La UE impone sanciones a entidades chinas e iraníes por ciberataques contra infraestructuras críticas

La Unión Europea ha dado un paso visible en la respuesta colectiva a las amenazas digitales: el Consejo de la Unión Europea impuso sanciones a tres empresas y a dos personas por su implicación en ataques informáticos dirigidos contra dispositivos y contra infraestructuras críticas. Estas medidas no son sólo simbólicas: buscan cortar recursos, perseguir responsabilidades y enviar un mensaje sobre el coste político y económico de las ciberacciones que afectan a ciudadanos y servicios esenciales.

Entre las entidades sancionadas se encuentran dos compañías vinculadas a China —Integrity Technology Group y Anxun Information Technology (también conocida como i‑Soon)— y una firma iraní, Emennet Pasargad. Las acusaciones recogen desde el suministro de capacidad técnica para operar redes de equipos infectados hasta la contratación de “hackers‑for‑hire” y campañas de influencia que han afectado a terceros países. Según el Consejo, Integrity Technology Group aportó “apoyo técnico y material” en 2022 y 2023 que facilitó la infección de decenas de miles de dispositivos en varios Estados miembro; por su parte, Anxun habría ofrecido servicios de intrusión dirigidos contra funciones críticas de gobiernos y empresas, y dos de sus cofundadores figuran ahora también en la lista de personas sancionadas.

El caso iraní no es menor: Emennet Pasargad ha sido vinculada a múltiples campañas de desinformación, a la sustracción de datos del proveedor de SMS en Suecia y, según informes, incluso al secuestro de paneles publicitarios digitales para difundir mensajes durante los Juegos Olímpicos de París 2024. Investigaciones y empresas de seguridad han asociado a actores que operan bajo seudónimos con la oferta y venta de bases de datos robadas —como la publicación de una muestra de suscriptores de la revista Charlie Hebdo— y con servicios de ciberseguridad ofrecidos al Estado iraní. Para ampliar detalles sobre una de estas operaciones y el actor que utilizó el alias “Holy Souls”, puede consultarse el análisis publicado por Microsoft.

Las sanciones que ha aplicado la UE implican congelación de activos y la prohibición para ciudadanos y empresas de la Unión de poner a disposición fondos, bienes o recursos económicos a favor de los señalados. Además, las personas físicas incluidas en las medidas se enfrentan a vetos de entrada y tránsito por territorio comunitario. Estas son herramientas ya empleadas por la UE desde 2019 contra actores que llevan a cabo ciberactividades maliciosas; el Consejo mantiene una cronología de estas medidas y su evolución normativa que ayuda a situar estas acciones en un marco más amplio de política exterior y seguridad digital (ver cronología).

Detrás de los nombres comerciales hay historias técnicas y operativas que explican por qué las autoridades han decidido sancionar ahora. A Integrity Technology Group se le ha relacionado, según investigaciones de seguridad y autoridades internacionales, con una gran botnet capaz de coordinar miles —e incluso cientos de miles— de dispositivos comprometidos, una herramienta clásica para espionaje, recolección masiva de datos o ataques de denegación de servicio. Paralelamente, Anxun/i‑Soon fue expuesta por una filtración en 2024 que dejó al descubierto documentación interna sobre sus actividades como contratista ofensivo, algo que reforzó las imputaciones sobre su papel en operaciones continuadas a lo largo de más de una década; el análisis de la filtración puede consultarse en el informe de SentinelOne.

En el ámbito internacional, las respuestas no se limitan a la UE. Distintas agencias y gobiernos —particularmente de Estados Unidos— han sancionado con anterioridad a algunas de estas entidades y han ofrecido recompensas por información que permita localizar a responsables. Ese encadenamiento de acciones, que combina sanciones financieras, policiales y de inteligencia, persigue debilitar las capacidades operativas de las organizaciones y complicar su actividad en el mercado global de servicios cibernéticos.

¿Por qué importan estas sanciones a un ciudadano o a una empresa? Porque las amenazas ya no son sólo incidentes aislados: cuando una red de dispositivos es controlada desde el exterior o cuando una empresa vende servicios para atacar infraestructuras críticas, la consecuencia puede llegar a servicios públicos, a cadenas de suministro y a la privacidad de decenas de miles de personas. La congelación de activos y las prohibiciones comerciales complican la financiación y la logística de estos grupos, y los vetos a la circulación de sus responsables dificultan la movilidad y la legitimidad con la que operaban internacionalmente.

Este tipo de decisiones también reflejan un cambio de paradigma: las sanciones se han convertido en una herramienta de política exterior para gestionar riesgos digitales, junto con la cooperación técnica entre Estados y la presión diplomática. Sin embargo, su eficacia depende de la coordinación transnacional, de la capacidad de identificar con precisión a los actores responsables y de complementar las medidas con defensas técnicas, intercambio de inteligencia y resiliencia en sectores críticos.

En la práctica cotidiana, las empresas deben seguir reforzando sus defensas: segmentación de redes, parches regulares, monitorización y respuestas rápidas ante intrusiones son más necesarias que nunca. Los responsables políticos, por su parte, tendrán que equilibrar sanciones, cooperación internacional y medidas domésticas para proteger infraestructuras clave sin que la acción punitiva genere efectos colaterales sobre el comercio legítimo.

La operación del Consejo es, en definitiva, un recordatorio público de que los conflictos en el ciberespacio ya tienen consecuencias económicas y diplomáticas concretas. Para quien quiera profundizar en la nota oficial del Consejo sobre estas sanciones, el texto completo está disponible en la página del Consejo Europeo, donde se detallan los fundamentos legales y el alcance de las medidas impuestas.

Vivimos en un entorno en el que las fronteras físicas importan cada vez menos para los atacantes y en el que la respuesta colectiva —sanciones, persecución penal y fortificación técnica— será clave para mantener la seguridad de servicios e infraestructuras que damos por sentados. La noticia de hoy es una muestra de que esa respuesta se está volviendo más habitual y más coordinada, pero también nos recuerda que la amenaza evoluciona a la misma velocidad que las tecnologías que dependemos para vivir y trabajar.