Los apagones recientes en Chile, España y Portugal revelan la fragilidad de las redes eléctricas ante fallos técnicos. Aunque no fueron causados por ciberataques, ilustran el impacto potencial de uno. México, con alta dependencia de la CFE, enfrenta riesgos similares sin plena preparación.
*Por Víctor Ruiz
Los apagones ocurridos en Chile, España y Portugal ilustran las posibles consecuencias de un ataque deliberado contra infraestructura crítica, como las redes eléctricas. Aunque estos eventos fueron producto de fallos accidentales y no de ciberataques, sus efectos ofrecen un panorama de lo que podría suceder en caso de una agresión intencionada, con variaciones según la escala, el objetivo y el nivel de preparación del ataque.
Como contexto, en febrero de 2025, Chile experimentó un apagón masivo que afectó al 98.5 % de su población debido a una falla en una línea de transmisión de 500 kV. Esta interrupción paralizó el transporte, las telecomunicaciones y los servicios esenciales durante más de ocho horas. Aunque la recuperación fue relativamente rápida, el incidente expuso la vulnerabilidad de los sistemas de protección del país.
Por su parte, en abril de 2025, una oscilación en la red eléctrica que conecta a España y Portugal —probablemente causada por un fallo en un interconector— dejó sin electricidad a millones de personas, impactando hospitales, aeropuertos y sistemas de transporte. La lenta recuperación evidenció la fuerte interdependencia de las redes eléctricas europeas.
En este sentido, México enfrenta importantes vulnerabilidades tanto ante fallos energéticos accidentales, como los ocurridos en Chile y España, como frente a ciberataques dirigidos a su infraestructura crítica, en particular la red eléctrica operada por la Comisión Federal de Electricidad (CFE). La fuerte dependencia del país de una sola entidad para la generación, transmisión y distribución de electricidad concentra tanto la responsabilidad como los riesgos.
La preparación de México ante un evento similar es limitada debido a factores como la infraestructura obsoleta y la falta de inversión, ya que gran parte de la red de transmisión y distribución de la CFE requiere una modernización urgente. Además, la carencia de nuevas líneas de transmisión y de capacidades de almacenamiento de gas natural incrementa la exposición a disrupciones en la oferta y la demanda, lo que podría desencadenar un fallo en cadena similar al colapso observado en Chile tras una única falla crítica.
De igual forma, la demanda eléctrica en México ha aumentado considerablemente, impulsada por fenómenos como el nearshoring y las recurrentes olas de calor; sin embargo, la capacidad de generación no ha crecido al mismo ritmo. En 2023, el Centro Nacional de Control de Energía (CENACE) declaró varios estados de alerta debido a márgenes de reserva operativa inferiores al 6 %, lo que refleja que el sistema opera cerca de su límite. En este contexto, un evento como la oscilación registrada en España podría desestabilizar el Sistema Interconectado Nacional (SIN) si llegara a coincidir con un pico de alta demanda.
Otro punto importante es que la CFE ha mostrado capacidad para atender apagones regionales, como el ocurrido en marzo de 2025 en la península de Yucatán, donde logró restablecer el 47 % del servicio en pocas horas tras una falla en el suministro de gas. No obstante, este evento afectó a cientos de miles de usuarios —y no a millones—, y requirió la implementación de cortes rotativos, lo que evidencia que gestionar un apagón de alcance nacional sería considerablemente más complejo. En el caso de Chile, la rápida movilización de fuerzas militares y la imposición de un toque de queda ayudaron a contener el desorden; en contraste, México no cuenta con un protocolo público claro para enfrentar un escenario similar.
Un aspecto clave es que, en México, alrededor del 62 % de la generación eléctrica depende de combustibles fósiles, siendo especialmente crítica la importación de gas natural desde Estados Unidos. Eventos como el ocurrido en enero de 2024 —cuando una ola de bajas temperaturas en Texas provocó un estado de emergencia en el SIN— evidencian que interrupciones externas pueden impactar gravemente al país. Un fallo en el suministro de gas, como el registrado en Yucatán, podría repetirse a una escala mayor, con consecuencias similares a las observadas en los apagones de Chile o España.
Además, la política energética del Gobierno mexicano, enfocada en fortalecer a la CFE por encima de la inversión privada, ha restringido la diversificación de fuentes de generación y reducido la resiliencia del sistema eléctrico. A diferencia de Chile y España, donde la interconexión con otras redes permitió atenuar los efectos de los apagones, en México la alta dependencia de una sola entidad podría dificultar y retrasar la recuperación en caso de que un fallo afecte nodos estratégicos de la CFE.
Por otra parte, los ciberataques a infraestructuras críticas, como la red eléctrica, son una amenaza creciente. Ejemplos históricos incluyen el ataque con Stuxnet en Irán (2010), que dañó centrífugas nucleares, y el malware Industroyer en Ucrania (2016), que causó un apagón en Kiev.
En México, la CFE y Pemex han sido blancos recurrentes, con alrededor de 4 000 ciberataques reportados a la CFE en 2019 y un ataque de ransomware a Pemex ese mismo año.
¿Somos vulnerables a ciberataques?
