Los datos estaban allí. El problema era llegar a ellos.
La madrugada del 8 de octubre, un ataque con drones dañó gravemente el centro de datos de Yandex en Sasovo, en la región rusa de Ryazan, y obligó a detener por completo sus operaciones. El 9 de octubre fue alcanzada otra instalación en Kaluga. Entre el 10 y el 11, un tercer centro de datos, en Vladimir, quedó fuera de servicio. Tres instalaciones afectadas en apenas cuatro días.
Yandex no es cualquier empresa. Se le suele llamar el «Google ruso», aunque su tamaño real se entiende mejor mirando todo lo que hace: buscador, mapas, movilidad, entregas, entretenimiento, servicios empresariales, nube e inteligencia artificial. Millones de personas utilizan diariamente su ecosistema. El centro de Sasovo, además, albergaba dos de los tres supercomputadores utilizados por la compañía para el desarrollo de YandexGPT. Hasta ahora no está confirmado que esas máquinas hayan sido destruidas.
El contexto también importa. El presidente ucraniano Volodímir Zelenski afirmó que Ucrania estaba respondiendo de manera «espejo» a ataques rusos contra infraestructura digital ucraniana. Es decir, el centro de datos dejó de ser solamente una pieza de tecnología para convertirse en parte de la lógica de una guerra.
Y allí empieza realmente esta columna.
Después de los ataques, usuarios de servicios financieros de Yandex tuvieron problemas para consultar sus saldos, pagar o transferir, aunque la compañía sostuvo que los fondos permanecían seguros y que mantenía copias de los registros en distintas ubicaciones. El dato podía seguir existiendo y, sin embargo, el servicio no estar disponible.
En ciberseguridad hablamos muchísimo de confidencialidad e integridad. La tercera pata, la disponibilidad, parece menos sexy hasta que desaparece. Un dato perfectamente cifrado y respaldado sirve de poco en el momento en que nadie puede utilizarlo.
Y esta vez ni siquiera hizo falta robar una contraseña.
Desde la ciberinteligencia, hay otra diferencia importante. Una avería no observa cómo te recuperas. Un adversario sí puede hacerlo. Puede estudiar qué infraestructura asume la carga, dónde reaparece el servicio y cuál es ahora tu nueva dependencia crítica. Prepararse para una falla accidental y prepararse para una campaña deliberada son ejercicios distintos.
Por eso aquella vieja recomendación de no poner todos los huevos en una misma canasta sigue vigente, pero se queda corta. Tampoco sirve repartirlos entre cinco canastas si todas pueden caer juntas.
Bruce Schneier, una de las voces más influyentes de la seguridad informática, ha escrito junto al investigador Barath Raghavan sobre la fragilidad que aparece cuando las organizaciones optimizan demasiado para eficiencia y reducen redundancias. Mientras todo funciona, la capacidad de reserva parece un gasto. Cuando el sistema falla, descubrimos por qué se llamaba resiliencia.
Eso debería llegar a la junta directiva. Antes de eliminar una infraestructura alternativa porque «casi nunca se usa», yo preguntaría qué parte de la organización seguirá funcionando si mañana desaparece la principal.
Casualmente, esta misma semana Netflix estrenó Instadocs: AI Gone Wild, un documental que reconstruye el ataque a Hugging Face protagonizado por agentes autónomos de inteligencia artificial. Mientras esa historia nos obliga a mirar hacia una nueva generación de amenazas nacidas del software, Yandex nos recuerda algo mucho más elemental: detrás de esa palabra casi mágica que llamamos «nube» siguen existiendo edificios, electricidad, refrigeración, fibra óptica y servidores.
Esta semana también participé como panelista por CAVECOM-e en CIGED Venezuela 2026. Escuchar a ponentes internacionales discutir inteligencia artificial, GovTech y digitalización del sector público me dejó pensando precisamente en esta intersección. Mientras más avancemos en automatización, gobernanza y adopción de IA, más urgente es integrar la ciberseguridad desde el diseño. No como una capa que colocamos al final, sino como una especie de sistema inmunológico del proyecto: detectar, contener y responder cuando algo empieza a comportarse como no debería. La propia agenda del encuentro ha mostrado casos de IA aplicada a empresas y servicios públicos, además de discusiones sobre infraestructura, confianza digital y supervisión humana.
A quienes trabajan en tecnología, gobierno o transformación digital, les recomiendo revisar las ponencias y la programación de CIGED en su página oficial. Hay varias discusiones que vale la pena escuchar con calma. ciged.org
Pero hay otra normalización que me preocupa todavía más.
Estoy en contra de normalizar la guerra. La humanidad lleva siglos haciéndolo. Cambian las armas, los países y las justificaciones, pero siempre pareciera aparecer una razón para aceptar la siguiente destrucción como inevitable.
No quisiera que hagamos lo mismo con la ciberguerra.
En Venezuela escuchamos cada vez con mayor frecuencia que una aplicación fue comprometida, una página quedó fuera de servicio o una institución sufrió un incidente. Hay que ser rigurosos: no toda caída significa un hackeo y no todo ciberataque constituye ciberguerra. La atribución necesita evidencia.
Pero tampoco podemos acostumbrarnos al «otra vez».
Restablecer un sistema no significa necesariamente haber aprendido. Después del incidente hay que saber por dónde entraron, qué dependencia falló, qué se corrigió y, sobre todo, si alguien comprobó que esa corrección realmente funciona.
Porque «nos hackearon» explica el incidente. «Nos volvieron a hackear» obliga a preguntarnos qué no aprendimos la primera vez.
Rafael Núñez Aponte
CEO @MasQueSeguridad
Columnista Radar Cibernético