El miedo ha cambiado de canal. Si hace una década el temor de un CEO era un ransomware que secuestrara sus datos, hoy lo que le quita el sueño es un comando armado entrando en su centro de datos. La inteligencia de amenazas confirma la tendencia: el nuevo terrorismo contra la inteligencia artificial se dirige a la infraestructura física. Y las consecuencias económicas son brutales.
Claves de la operación
- De lo virtual a lo físico: el nuevo vector de ataque. Los grupos terroristas ya no solo buscan vulnerar software, sino inutilizar servidores y cableado con explosivos o sabotajes directos.
- La factura del miedo: seguros más caros y coberturas ampliadas. Las pólizas cibernéticas incluyen ahora cláusulas de daños materiales, y las primas para centros de datos se han triplicado en dos años.
- España, en el foco de las nuevas infraestructuras de IA. La llegada masiva de hyperscalers a Aragón, Madrid y Barcelona convierte a la península en un objetivo estratégico que obliga a rediseñar los perímetros de seguridad.
Del ransomware al sabotaje: la evolución del terrorismo contra la IA
Durante años, la ciberseguridad se ha enfocado en proteger las capas lógicas: firewalls, detección de intrusiones y parches. Pero el escenario está cambiando. Los grupos hostiles han comprendido que los centros de datos que entrenan y ejecutan modelos de IA son nodos críticos con una dependencia casi absoluta. Un ataque físico —desde una bomba incendiaria hasta un corte selectivo de fibra— puede causar daños por cientos de millones en horas.
Los servicios de inteligencia occidentales llevan meses detectando conversaciones en la dark web donde se fantasea con atentar contra las granjas de servidores de los gigantes tecnológicos. Aunque aún no ha habido un incidente catastrófico, los ejercicios de simulación de algunas consultoras muestran que un apagón simultáneo de dos grandes regiones cloud en Europa podría paralizar el 40% de los servicios financieros del continente durante días. Esa es la pesadilla que mantiene en vela a los directores de seguridad y a los CEOs.
El impacto en las juntas directivas y en la cuenta de resultados
La amenaza ya se traduce en números. Las aseguradoras de riesgo cibernético han empezado a a revisar los contratos para incluir cláusulas explícitas sobre daños físicos a centros de datos. Según datos del sector, las primas para instalaciones de misión crítica se han multiplicado por tres desde 2024, y la cobertura media ha pasado de 10 a 50 millones de dólares. Pero lo más significativo es el movimiento en los consejos de administración.
Hasta ahora, la seguridad física era un capítulo de la partida de gastos operativos, gestionada por el director de seguridad. Ahora entra con fuerza en la agenda del comité de riesgos. Las empresas que operan sus propios CPDs o que dependen de terceros están revisando planes de continuidad de negocio y exigiendo a los proveedores cloud certificaciones de resistencia física que antes no se pedían. En este entorno, la inversión en seguridad perimetral, vigilancia y redundancia geográfica se dispara.
La próxima gran disrupción digital no vendrá de un fallo de código, sino de un agujero en la valla de un centro de datos. Y los mercados aún no han descontado ese riesgo.
España ante un nuevo mapa de riesgos para sus centros de datos
España se ha convertido en un imán para la infraestructura de IA. La inversión de AWS en Aragón, los movimientos de Google Cloud en Madrid y la efervescencia de centros de datos neutros en Barcelona y Valencia dibujan un paisaje que, en solo cinco años, ha multiplicado por cuatro la capacidad de procesamiento en el país. Este éxito, sin embargo, tiene una lectura de riesgo: cuantos más servidores críticos se concentran en una geografía, más atractiva se vuelve para un ataque.
El antecedente histórico es revelador. Hace dos décadas, la seguridad de los centros de datos era casi un asunto de vigilante de garita. Hoy, un centro de última generación es un búnker con controles biométricos, doble perímetro y redundancia energética. Pero la amenaza terrorista plantea un salto cualitativo que la mayoría de las instalaciones no está preparada para absorber: un ataque coordinado, con cómplices internos o explosivos de precisión, podría burlar los protocolos convencionales.
Desde esta redacción, observamos que el sector empresarial español aún subestima este vector físico. Las grandes cotizadas del IBEX 35 que dependen de servicios cloud —bancos como Santander o BBVA, telecos como Telefónica— tienen equipos de seguridad física muy competentes, pero su foco sigue estando en ciberataques clásicos. La adaptación va con retraso y, como en toda transición, quien primero mueva ficha tendrá ventaja.
