APT35: reconocimiento cibernético antes de los ataques con misiles de Irán

Ciberespionaje como base para ataques con misiles: el caso del APT35 iraní

Resumen ejecutivo: El grupo de piratas informáticos iraní APT35 llevó a cabo una reconstrucción digital prolongada sobre infraestructuras del Medio Oriente antes de los ataques con misiles en febrero de 2026. Esto demuestra la integración de operaciones cibernéticas en la estrategia militar para la preparación de objetivos.

Fases de la preparación digital de objetivos

Antes del 28 de febrero de 2026 —cuando Irán respondió a la operación conjunta estadounidense-israelí "Furia Épica" con masivos ataques de misiles y drones en siete países de la región, incluyendo Arabia Saudita, Emiratos Árabes Unidos, Kuwait e Israel— los hackers del APT35 infiltraron sistemáticamente sistemas críticos. El acceso a datos de aviación civil en Jordania, redes internas de Dubái y documentos gubernamentales saudíes permitió recopilar inteligencia sobre posibles blancos. Estas acciones debilitaron las defensas y afinaron las coordenadas para los posteriores ataques físicos.

Esta táctica responde a los limitados recursos de Irán para espionaje tradicional. Los métodos digitales resultaron más económicos y eficaces, permitiendo monitorear infraestructuras sin arriesgar agentes humanos. Las consecuencias se vieron en sectores comprometidos como energía y logística: el malware Shamoon eliminó 15.000 estaciones de trabajo en Arabia Saudita, interrumpiendo cadenas de suministro y coordinación defensiva.

Vínculos del APT35 con el aparato estatal iraní

El APT35 está vinculado a una unidad de inteligencia dentro del Cuerpo de la Guardia Revolucionaria Islámica de Irán (IRGC). Un análisis de filtraciones reveló coordinación con otros grupos antes considerados independientes, como Moses-Staff y Al-Qassam Cyber Fighters. Fuentes de financiamiento compartidas indican un enfoque centralizado de Teherán hacia la guerra cibernética.

• Reconocimiento: Monitoreo prolongado de infraestructuras (aviación, energía, gobierno).
• Perturbación: Ataques a sistemas logísticos e industriales antes de los golpes cinéticos.
• Integración: Sincronización con lanzamientos de misiles para maximizar el impacto.
• Expansión: Ataques en siete naciones aprovechando vulnerabilidades previamente identificadas.

Este modelo evolucionó de incidentes anteriores donde los ciberataques servían como distracciones, pasando ahora a ser una fase completa de operaciones de combate.

Implicaciones para la seguridad regional

La fusión entre ataques cibernéticos y cinéticos redefine la dinámica de conflicto en el Medio Oriente. Las naciones regionales ahora enfrentan la necesidad imperiosa de proteger su infraestructura digital con el mismo rigor que sus activos militares. Arabia Saudita y los Emiratos Árabes Unidos han reforzado desde entonces la segmentación de redes y el monitoreo del tráfico, aunque aislarse completamente sigue siendo un desafío.

El impacto industrial es evidente: energía y logística se han convertido en objetivos principales, impulsando aumentos globales en inversión en ciberseguridad. Expertos estiman que estas operaciones pueden reducir el tiempo de preparación de un ataque de meses a semanas, incrementando la imprevisibilidad.

Conclusiones clave

• El ciberespionaje del APT35 precedió a los ataques con misiles, mejorando la precisión en siete naciones.
• Shamoon destruyó 15.000 estaciones de trabajo en empresas energéticas saudíes, debilitando la preparación defensiva.
• Sus vínculos con el IRGC y grupos aliados indican coordinación a nivel estatal.
• El modelo "digital primero + misiles" emerge como estándar en la guerra híbrida.
• Las defensas regionales se fortalecen, pero la infraestructura civil sigue siendo vulnerable.

— Editorial Team