¿Rusia, Irán o hackers oportunistas? Quién está detrás de los ciberataques a supermercados en Europa

Según la información de la BBC, NoName057(16) y Z-Pentest Alliance publicaron mensajes en los que celebraban los ataques antes de que las publicaciones y los canales dejaran de estar disponibles. Los grupos afirmaron haber demostrado sus capacidades técnicas, pero los investigadores no han determinado si alguna de las dos organizaciones llevó a cabo realmente las intrusiones.

La incertidumbre importa porque los ataques hicieron más que desactivar temporalmente servicios digitales. Interfirieron en equipos utilizados para conservar alimentos, causando pérdidas económicas y obligando a los minoristas a retirar productos de la venta.

Como informó anteriormente Nexus Europa, los incidentes de noviembre siguieron a una ola mayor de ataques contra sistemas de refrigeración en Francia en octubre. La operación anterior afectó a aproximadamente 700 establecimientos y provocó pérdidas estimadas en millones de euros.

Los últimos acontecimientos desvían la atención de cómo fueron comprometidos los equipos hacia una pregunta más difícil: si los ataques forman parte de una campaña más amplia contra la infraestructura europea o reflejan la actividad de hackers débilmente conectados entre sí que explotan sistemas accesibles.

Hackers prorrusos reivindican la autoría y luego desaparecen

NoName057(16) y Z-Pentest Alliance son nombres establecidos en el entorno hacktivista prorruso. Ambos tienen antecedentes de atacar organizaciones en países que apoyan a Ucrania, aunque sus métodos operativos difieren.

Sus presuntas reivindicaciones sobre los incidentes en supermercados aparecieron después de que los sistemas de refrigeración hubieran sido perturbados en varios países europeos.

La posterior desaparición de los mensajes y de los canales de Telegram plantea dudas sobre la fiabilidad de esas afirmaciones. Sin embargo, la eliminación del material en línea no demuestra que las declaraciones fueran falsas. Tampoco demuestra que los grupos fueran responsables.

La distinción es especialmente importante en el mundo del hacking con motivación política, donde las reivindicaciones públicas pueden servir a propósitos que van más allá de informar sobre una intrusión real.

Las organizaciones hacktivistas pueden utilizar ataques exitosos para atraer partidarios, demostrar sus capacidades o amplificar mensajes políticos. También pueden exagerar la escala de operaciones relativamente limitadas.

Un aviso conjunto de ciberseguridad de diciembre de 2025, emitido por agencias estadounidenses y socios internacionales, advirtió específicamente de que los hacktivistas prorrusos hacen con frecuencia afirmaciones falsas o exageradas sobre ataques contra infraestructuras críticas.

El aviso identificó a NoName057(16), Z-Pentest y el Cyber Army of Russia Reborn entre los grupos que llevan a cabo operaciones oportunistas contra sistemas de control industrial.

También señaló que los atacantes a veces identifican erróneamente las organizaciones cuyos sistemas han accedido.

Esto convierte una declaración en Telegram en una pista potencialmente útil para la investigación, pero no en una prueba independiente de responsabilidad.

Lo que los investigadores saben sobre los posibles autores

La investigación no ha producido una atribución confirmada públicamente de los ataques a supermercados.

Según la BBC, los investigadores de ciberseguridad que examinan los incidentes han identificado varias posibilidades que compiten entre sí.

La empresa francesa de ciberseguridad Sequoia habría descubierto que algunos aspectos de los ataques eran coherentes con técnicas asociadas a hackers vinculados a Rusia. Sin embargo, la empresa también planteó la posibilidad de una implicación iraní, citando similitudes con operaciones anteriores dirigidas contra supermercados en Israel.

Otras empresas de ciberseguridad que investigan los incidentes habrían considerado una explicación menos significativa políticamente: un individuo, posiblemente un adolescente, que explota equipos accesibles por diversión o notoriedad.

Estas posibilidades no están igualmente fundamentadas, y ninguna debería tratarse como una explicación establecida.

Las similitudes entre incidentes pueden ayudar a los investigadores a identificar métodos compartidos, pero no revelan necesariamente quién dirigió una operación.

Distintos grupos pueden explotar las mismas vulnerabilidades, utilizar herramientas similares disponibles públicamente e imitar las técnicas de los demás.

El problema se agudiza especialmente cuando los ataques afectan a equipos industriales mal protegidos en lugar de malware sofisticado desarrollado para un objetivo específico.

En tales circunstancias, los investigadores necesitan más que pruebas de cómo se produjo una intrusión. Establecer la responsabilidad puede requerir registros técnicos fiables, pruebas que vinculen la actividad con operadores conocidos y corroboración de otras fuentes de investigación.

Para las autoridades europeas, la distinción entre una operación dirigida políticamente y una intrusión oportunista es significativa. Ambas pueden causar daño económico, pero plantean preguntas diferentes sobre la responsabilidad internacional y la respuesta adecuada.

