El Center for Security Studies (CSS) de la ETH Zurich publicó el pasado 30 de septiembre de 2026, su informe Space Cyber Threat Intelligence: Threat Landscape Report 2025, con 407 operaciones contra 183 organizaciones espaciales. Su autora, Clémence Poirier, lo resumió así: hubo más de un ciberataque al día contra el sector durante ese año.
El patrón que dibuja el trabajo resulta reconocible para cualquiera que siga la ciberseguridad industrial. El DDoS fue la actividad maliciosa más frecuente, mientras el ransomware y el robo de datos ganaron peso. Detrás de los 407 incidentes hay 139 actores de amenaza distintos, y la mayoría son grupos hacktivistas que eligen objetivos según cómo van la guerra de Ucrania, la tensión entre India y Pakistán, el conflicto con Irán o el de Gaza.
Ahí está la paradoja, y también el motivo para leer el informe con calma. El satélite, ese objeto caro que todos imaginan como blanco prioritario, no recibió un solo golpe documentado. Lo que se atacó fue la infraestructura terrestre que lo controla. Y esa ausencia dice menos de la seguridad de los satélites que de nuestra incapacidad para ver lo que ocurre dentro de ellos.
¿Qué es el segmento de tierra, en una frase?
El segmento de tierra es todo lo que en la Tierra hace funcionar un satélite: estaciones que envían órdenes y recogen telemetría, centros de control, redes que transportan los datos y el módem del cliente final. Sin esa mitad, el satélite es una caja carísima girando en el vacío.
La frontera de ataque, por tanto, no está a 500 kilómetros de altura, sino en el cable y el router que conectan la misión con internet. La digitalización y los componentes comerciales de catálogo han abaratado el sector y han multiplicado las puertas, porque cada fabricante, cada lanzador y cada proveedor de nube añade una superficie que nadie vigila.
Un atacante no necesita tocar el espacio para dejar una constelación muda. Le basta con entrar en el sistema que la gestiona y usarlo como si fuera el operador legítimo de la red.
407 incidentes reportados
El informe no ofrece porcentajes en su resumen público, pero el reparto se puede reconstruir a partir de sus propios datos. El DDoS se lleva la mayor parte, con 247 casos y un 61 % del total, y el ransomware firma un 13 %.
| Actividad dominante |
Casos |
Peso |
Qué persigue el atacante |
| DDoS |
247 |
61 % |
Tumbar el servicio y que se note |
| Ransomware |
sin cifra pública |
13 % |
Cobrar, y filtrar lo que no se paga |
| Filtración de datos |
sin cifra pública |
5 % |
Exponer información y presionar |
Conviene matizar que esas etiquetas describen técnicas, no motivaciones. Un DDoS de un colectivo hacktivista y otro firmado por una banda criminal se parecen en la ejecución y se diferencian en el propósito, y el informe los cuenta juntos porque observa operaciones.
Hay además una trampa de método que conviene tener presente al leer la tabla. El DDoS se detecta el mismo día y deja rastro en cualquier panel de tráfico, mientras un acceso silencioso a una estación puede tardar meses en aparecer. El sector espacial se parece al kernel de Linux en algo poco halagüeño, recibe más incidentes de los que puede clasificar, como contamos en la avalancha de CVE y el triaje con IA.
La noche en que el suelo dejó de responder
El mejor ejemplo sigue siendo el ataque contra la red KA-SAT, el 24 de febrero de 2022, hace más de cuatro años y pocas horas antes de la invasión rusa de Ucrania. El intruso explotó una VPN mal configurada, entró en el segmento de gestión y lanzó comandos legítimos para borrar la memoria flash de miles de módems.
El satélite no se tocó. Los módems, sí, y con ellos se cayó la conexión de miles de clientes ucranianos y decenas de miles más en el resto de Europa. El programa se llamó AcidRain y arrastró un efecto que casi nadie recuerda, los 5.800 aerogeneradores de Enercon que se quedaron sin telemetría en Alemania.
