«La tecnología no basta si el factor humano permanece expuesto»: el ciberataque de la Comisión Europea tiene un culpable

La Comisión Europea investiga el alcance del ciberataque sufrido el pasado 24 de marzo, un incidente que ha permitido la sustracción de aproximadamente 350 GB de datos de su infraestructura web y que ha vuelto a poner en alerta a las instituciones comunitarias y al sector tecnológico.

Según la información difundida por los propios atacantes, entre los datos comprometidos habría correos electrónicos, bases de datos y contenido procedente de un servidor interno de correo. A pesar de la magnitud del incidente, Bruselas ha intentado transmitir calma y ha asegurado que sus sistemas internos no se han visto comprometidos.

ShinyHunters

El ataque, que afecta a la infraestructura en la nube que da soporte al portal Europa.eu, una de las principales plataformas digitales de la Unión, ha sido reivindicado por el grupo ShinyHunters, conocido por su historial de intrusiones en grandes corporaciones y organismos públicos. Este episodio supone, además, el segundo ciberataque relevante sufrido por la Comisión en lo que va de 2026, tras otro incidente registrado en febrero que también afectó a datos de empleados.

Las primeras investigaciones apuntan a un vector especialmente sensible como es el uso de credenciales con privilegios administrativos en servicios en la nube, concretamente en AWS. Esta hipótesis abre la puerta a un posible alcance mayor del ataque del inicialmente previsto.

José María Fachado, director de Ciberseguridad de i3e, advierte de la gravedad potencial de este escenario: «Si se han utilizado credenciales de administrador, es posible que la intrusión no se limitara a la capa web».

Si se han utilizado credenciales de administrador, es posible que la intrusión no se limitara a la capa webJosé María FachadoDirector de Ciberseguridad de i3e

El experto subraya que este tipo de brechas evidencian una vulnerabilidad estructural que va más allá de la tecnología. «La tecnología, por sofisticada que sea, no basta si el factor humano permanece expuesto», señala Fachado, quien insiste en que los administradores de sistemas, por su nivel de acceso, se convierten en objetivos prioritarios para los atacantes.

Ingeniería social

El incidente vuelve a poner el foco en la ingeniería social como una de las principales puertas de entrada para los ciberdelincuentes. Técnicas como el phishing o el vishing (fraudes telefónicos que suplantan identidades) han evolucionado mucho en los últimos años, especialmente con la irrupción de la inteligencia artificial.

«La IA ha transformado por completo este terreno», explica Fachado. «Hoy podemos encontrar phishing prácticamente indistinguible y suplantaciones de voz capaces de engañar incluso a usuarios expertos».

Hoy podemos encontrar phishing prácticamente indistinguibleJosé María FachadoDirector de Ciberseguridad de i3e

Este salto cualitativo ha reducido de forma drástica la capacidad de los usuarios para diferenciar entre comunicaciones legítimas y fraudulentas, lo que incrementa exponencialmente el riesgo de comprometer credenciales sensibles, especialmente en entornos con altos privilegios.

Bruselas

Desde Bruselas, sin embargo, se mantiene la tesis de que los datos sustraídos podrían ser en su mayoría de carácter público, aunque los indicios técnicos continúan siendo analizados. La Comisión ha iniciado un proceso de notificación a las entidades potencialmente afectadas y ha reiterado su compromiso con el refuerzo de sus capacidades de ciberseguridad.

La sofisticación de los ataques y la velocidad a la que evolucionan las amenazas son ya una realidad contra la que luchar. Los expertos coinciden en la necesidad de revisar continuamente los protocolos de seguridad y adaptarlos a un entorno cada vez más complejo.

Las técnicas cambian, y si los procedimientos no lo hacen al mismo ritmo, los atacantes seguirán teniendo ventajaJosé María FachadoDirector de Ciberseguridad de i3e

«Las técnicas cambian, y si los procedimientos no lo hacen al mismo ritmo, los atacantes seguirán teniendo ventaja», advierte Fachado, quien reclama una mayor vigilancia y cumplimiento estricto de las políticas internas, especialmente en lo que respecta a cuentas con privilegios altos.

Errores humanos

Además, insiste en la importancia de que los proveedores de servicios tecnológicos refuercen los mecanismos de control y supervisión para evitar que errores humanos o fallos en la gestión de credenciales se conviertan en brechas críticas.

El ciberataque a la Comisión Europea pone en alerta a la instituciones sobre cómo la seguridad digital se ha convertido en un elemento estratégico, donde la tecnología, la formación y la vigilancia deben avanzar de forma coordinada.

Mientras la investigación sigue en curso, el incidente muestra que el eslabón más débil continúa siendo, en muchos casos, el humano.