La conexión rusa: ¿qué está ya establecido?

Aunque la responsabilidad de los incidentes en supermercados sigue siendo incierta, las actividades y los antecedentes organizativos de los dos grupos están considerablemente mejor documentados.

Según el aviso de ciberseguridad multinacional publicado en diciembre de 2025, NoName057(16) surgió en 2022 y se dio a conocer principalmente por ataques de denegación de servicio distribuido contra instituciones gubernamentales y organizaciones privadas en Estados miembros de la OTAN y otros países europeos.

Este tipo de ataques suele saturar los servicios en línea con tráfico, dejando temporalmente inaccesibles sitios web o plataformas digitales.

El aviso evaluó que el Centro para el Estudio y el Monitoreo de Redes del Entorno Juvenil de Rusia, conocido como CISM, creó NoName057(16) como un proyecto encubierto.

Según las agencias de seguridad participantes, el personal del CISM desarrolló y personalizó la herramienta de ataque DDoSia del grupo, financió su infraestructura de red, administró canales de Telegram y seleccionó objetivos.

Z-Pentest siguió una trayectoria diferente.

Establecido en septiembre de 2024, reunió a miembros de NoName057(16) y del Cyber Army of Russia Reborn, conocido comúnmente como CARR.

El aviso evaluó que la formación de CARR probablemente había contado con el apoyo de una unidad de inteligencia militar rusa. También describió desacuerdos sobre el nivel de apoyo y financiación recibidos de la inteligencia rusa como un factor detrás de la creación de Z-Pentest.

A diferencia de NoName057(16), Z-Pentest se ha concentrado en intrusiones en tecnología operativa, incluidos intentos de manipular equipos utilizados por operadores industriales y de infraestructura.

Sus actividades han incluido el acceso a interfaces de control y la publicidad de presuntas intrusiones mediante imágenes y vídeos.

Estas relaciones documentadas demuestran por qué los investigadores examinarían la posibilidad de una implicación rusa en ataques contra equipos de refrigeración europeos.

Sin embargo, no establecen que la inteligencia rusa dirigiera los incidentes de noviembre en supermercados ni que alguno de los grupos los llevara a cabo.

Por qué la UE sancionó a Z-Pentest antes de los ataques a supermercados

La Unión Europea ya había tomado medidas contra Z-Pentest meses antes de los últimos incidentes.

El 13 de julio de 2026, el Consejo de la Unión Europea anunció sanciones contra nueve individuos y cuatro entidades asociadas con operaciones cibernéticas rusas y actividades desestabilizadoras.

Z-Pentest estaba entre las organizaciones sancionadas.

El Consejo lo describió como un grupo hacktivista prorruso que ataca infraestructuras críticas a nivel internacional, en particular los sectores de energía y agua.

Atribuyó específicamente a Z-Pentest un ciberataque de diciembre de 2024 contra una empresa de servicios de agua danesa.

Las sanciones también se dirigieron a Yuliya Pankratova, identificada como líder del grupo, y a Denis Degtyarenko, descrito como hacker principal. Ambos estaban asociados con CARR.

El Consejo declaró que CARR estaba vinculado al servicio de inteligencia militar ruso, el GRU, y había llevado a cabo campañas cibernéticas contra organizaciones en Ucrania, Estados miembros de la UE y otros países.

Las medidas incluyen la congelación de activos y restricciones para poner fondos o recursos económicos a disposición de las personas y entidades designadas.

Para los responsables políticos europeos, la importancia de estas sanciones va más allá de las organizaciones individuales.

Reflejan una preocupación establecida de que grupos de hacking débilmente organizados y con motivación política puedan participar en operaciones que afectan a infraestructuras esenciales, a veces con distintos grados de conexión con instituciones estatales.

La distinción entre una operación dirigida por un Estado y un grupo simpatizante que actúa de forma independiente puede, no obstante, seguir siendo difícil de establecer en casos individuales.

Esa incertidumbre es central en la investigación de los incidentes en supermercados.

De la interrupción de sitios web al daño a infraestructuras físicas

La importancia más amplia de los incidentes en supermercados se aclara al situarlos junto a ataques anteriores contra sistemas industriales.

Una investigación de Bloomberg de octubre examinó operaciones cibernéticas asociadas con grupos vinculados a Rusia que habían ido más allá de la interrupción de sitios web para interferir en equipos físicos.

Los casos descritos incluían ataques contra una empresa de servicios de agua danesa, instalaciones industriales en España y operadores de infraestructura en Estados Unidos.

Tales incidentes demuestran un cambio en las posibles consecuencias de métodos de ciberataque relativamente accesibles.

Un ataque de denegación de servicio puede impedir temporalmente que los clientes accedan a un sitio web. Una intrusión en un sistema de control industrial puede, en cambio, alterar el funcionamiento de equipos que gestionan agua, electricidad, almacenamiento de alimentos o procesos de fabricación.