Ese es el daño que la etiqueta ciberataque espacial esconde. No hay explosión ni basura orbital, hay servicios mudos, operadores que descubren su dependencia el mismo día que la pierden y una avería que parece una mala tarde de soporte técnico.
La lógica no es distinta de la que dejó a 115 supermercados europeos con la refrigeración fuera de control por un acceso remoto, como contamos en el ataque que apagó los congeladores de 115 tiendas, con la diferencia de que aquí el mando a distancia mueve algo que orbita.
Hacktivistas con el parte de guerra abierto
Los 139 actores identificados no se reparten por igual. La mayoría son grupos hacktivistas, una categoría que en el espacio pesa más porque el objetivo no siempre es la misión, sino el país al que pertenece la organización que la opera. El informe enlaza los picos con Ucrania, con la tensión indo-pakistaní, con Irán y con Gaza.
El CSS publicó en noviembre de 2025 el trabajo Breaking the Final Frontier, con 237 operaciones entre enero de 2023 y julio de 2025 y un pico de 72 en junio de 2025. Ese dato se ha contado como si fueran 237 ataques de la guerra de Gaza, y son 237 operaciones de dos años y medio.
La lectura que queda es incómoda para la industria. Una organización espacial puede ser atacada no por lo que hace, sino por el pasaporte de su matriz o por el cliente al que sirve, y eso la convierte en parte del campo de batalla aunque ningún misil llegue a la órbita.
La parte buena de un registro sin satélites
Leído en positivo, el dato tiene valor. Ninguna de las 407 operaciones destruyó un aparato en órbita, ni lo desvió, ni lo apagó de forma permanente. Todo lo que se rompió estaba en el suelo, donde se puede parchear, sustituir una credencial y volver a levantar el servicio.
Ese matiz importa porque el escenario que más miedo vende, el del satélite secuestrado o estrellado a propósito, exige capacidades distintas a las que aparecen en el informe. Los incidentes de 2025 fueron sobre todo interrupciones de servicio y filtraciones con víctima corporativa, no armas orbitales. La distancia entre el relato y el registro es la que hay entre el cine y una factura de nube.
El punto ciego que la cifra no puede tapar
La mala noticia es la misma frase leída al revés. La mayoría de los satélites operativos no llevan sensores a bordo capaces de detectar actividad maliciosa, así que un ataque contra un aparato puede no dejar telemetría que analizar. Un intruso silencioso sería invisible por definición, no improbable.
Poirier lo admite sin rodeos en el propio informe y en un artículo posterior del 12 de octubre de 2026. Los 407 incidentes son un suelo y no un techo, porque el sector tiene definiciones incompatibles de su perímetro, fuentes fragmentadas, poca disposición a declarar incidentes y herramientas pensadas para redes corporativas que encajan mal con un aparato que pasa media órbita sin cobertura.
De la oscuridad a la transparencia
Las recomendaciones del CSS no piden un salto tecnológico imposible. Piden detección a bordo, formatos comunes de notificación, marcos de inteligencia adaptados y comunidades de intercambio con reglas claras, porque el viejo modelo de seguridad por oscuridad ya no sostiene nada. La comercialización, los componentes de catálogo y la información técnica accesible han desmontado esa muralla.
La propia ETH Zurich publicó en 2024 el informe Hacking the Cosmos, y su trabajo sobre Ucrania y Gaza ya mostró que el espacio dejó de ser un objetivo exótico. Lo que cambia ahora es la escala. Ya no son operaciones estatales contra un satélite concreto, sino un goteo diario contra organizaciones que no se sienten infraestructura crítica.
El próximo incidente probablemente tampoco saldrá en portada
Si algo enseña este recuento es que el titular del futuro no será un satélite desviado, sino una estación de tierra comprometida durante semanas y un servicio que se degrada sin que nadie sepa por qué. La vigilancia que importa no está en la órbita, está en los contratos de proveedores y en la telemetría que casi nadie recoge.
La cifra que conviene seguir no son los 407 incidentes, sino cuántos se declaran y cuántos operadores despliegan detección a bordo en los próximos años. Mientras esa respuesta siga pendiente, cualquier dato del sector será una fotografía del suelo con el cielo fuera de foco.
