Ya no habíamos visto tal ruinas en los aeropuertos desde la famosa falla de Crowststrike en julio de 2024. Un eslabón invisible pero crítico en la cadena aérea europea de rendimiento bajo el asalto de un ransomware. En un instante, los sistemas automáticos de grabación y embarque de varios centros principales: Heathrow, Berlín, Bruselas, Dublín, se rompieron, lo que obliga a regresar a los procedimientos de papel y pluma. Tres días después, la situación sigue siendo crítica. Un incidente que se convertirá en un caso escolar real para CIO y RSSI que ilustra la vulnerabilidad de la infraestructura crítica frente a los ataques indirectos a través de la cadena de suministro.
Durante casi 3 días, varios centros aeronáuticos europeos importantes: Heathrow, Berlín, Bruselas, Dublín, han visto sus sistemas de registro y ruptura. Detrás de esta parálisis, un ransomware dirigido a Collins Aerospace, una subsidiaria de RTX, proveedor de software Muse. Este sistema, utilizado por numerosas aerolíneas, permite agrupar los contadores y las puertas de embarque, administrando todo el proceso, desde el check-in hasta el etiquetado de equipaje.
Según la Agencia Europea de Ciberseguridad (ENISA), el ataque consistió en cuantificar los sistemas críticos, obligando a Collins a reconstruir sus servidores. Pero los atacantes todavía estaban presentes, lo que extendió la crisis. Enisa no reveló qué ransomware o grupo Cybermalwater estaban detrás de este ataque, sino para confirmar que la amenaza había sido identificada y que la policía dirigió una investigación.
En unos minutos, el incidente se extendió a todos los aeropuertos que dependen de Muse, que ilustra el poder de un punto de entrada único en una cadena de logística digital. Porque Muse se basa en un servicio administrado alojado en los servidores de Aeroespace Collins que permite que varias aerolíneas usen el misma infraestructura informática En lugar de implementar cada uno su propio sistema, lo que reduce los costos y simplifica el mantenimiento. La RSSI de las diversas aerolíneas y especialmente los diferentes aeropuertos tuvo la desagradable sorpresa de descubrir que los sistemas de su proveedor de servicios comunes no estaban aislados entre sí. El ransomware ha eliminado todos los servidores y, por lo tanto, todos los aeropuertos y empresas de los clientes. Y toda la cadena de grabación se encontró paralizada simultáneamente en varios aeropuertos.
Las consecuencias fueron inmediatas: colas interminables, vuelos cancelados, pasajeros bloqueados, regresar a los procedimientos manuales con tarjetas de embarque escritas a mano y anuncios vocales para abordar. Tres días después del ataque, Bruselas tuvo que cancelar casi la mitad de sus salidas y Berlín todavía se vio afectado, mientras que la ciudad organiza un maratón internacional. Las cancelaciones de vuelo también están programadas en Londres el lunes. Esta lentitud de recuperación destaca la dificultad para restaurar los sistemas críticos cuando la reconstrucción debe hacerse en el sitio y los procedimientos de recuperación remota son limitados.
El incidente demuestra una vez más, después del asunto de crowdstrike que no fue un ataque sino un error simple, que la resiliencia no solo se juega solo en las paredes de la compañía, sino en todo el ecosistema digital. Las dependencias críticas, a menudo invisibles, pueden convertirse en puntos de desglose importantes. La capacidad de identificar estas dependencias, probar regularmente escenarios de cambio hacia operaciones manuales, fortalecer la vigilancia de los proveedores y haber aislado sistemas de rescate se convierte en un imperativo estratégico.
Este ataque no es un incidente técnico simple: es una prueba de estrés a gran escala para la ciberseguridad de la infraestructura crítica. Y lo menos que podemos decir es que las aerolíneas no tuvieron con éxito la prueba. Francia se ha salvado, pero no porque estos procesos sean más fuertes (pueden estar dicho así) sino porque nuestros aeropuertos usan otro software que los de Collins Aerospace. Una forma de recordar que la diversificación de los proveedores y el aislamiento de los sistemas críticos pueden limitar el efecto dominó de un ataque a un solo proveedor. Y una forma también de recordar que la preparación no se limita a la defensa: debe incluir la capacidad de absorber el choque y mantener la actividad, incluso en un entorno degradado.
Leer también:
Ransomware: el surgimiento de grupos respaldados por los estados
Sabemos por qué Crowstrike puso el mundo en el puerto
DISPOLías públicas de crowdstrike frente al Congreso de los Estados Unidos
Una actualización defectuosa de CrowdStrike crea pánico y confusión. Microsoft no tiene nada que ver con eso.
Falla de crowdstrike: 5 puntos clave para fortalecer la resiliencia de datos en su organización
Biometría: aeropuertos franceses en el momento de las elecciones tecnológicas
[
