Cuando dos agentes de la policía alemana irrumpieron en una vivienda del oeste de Alemania el pasado mayo, no buscaban drogas ni armas. Buscaban la nevera. El frigorífico de última generación, conectado a internet para enviar la lista de la compra, se había convertido —sin que sus dueños lo supieran— en el primer eslabón de una cadena de ciberespionaje chino. Los atacantes habían tejido una ruta digital a través de electrodomésticos y routers domésticos para llegar a una subestación eléctrica y un nodo de telecomunicaciones cercano. El origen aparente del ataque no era un servidor en Asia, sino una anodina dirección IP residencial alemana. El incidente, reconstruido por varios servicios europeos de inteligencia, certifica que el espionaje ha cambiado de escala: ya no hace falta sobornar a un funcionario; basta con encontrar una vulnerabilidad olvidada en un robot aspirador o una cámara de vigilancia.
Claves de la operación
- La técnica ‘living off the land’ oculta la huella del atacante. Los hackers aprovechan las herramientas legítimas del dispositivo y evitan dejar rastro, lo que les permite permanecer meses o años en la red sin ser detectados.
- Los grupos chinos Volt Typhoon, Flax Typhoon y Violet Typhoon son los brazos ejecutores. Cada uno se especializa en un objetivo: infraestructuras críticas, ocultación de la identidad o espionaje político, respectivamente.
- España figura entre los países alertados por la alianza Five Eyes. El Centro Criptológico Nacional (CNI) ha intensificado la vigilancia sobre los dispositivos IoT que puedan servir de puerta trasera a infraestructuras estratégicas.
El ‘living off the land’ o cómo un frigorífico se convierte en ciberarma
La técnica que emplean estos grupos se conoce como living off the land: el atacante utiliza los propios recursos del dispositivo —su sistema operativo, sus aplicaciones preinstaladas— para moverse en la red sin necesidad de instalar malware externo. Es el equivalente digital a que un ladrón entre en casa usando las llaves que encuentra dentro, sin forzar una sola cerradura. Cuanto menos ruido generan, más tiempo permanecen ocultos, y el tiempo es precisamente el objetivo: no solo robar información, sino permanecer en el interior de una infraestructura hasta que se les necesite, como ocurrió con el compromiso de la Comisión Electoral británica en 2021, que dejó expuestos los datos de 40 millones de votantes.
El investigador alemán Dennis Giese, que ha documentado vulnerabilidades en marcas como Xiaomi, demostró que un atacante podía activar la cámara y el micrófono de un robot aspirador de forma remota, obtener los planos de la vivienda e incluso las credenciales del wifi. “El problema es que estos aparatos son ordenadores con ruedas”, asegura. El criptógrafo Bruce Schneier, uno de los mayores referentes mundiales en ciberseguridad, lleva años advirtiendo que la mayoría de los dispositivos IoT fueron diseñados pensando en la comodidad, no en la defensa frente a un Estado hostil. Una aspiradora que solo limpia no es peligrosa; la que limpia y además mapea cada rincón del hogar se convierte en una discreta plataforma de vigilancia.
El verdadero peligro no es el robo de datos puntual, sino la capacidad de permanecer años dentro de una red sin ser detectado, a la espera de que llegue el momento de golpear.
Los tres brazos del ciberespionaje chino: Volt Typhoon, Flax Typhoon y Violet Typhoon
Los informes de la alianza de inteligencia Five Eyes —que agrupa a Estados Unidos, Reino Unido, Canadá, Australia y Nueva Zelanda, y que en esta ocasión ha sumado a España, Alemania, Japón, Países Bajos y Suecia— dibujan un ecosistema de grupos especializados al servicio de los intereses estratégicos de Pekín. Volt Typhoon, vinculado al Ejército chino, centra sus esfuerzos en redes eléctricas, sistemas de agua y telecomunicaciones. Su objetivo no es causar daños inmediatos, sino permanecer oculto lo máximo posible. Los analistas creen que, en caso de un conflicto en torno a Taiwán, esos accesos podrían utilizarse para ralentizar la respuesta militar occidental.
Flax Typhoon opera con una red de más de 260.000 dispositivos domésticos comprometidos —cámaras, routers y aspiradores— para ocultar la identidad de los ataques. El FBI desmanteló parte de su infraestructura el pasado septiembre, pero la capacidad de regeneración de estos grupos es alta. Violet Typhoon, dependiente del Ministerio de Seguridad del Estado chino, se ha especializado en parlamentos y partidos políticos. Fue el responsable del acceso a los sistemas de la Comisión Electoral británica, que comprometió a millones de votantes y a varios diputados críticos con Pekín.
España, en el punto de mira: el coste millonario del espionaje a través del IoT
España no es un espectador pasivo. El Centro Criptológico Nacional, dependiente del CNI, ha elevado las alertas sobre el incremento de campañas dirigidas a organismos públicos y operadores de infraestructuras críticas. A comienzos de 2025, Moncloa aceleró la renovación de los sistemas de cifrado que protegen las comunicaciones del presidente y de los principales altos cargos del Estado, un movimiento que evidenció la inquietud ante un riesgo que ya no se limita a los ordenadores corporativos. Cualquier router doméstico situado cerca de una subestación eléctrica puede convertirse en el eslabón que los atacantes exploten para entrar en la red nacional.
Para las grandes corporaciones españolas, el espionaje a través de dispositivos IoT no es una hipótesis de laboratorio. Telefónica, que gestiona redes de telecomunicaciones críticas, ha tenido que reforzar sus sistemas de detección de intrusiones porque los atacantes buscan explotar cada punto débil, desde los routers de los empleados hasta los equipos de videovigilancia de sus subcontratas. El coste de la ciberseguridad está escalando de forma silenciosa en las cuentas de resultados de las empresas del IBEX 35, y no se trata solo de una partida de gasto: es una inversión forzosa para proteger activos cuya caída puede traducirse en pérdidas millonarias. Los modelos de seguridad tradicionales, basados en proteger el perímetro de la oficina, ya no sirven cuando el perímetro empieza en el salón de casa.
La transformación que ha impulsado Pekín supone que el ciberespacio no es solo un ámbito para el robo de patentes, sino un campo de batalla asimétrico. La proliferación de dispositivos IoT sin estándares de seguridad uniformes está amplificando la superficie de ataque de todas las economías occidentales. El debate regulatorio europeo sobre ciberresiliencia —que se plasmará en normativas como la Cyber Resilience Act— cobra una urgencia añadida cuando se constata que una nevera inteligente puede ser la primera pieza de un dominó que acabe tumbando una subestación eléctrica. El tiempo dirá si la respuesta legislativa llega antes o después del primer gran incidente que obligue a apagar toda una red porque alguien, a miles de kilómetros, decidió que el frigorífico era la puerta de entrada más segura.
