dos fases, con el tráfico por carretera precediendo a los servicios ferroviarios. Las presiones en la cadena de suministro, la inflación y el aumento de los costes asociados a las conexiones alemanas de hinterland ya habían complicado la entrega.

Es demasiado pronto para determinar si el ciberataque provocará un retraso duradero o aumentará de forma sustancial el coste global del proyecto. Eso dependerá de la duración de la interrupción, del alcance de los sistemas comprometidos y del trabajo necesario para restablecer la confianza en el entorno digital del contratista.

No obstante, el incidente añade una nueva fuente de incertidumbre a un proyecto cuyo calendario ya estaba en entredicho. Las investigaciones de seguridad, la recuperación de sistemas y la verificación de la preparación operativa pueden imponer costes incluso si la construcción física no sufre daños.

Las consecuencias no se limitan a la reputación de FLC. Sund & Bælt deberá responder a preguntas sobre la resiliencia de la estructura de ejecución que supervisa, mientras que el conjunto del proyecto depende de la confianza en que el túnel pueda completarse y operarse de forma segura. Una interrupción prolongada podría complicar un esfuerzo de coordinación ya de por sí exigente, aunque el alcance de cualquier efecto de este tipo sigue siendo desconocido.

La tentación será considerar la brecha como un acontecimiento excepcional y centrarse en restablecer el calendario de construcción. Eso dejaría sin resolver la cuestión de fondo.

La próxima generación de infraestructuras de transporte de Europa se está construyendo mediante combinaciones cada vez más complejas de propiedad pública, ingeniería privada y coordinación digital. El Estado puede encargar el túnel, pero no puede proteger el proyecto protegiendo solo al Estado. Si la red comprometida de un contratista puede inmovilizar la maquinaria necesaria para construir una conexión estratégica entre dos países, la resiliencia digital del contratista se ha convertido en parte de la infraestructura misma.