Tomemos en cuenta que, si bien la CFE ha invertido en procesos de digitalización para optimizar sus costos operativos, esta modernización también ha incrementado su exposición a ciberataques. Considerando que el 44.5 % de los ciberataques globales se dirigen al sector energético, la CFE representa un objetivo atractivo al ser una infraestructura crítica. La creciente interconexión entre las Tecnologías de la Información (TI) y las Tecnologías Operacionales (TO) —como los sistemas SCADA que controlan la red eléctrica— abre posibles puntos de acceso para amenazas como Industroyer, un malware capaz de manipular subestaciones eléctricas y provocar apagones.
Asimismo, un informe de la Auditoría Superior de la Federación (ASF) de 2024 reveló que tanto la CFE como el CENACE presentan deficiencias en sus sistemas de ciberseguridad. En particular, en el sistema EMS/SCADA del CENACE, la función de detección de incidentes alcanzó apenas un 56 % de cumplimiento, lo que refleja una limitada capacidad para identificar ataques de manera oportuna. Por su parte, la CFE no ha implementado pruebas de penetración adecuadas ni ha aplicado actualizaciones críticas de seguridad, una situación similar a la que enfrentó Pemex en 2019, cuando servidores vulnerables no fueron parcheados a tiempo, facilitando un ataque.
En 2019, la CFE también reportó cerca de 4 000 ciberataques en un periodo de cinco meses, de los cuales aproximadamente el 40 % se originaron en México, seguidos por incidentes provenientes de Ucrania, Singapur y Estados Unidos. Entre los ataques más frecuentes se encuentran técnicas como phishing, ransomware y cross-site scripting, enfocadas en el robo de datos o el control de sistemas. La ASF advirtió que en México se registran alrededor de 300 ciberataques por minuto, siendo el sector energético uno de los principales blancos.
A diferencia de países como Estados Unidos, que cuenta con las normas NERC-CIP, o de la Unión Europea, con la directiva NIS2, México no dispone de una regulación específica para proteger la ciberseguridad del sector energético. La ASF ha señalado que las soluciones implementadas actualmente no están adecuadas al contexto nacional y que la escasez de especialistas en ciberseguridad agrava esta vulnerabilidad. Además, se estima que el 20 % de los ciberataques tienen origen interno, muchas veces por errores humanos, como la apertura de correos maliciosos. La amplia presencia de subcontratistas en el sector energético mexicano, quienes tienen acceso a sistemas críticos, representa otra brecha de seguridad, como se ha evidenciado en incidentes internacionales donde los atacantes aprovechan a terceros para infiltrarse en infraestructuras clave.
¿Cuál es el impacto potencial de un ciberataque?
Un ciberataque exitoso a la red eléctrica de la CFE podría provocar apagones masivos, similar al ataque ocurrido en Ucrania en 2016, donde un malware como Industroyer apagó subestaciones, dejando a millones sin electricidad. Según un estudio de la Universidad de Cambridge (2015), un ataque a una red eléctrica podría generar pérdidas de hasta 1 billón de dólares, lo que es un escenario plausible para México debido a su alta dependencia de la CFE. Además, la interrupción de servicios esenciales como hospitales, agua y telecomunicaciones provocaría un colapso, al igual que en Chile y España, aunque la recuperación podría ser más lenta si el ataque afecta sistemas SCADA o equipos físicos (como transformadores, que tardan meses en ser reemplazados). Esto también generaría un caos social y económico, dado que la centralización de la CFE hace que un ataque tenga repercusiones a nivel nacional. Un incidente similar al de 2019 con Pemex, donde un ataque de ransomware paralizó sus operaciones, podría detener sectores clave de la economía mexicana, como la minería o el nearshoring. Además, comprometería la seguridad nacional, ya que la unidad de investigación de SILIKN considera la ciberseguridad energética como un asunto crítico para la seguridad del país. Un ataque con motivaciones políticas, similar a los perpetrados por grupos rusos o chinos, podría desestabilizar aún más al país, especialmente si se combina con otros ataques a sectores como el financiero o el de la salud.
Conclusión
México no está preparado para enfrentar un apagón masivo similar a los ocurridos en Chile o España, por lo que es fundamental invertir en la modernización de la red eléctrica, incluyendo la actualización de las líneas de transmisión y el almacenamiento de gas natural. Además, es necesario diversificar las fuentes de generación energética, promoviendo una mayor participación de las energías renovables y del sector privado, con el fin de reducir la dependencia de la CFE. También es esencial implementar una estrategia nacional de ciberseguridad específica para el sector energético, que contemple normas claras, pruebas de penetración y capacitación continua. Para mejorar la resiliencia, se debe fortalecer la colaboración con el sector privado y organismos internacionales, adoptando mejores prácticas como las de NERC-CIP o NIS2. Por último, es crucial desarrollar planes de contingencia bien definidos para manejar apagones masivos, incluyendo protocolos que protejan los servicios esenciales y faciliten la coordinación entre las diferentes instituciones involucradas en la respuesta.
Víctor Ruiz, fundador de SILIKN, instructor certificado en ciberseguridad (CSCT™), (ISC)² Certified in Cybersecurity℠ (CC), EC-Council Ethical Hacking Essentials (EHE) Certified, EC-Council Certified Cybersecurity Technician (CCT), Ethical Hacking Certified Associate (EHCA), Cisco Ethical Hacker & Cisco Cybersecurity Analyst, y líder del capítulo Querétaro de la Fundación OWASP.