La sofisticación técnica necesaria no es necesariamente alta.

El aviso multinacional de diciembre de 2025 advirtió de que los grupos hacktivistas prorrusos explotan con frecuencia conexiones de acceso remoto insuficientemente protegidas a equipos industriales.

Describió a atacantes que utilizan métodos relativamente básicos para acceder a interfaces de control y manipular parámetros operativos.

Las agencias también advirtieron de que estos grupos a menudo carecen de conocimiento detallado de los procesos industriales en los que interfieren.

Esa limitación no reduce necesariamente el peligro. Los atacantes que malinterpretan los equipos que controlan pueden causar daños o perturbaciones no intencionados más allá de sus objetivos originales.

El aviso documentó daños físicos resultantes de algunas operaciones, aunque no informó de lesiones asociadas con las actividades cubiertas.

Para las autoridades de seguridad europeas, esto crea una amenaza que no puede evaluarse únicamente examinando las capacidades técnicas o la importancia política de un grupo de hacking concreto.

Incluso un atacante sin experiencia puede ser capaz de interferir en equipos si sus sistemas de acceso remoto están insuficientemente protegidos.

Por qué la atribución incierta complica la respuesta de Europa

Los incidentes en supermercados ilustran dos problemas separados que las autoridades europeas deben abordar simultáneamente.

El primero es operativo: proteger los equipos interconectados contra el acceso no autorizado.

El segundo es político y de investigación: determinar quién es responsable cuando se produce una intrusión.

El problema operativo puede abordarse sin conocer la identidad del atacante. Las organizaciones pueden restringir las conexiones remotas, actualizar los equipos vulnerables y mejorar la monitorización.

La atribución es más complicada.

Si una intrusión está vinculada a un individuo que actúa de forma independiente, la respuesta puede implicar principalmente una investigación penal y un procesamiento.

Si está conectada a un grupo organizado que opera transfronterizamente, la cooperación internacional entre fuerzas del orden cobra mayor importancia.

Cuando pruebas creíbles establecen la implicación de un Estado, los gobiernos también pueden considerar medidas diplomáticas, sanciones u otras respuestas en el marco de los marcos legales existentes.

La Unión Europea ya dispone de un mecanismo para responder a actividades cibernéticas maliciosas a través de su caja de herramientas de ciberdiplomacia y su régimen de sanciones.

Sin embargo, aplicar medidas contra determinadas personas u organizaciones requiere una base defendible para identificar a los responsables.

Las sanciones de julio contra Z-Pentest demuestran que las instituciones europeas pueden tomar medidas contra grupos vinculados a operaciones cibernéticas hostiles. No significan que los ataques posteriores que empleen métodos similares puedan atribuirse automáticamente a los mismos actores.

También existe el riesgo de tratar cada intrusión que afecte a equipos industriales vulnerables como prueba de una campaña geopolítica coordinada.

El aviso multinacional describe la selección oportunista de objetivos como una característica de varios grupos hacktivistas prorrusos. Los atacantes pueden elegir sistemas porque son accesibles, no porque la organización que los opera tenga una importancia estratégica particular.

Esa distinción importa al evaluar ataques contra supermercados distribuidos por distintos países europeos.

Un patrón de intrusiones similares puede indicar herramientas compartidas, vulnerabilidades comunes o cooperación entre atacantes. No establece necesariamente una coordinación central.

El dilema emergente de seguridad ciberfísica en Europa

Los últimos ataques han puesto de manifiesto un problema de seguridad que va más allá de los supermercados.

Los equipos comerciales e industriales dependen cada vez más de sistemas de control en red, mientras algunas instalaciones siguen siendo accesibles a través de conexiones remotas insuficientemente protegidas.

Eso crea oportunidades para atacantes cuyas capacidades técnicas pueden ser limitadas pero cuyas acciones pueden tener consecuencias físicas inmediatas.

Al mismo tiempo, los grupos de hacking con motivación política operan en un entorno en el que reivindicar la autoría puede generar publicidad independientemente de si la afirmación está fundamentada.

La presunta desaparición de las declaraciones en Telegram de NoName057(16) y Z-Pentest Alliance añade otra complicación a la investigación, pero no resuelve la cuestión de la responsabilidad.

Los investigadores siguen enfrentándose a explicaciones que compiten entre sí, con grupos vinculados a Rusia, posibles actores iraníes e individuos oportunistas.

Las pruebas necesarias para distinguir entre esos escenarios son distintas de las pruebas que establecen que los equipos de refrigeración fueron comprometidos.

Para los gobiernos europeos, el desafío inmediato no es, por tanto, simplemente identificar qué adversario geopolítico pudo haberse beneficiado de la perturbación.

Es desarrollar la capacidad de investigar los ataques con precisión mientras protegen los sistemas físicos de los que dependen cada vez más las empresas y los servicios esenciales.