He seguido de cerca la escalada de ciberataques que ha puesto en jaque a varios Gobiernos europeos y la respuesta coordinada que la Unión Europea y el Reino Unido han lanzado este lunes: un paquete de sanciones sin precedentes contra el servicio de inteligencia ruso FSB, al que acusan de dirigir una campaña de ciberespionaje sobre infraestructuras críticas de al menos diez países. Bruselas sanciona a nueve personas y cuatro entidades vinculadas al Centro 16 del FSB, mientras que Londres ha impuesto medidas a 24 individuos y entidades adicionales en una acción casi simultánea. Es la primera vez que ambas potencias actúan al unísono en el terreno del ciberespionaje, un salto cualitativo que eleva la presión sobre Moscú.
Lo que me parece más relevante no es tanto el número de sancionados como la decisión de apuntar directamente al FSB, el principal servicio de inteligencia ruso, algo que las capitales occidentales habían evitado hasta ahora por temor a una escalada en el terreno físico. La alta representante de la UE para Asuntos Exteriores, Kaja Kallas, lo ha dejado claro: «Los ciberataques rusos están aumentando en escala y severidad», ha declarado, y ha calificado este movimiento como «el mayor paquete de sanciones de la UE contra ciberataques jamás aprobado». El tono en Londres ha sido igual de duro: la ministra británica de Exteriores, Yvette Cooper, ha denunciado que «tanto si se trata de dirigir a delincuentes contra empresas como de atacar la red energética polaca en pleno invierno, el Estado ruso alcanza nuevas cotas de indignidad».
Un historial de ataques que abarca desde Francia hasta Polonia
El Centro 16 del FSB, según la inteligencia europea, ha estado detrás de operaciones de espionaje contra Gobiernos y empresas estratégicas desde al menos 2010. El catálogo de agresiones recopilado por la UE es amplio y detallado:
- Francia: ciberespionaje contra entidades gubernamentales estratégicas desde 2010 y contra la industria de defensa desde 2025.
- Alemania: ataques a organismos gubernamentales.
- Polonia: intentos de sabotaje de infraestructuras ferroviarias.
- Países Bajos, Austria, Eslovaquia, Rumanía, Finlandia y Chipre: infiltraciones en redes gubernamentales e infraestructuras críticas.
También la OTAN ha condenado estas actividades, que considera «una amenaza para la seguridad de los aliados». La dimensión temporal destaca: en el caso francés, la intrusión en la industria de defensa comenzó en 2025, lo que sugiere que Moscú acelera el espionaje para acceder a los programas de rearme europeos.
«Los ciberataques rusos están aumentando en escala y severidad. Este es el mayor paquete de sanciones de la UE contra ciberataques jamás aprobado». — Kaja Kallas, Alta Representante de la UE para Asuntos Exteriores, 13 de julio de 2026
De hecho, la UE también ha incluido en este paquete a la red social rusa VK Company (Vkontakte), junto con otras cuatro personas y cinco entidades, por violaciones de derechos humanos y por utilizar nuevas tecnologías para restringir la libertad de expresión y el acceso a la información en Rusia. Con ello, Bruselas amplía el foco hacia un ecosistema digital que considera instrumental para la represión interna.
Un punto de inflexión en la lucha contra el cibercrimen estatal
Lo que observo en esta acción es un salto cualitativo en la doctrina de sanciones de Occidente. Durante la última década, los ciberataques rusos se movían en una zona gris difícil de atribuir; las respuestas solían limitarse a condenas diplomáticas o a sanciones económicas genéricas. Ahora, la UE y el Reino Unido señalan directamente a los servicios de inteligencia y a empresas con sede en Moscú, rompiendo el tabú de golpear a la burocracia de seguridad de Putin. El hecho de que Francia, Finlandia y Alemania hayan convocado al embajador ruso en los próximos días —además de la propia UE— multiplica la presión política.
Me parece que esta unidad europea en ciberseguridad contrasta con la dificultad de los Veintisiete para cerrar el 21.º paquete de sanciones económicas a Rusia, bloqueado por la falta de acuerdo sobre el endurecimiento al gas natural licuado. En materia de ciberataques, no obstante, el consenso ha sido rápido porque ningún Estado miembro se siente a salvo. El riesgo es que Moscú interprete esta coordinación como una provocación y responda con una intensificación del espionaje contra infraestructuras energéticas o financieras. Por eso, las empresas europeas deberían revisar sus protocolos de ciberseguridad con urgencia; la amenaza ya no es teórica.
🌍 El impacto en España y Europa
El efecto directo sobre España es limitado: las investigaciones no identifican a las infraestructuras españolas como objetivo específico de esta campaña. Sin embargo, el coste de la confrontación cibernética se traslada a toda la economía europea. Para las empresas españolas, especialmente las que operan en sectores de defensa, energía o telecomunicaciones, el endurecimiento de las ciberamenazas exige mayores inversiones en protección y, muy probablemente, un encarecimiento de las primas de seguro cibernético. A nivel de mercados, la tensión geopolítica añade un factor de volatilidad que puede penalizar al Ibex 35 y al Euro Stoxx 50, sobre todo si los inversores descuentan un repunte de ciberataques disruptivos en los próximos meses. A más largo plazo, España, que asumirá la presidencia del Consejo de la UE en julio de 2027, tendrá que colocar la ciberseguridad entre sus prioridades si quiere mantener el consenso europeo en esta materia. El mensaje de hoy es claro: la guerra híbrida rusa ha escalado un peldaño, y la respuesta ya no es por separado.
