El ransomware con IA llegará a la infraestructura crítica del Reino Unido antes de que termine 2028. No es la predicción de un analista suelto: lo juzga «muy probable» el Centro Nacional de Ciberseguridad (NCSC, por sus siglas en inglés) en su informe State of the Cyber Nation, publicado este martes 3 de noviembre. El NCSC forma parte del GCHQ, la agencia británica de inteligencia de señales, y firma la evaluación oficial del riesgo cibernético del país.
No describe un ataque que ya ocurrió: describe una fecha. Entre hoy y 2028, de acuerdo con el NCSC, el malware con inteligencia artificial aparecerá dentro de un ataque de ransomware contra la infraestructura que sostiene los servicios esenciales británicos. La agencia no promete mes ni sector: «muy probable» es, en su lenguaje medido, una categoría alta de probabilidad, no una corazonada.
La lógica del aviso es incómoda. La adopción de IA por actores hostiles aumentará, con alta probabilidad, la escala y la eficiencia de tres frentes conocidos: el ransomware, la ingeniería social y la explotación de vulnerabilidades. No hacen falta trucos nuevos. Richard Horne, director ejecutivo del NCSC, lo planteó al presentar el informe: la IA no ha inventado formas nuevas de atacar; el problema es que las vulnerabilidades toleradas durante demasiado tiempo ahora pueden descubrirse y explotarse «a una escala antes inimaginable».
China y Rusia usarán la IA de forma rutinaria
Computer Weekly recogió la parte geopolítica del diagnóstico: China y Rusia usarán herramientas cibernéticas con IA de forma rutinaria para alcanzar sus objetivos antes de 2028. El informe señala a China como el desafío más sofisticado y sostenido que enfrenta el Reino Unido, y como el actor mejor posicionado para usar IA contra su infraestructura crítica.
Rusia mantiene intentos persistentes de penetrar redes militares, con tácticas pulidas en la guerra de Ucrania. Irán conserva operaciones maliciosas contra objetivos británicos pese a la presión del conflicto en Oriente Medio. Las campañas híbridas crecen sin cruzar el umbral de un conflicto armado.
El escenario extremo del documento va más lejos: ataques automatizados con IA de frontera, capaz de autorreplicarse y de operar por cuenta propia. El NCSC lo presenta como el peor caso, no como el pronóstico central. El aviso se sostiene en el presente: la mayoría de los ataques con respaldo estatal que la agencia observa todavía no usa IA autónoma avanzada; explota vulnerabilidades comunes y conocidas, de esas que llevan años esperando un parche.
Ese presente ya tiene ejemplos medidos fuera de los gobiernos. La banda n0n gastó US$7.216 en inteligencia artificial para extorsionar y dejó abierto su propio servidor, con 1.719 archivos y 829 guiones a la vista. El ransomware con IA no nació en un laboratorio estatal: nació en la extorsión diaria, con presupuesto de tarjeta de crédito.
El coste ayuda a entender la prisa. El NCSC calcula que la actividad cibernética maliciosa cuesta a las organizaciones británicas unos 14.700 millones de libras cada año. En el último año, la agencia recibió 1.830 reportes de ataques y clasificó 80 como de importancia nacional. El ataque contra Jaguar Land Rover llegó a pesar sobre el crecimiento económico del país, menor del esperado.
130 millones de libras para cerrar la puerta
La respuesta anunciada suma 130 millones de libras en dos piezas: 60 millones para la primera fase de un escudo cibernético nacional, el Cyber Shield, y 70 millones para el NERV, un centro para localizar vulnerabilidades en tiempo real en la infraestructura crítica y en la economía. Mánchester albergará un Centro de Excelencia en Ciberseguridad de IA, dirigido por el propio NCSC.
El paquete se completa con el proyecto de ley de Seguridad y Resiliencia Cibernética y con un Plan Nacional de Acción Cibernética en preparación. Horne pidió decisiones concretas a las organizaciones: corregir la inversión escasa en tecnología, no conectar a internet los sistemas que no lo necesitan y tomar Cyber Essentials, el esquema británico de controles básicos, como punto de partida y no como meta.
La infraestructura crítica no es una abstracción de oficina. El informe apunta a la tecnología que controla interruptores eléctricos, presas, líneas de manufactura y sistemas de calefacción y refrigeración, justo donde la inversión en seguridad fue menor. El mes pasado, un ataque contra cientos de refrigeradores de supermercados franceses destruyó alimentos por millones de euros, en un episodio recuperado por Computer Weekly. Un refrigerador conectado y sin protección es, en la práctica, infraestructura crítica con enchufe.
También hay defensa con IA, y el informe lo reconoce con datos: las empresas de tecnología pueden corregir cientos de vulnerabilidades en una sola actualización, y las organizaciones con programas maduros automatizarán la detección de amenazas y la respuesta. Las débiles quedarán atrás. Esa brecha entre defensores fuertes y organizaciones sin recursos es uno de los riesgos centrales del documento.
Horne cerró la presentación con una imagen doméstica: si faltan alimentos en los estantes o se apagan las luces, los directivos tendrán que explicar a clientes, empleados e inversores que las señales estaban a la vista. El informe marca el décimo año del NCSC y deja una fecha y una cifra para medirlo todo: 2028 como límite del pronóstico y 14.700 millones de libras como coste anual ya confirmado. La fecha todavía se puede mover; la cifra ya se está pagando.
Fuente: NCSC
