Justin Moore (Palo Alto Networks): «Irán está usando tácticas híbridas de bajo coste para generar pánico en Occidente y sus empresas»

Tras el inicio de las hostilidades entre EEUU, Irán e Israel el pasado 28 de febrero, la situación de seguridad global se vio seriamente comprometida debido no sólo a los combates en Ormuz, que han afectado a nivel energético a todo el mundo, sino también a nivel de ciberseguridad debido al riesgo creciente de ataques por parte de grupos de hackers en todo el mundo occidental.

A 2 de julio de 2026, y tras un alto el fuego condicional en abril, han persistido intercambios limitados de ataques (especialmente vinculados al frente de Líbano contra Hezbolá), mientras continúan negociaciones indirectas mediadas por Qatar y Pakistán que, por ahora, avanzan muy lentamente.

Desde la perspectiva de ciberseguridad, este conflicto tiene una fuerte dimensión híbrida y de alto riesgo cibernético. Irán cuenta con capacidades cibernéticas estatales maduras (grupos vinculados a la Guardia Revolucionaria) que históricamente han atacado infraestructuras críticas, cadenas de suministro y objetivos israelíes y estadounidenses. En el escenario actual de tregua inestable, existe un riesgo de operaciones cibernéticas de represalia, sabotaje a infraestructuras energéticas y portuarias, ataques a sistemas de control industrial relacionados con el programa nuclear o el transporte marítimo, y campañas de desinformación o pre-posicionamiento de malware.

En este difícil contexto, Justin Moore, Senior Manager en Threat Intelligence Research de Unit 42, grupo vinculado a Palo Alto Networks, una de las firmas de seguridad más relevantes a nivel mundial en este momento, concede a elEconomista.es una entrevista con el objetivo de determinar que riesgos existen en el momento en relación con los hackers, el funcionamiento de las empresa y la ciberseguridad de la industria europea.

Irán lleva años desplegando una red de grupos como Handala, vinculado al MOIS, y CyberAv3ngers como parte de una estrategia de ciberguerra asimétrica. ¿Cómo ha evolucionado esta actividad desde el inicio del conflicto en febrero de 2026 y qué patrones coordinados se están observando? ¿Podemos hablar de un desplazamiento del conflicto hacia el dominio digital?

La fuerte dependencia de Irán de identidades hacktivistas contra Israel tras el 7 de octubre y, más recientemente, contra Estados Unidos no responde a una estrategia nueva, sino a la intensificación de un manual ya ampliamente utilizado. Aunque operaciones como Epic Fury (Roaring Lion) situaron esta táctica en el foco internacional, Teherán lleva encubriendo operaciones cibernéticas destructivas bajo fachadas hacktivistas desde los ataques de Shamoon de 2012, atribuidos a «Cutting Sword of Justice».

Dado que la guerra digital ignora las fronteras físicas y geográficas, se ha convertido en la herramienta definitiva para el conflicto asimétrico. No estamos ante un cambio en la estrategia iraní, sino ante una escalada impulsada por la necesidad geopolítica, que permite a Teherán proyectar fuerza mientras mantiene una negación plausible.

En mayo de 2026, el grupo Handala afirmó haber comprometido los teléfonos de oficiales navales estadounidenses para filtrar posiciones en el estrecho de Ormuz, además de enviar amenazas directas. ¿Qué revela este tipo de operación híbrida sobre las capacidades actuales de los actores iraníes?

Esta reivindicación refleja más una operación de guerra psicológica de bajo coste que un compromiso técnico avanzado, y muestra cómo los actores de amenazas utilizan tácticas asimétricas para amplificar su impacto más allá de sus capacidades reales.

En lugar de comprometer redes militares seguras, operaciones de este tipo pueden ejecutarse fácilmente mediante técnicas simples, estandarizadas y fácilmente accesibles: los actores pueden delimitar geográficamente zonas o enclaves militares activos utilizando datos públicos y, después, cruzar esas áreas geográficas con listas masivas de nombres y números de teléfono obtenidas de intermediarios de datos comerciales o de brechas corporativas anteriores.

Al cruzar información obtenida de bases de datos con el envío de mensajes directos, el grupo fabrica una ilusión altamente disruptiva de vigilancia en tiempo real, una táctica conocida como «perception hacking» o manipulación de la percepción, que maximiza el impacto psicológico y el pánico con un esfuerzo técnico sorprendentemente bajo.

¿Cómo están afectando los ataques iraníes a las cadenas globales de suministro de las empresas multinacionales? ¿Representan un riesgo real o son principalmente propaganda?

Las empresas con presencia física, socios y proveedores externos ubicados en el Golfo, o con vínculos visibles con el Gobierno de Estados Unidos, tienen sin duda un mayor riesgo de convertirse en víctimas.

Con el uso de herramientas como programas de borrado de datos, conocidos como wipers, o el robo de identidad en entornos corporativos, ¿estamos viendo una profesionalización de estos grupos que los hace más peligrosos para el sector privado? ¿Qué nivel de preparación deberían tener las empresas frente a este tipo de amenaza?

Estos actores ya son operadores profesionales contrastados, responsables de más de una decena de campañas con wipers desde 2012, lo que demuestra que se trata de una metodología ya institucionalizada: operaciones iraníes ejecutadas bajo la máscara de grupos hacktivistas.

Lo que los hace más peligrosos para el sector privado es el mayor riesgo de que estas operaciones se extiendan en contextos de conflicto, como hemos visto recientemente. Las organizaciones deben implementar estrategias de defensa en profundidad, como MFA resistente al phishing, arquitecturas Zero Trust, una gestión estricta del ciclo de vida de las identidades, gestión de identidades no humanas (Non-Human Identities, NHI) y capacidades de detección y respuesta ante amenazas de identidad (Identity Threat Detection and Response, ITDR).

En el caso de las empresas europeas, ¿Qué medidas prioritarias deberían adoptar para evitar interrupciones operativas o ciberataques? ¿Cómo puede el sector privado colaborar de forma eficaz con proveedores de ciberseguridad y gobiernos?

Todas las empresas, independientemente de su ubicación, deberían implementar estrategias básicas de defensa en profundidad, como MFA resistente al phishing y arquitecturas Zero Trust, mantener copias de seguridad aisladas mediante air gap y poner a prueba de forma periódica su resiliencia.

Tanto los proveedores de ciberseguridad como los gobiernos ofrecen orientación basada en las técnicas más recientes utilizadas por los atacantes. En este contexto, la rapidez a la hora de aplicar estas recomendaciones resulta crítica.

Por último, ¿podrías definir brevemente, a partir de vuestros informes y hallazgos, las principales estrategias utilizadas por los hackers iraníes y sus cursos de acción más habituales?

Los actores iraníes han logrado sus objetivos mediante operaciones sofisticadas de ingeniería social y spear phishing, la explotación de vulnerabilidades one-day públicamente disponibles en aplicaciones web expuestas a Internet para desplegar web shells personalizadas, y el robo de credenciales para obtener acceso inicial.

Su curso de acción depende en gran medida de múltiples factores, pero el acceso sigiloso y persistente a largo plazo ha sido una constante en sus operaciones, ya sea para tareas de recopilación de información, para acceder a terceros o para preparar y ejecutar ataques disruptivos.