Enjuiciamiento criminal de ciberdelincuente por ataques cibernéticos contra infraestructura crítica

Plus Ultra EE.UU. | Derecho penal y delincuencia digital | 12 de noviembre de 2026

En agosto de 2026 al menos 6 tiendas en diferentes bases militares en Estados Unidos de América («EE.UU.») sufrieron misteriosas disrupciones en sus equipos de refrigeración y congelación causando la pérdida de muchos alimentos. En un caso según el reportaje de 29 de octubre de 2026 de los equipos de congelación no solo sufrieron apagones sino también aumentos de temperatura en horas de la noche, causando la descongelación y pérdida de muchos alimentos al día siguiente. Una de las tiendas confirmó que el congelador había cambiado a modo de descongelación y calentó los alimentos. Según dicho reportaje, el Ministerio de Defensa estadounidense estaría investigando esos incidentes como un posible ataque cibernético.

En la noche del 11 al 12 de octubre de 2026 sistemas de refrigeración y congelación de supermercados en Francia fueron víctimas de un ataque cibernético. Poco después varios departamentos del Ministerio de Defensa estadounidense contactaron a las autoridades francesas sobre los ataques en Francia para investigar más a fondo los ataques, según el reportaje de 29 de octubre de 2026. Pues resulta que en los ataques cibernéticos en Francia, igual que en los ataques en EE.UU., los equipos no solo sufrieron apagones sino también aumentos de temperatura. En algunos casos en los equipos en Francia el aumento de temperatura era tanto que se encendieron los equipos.

El 12 de octubre de 2026 la Ahold Delhaize, la sociedad dominante holandesa de supermercados en Europa, no solo sufrió un ataque cibernético en sus negocios europeos, sino también en EE.UU. a través de sus filiales como las cadenas de supermercados Hannaford, Stop & Shop en Giant Food. Según la lectura estadounidense de los resultados financieros del tercer trimestre la sociedad dominante estima que los ataques disminuyeron el ingreso bruto para el cuarto trimestre con USD 224 millones a USD 280 millones e ingreso operativo con USD 84 millones a USD 112 millones.

El 2 de noviembre de 2026 varios supermercados europeos sufrieron nuevos ataques cibernéticos contras sus sistemas de refrigeración y congelación.

Estos ataques son aparte de los tantos otros ataques cibernéticos en octubre de 2026. Según el reportaje de 29 de octubre de 2026 los ataques contras equipos de refrigeración y congelación en EE.UU. y otras partes del mundo no son nada nuevo. Reporta que un productor de dichos equipos reportó que supermercados en Israel y Rusia sufrieron ataques cibernéticos en 2022.

Dicho reportaje de 29 de octubre de 2026 también informa que en 2024 una empresa de procesamiento de carne en EE.UU. fue víctima de un ataque cibernético en el que se apagó el equipo de refrigeración causando la pérdida de casi 1000 kilogramos de carne. El proceso penal relativo a este ataque brinda detalles e información.

El 9 de diciembre de 2025 la Fiscalía estadounidense anunció que imputó cargos en 2 escritos de acusación contra una mujer de Ucrania por su participación en ataques cibernéticos contra infraestructuras críticas y otras víctimas a nivel mundial. A ella ya la extraditaron previamente, a principios de 2025, a los EE.UU. en virtud de otro escrito de acusación por su participación en Cyber Army of Russia Reborn («CARR»), también conocido como Z-Pentest. El 9 de diciembre de 2025 tuvo lugar su primera comparecencia ante el juez en virtud de las segundas acusaciones en su contra por su participación en los ataques cibernéticos de NoName057(16)(«NoName»). Durante ambas primeras comparecencias de ambas acusaciones ella manifestó que no es culpable ante los delitos que le imputan. Su primer juicio penal comenzaría el 3 de febrero de 2026 y el segundo el 7 de abril de 2026.

En la acusación relativa a CARR la acusada es la presunta autora de conspiración de dañar computadoras aseguradas y disrupción de instalaciones de aguas públicas, dañar computadoras aseguradas, intrusión informática y abuso de identidad agravado. La conspiración en el sentido del derecho estadounidense existe cuando varias personas se conciertan para ejecutar un delito y resuelven ejecutarlo (artículo 17 del Código Penal de España). La pena que le puede imponer el juez en caso de declararla culpable es una condena de prisión de un máximo de 27 años. Véase la comunicación de la Fiscalía para más detalles sobre la acusada, dichas organizaciones cibercriminales, ataques cibernéticos, financiación y medios tecnológicos.

CARR habría reconocido estar detrás de cientos de ataques cibernéticos contra víctimas a nivel mundial, incluso ataques contra computadoras en EE.UU. Según la Fiscalía, dichos ataques eran para promover los intereses geopolíticos de Rusia. CARR regularmente confirmó en Telegram que la organización estaría detrás de los ataques cibernéticos, mostrando fotos y vídeos de los mismos. Los ataques cibernéticos consistieron de disrupciones digitales severas por sobrecarga excesiva, principalmente dirigidas contra sistemas digitales para gestionar y regular procesos industriales, tales como la gestión hídrica y energética (sistemas de control industrial). Los ataques contra instalaciones de agua potable pública en varios estados de EE.UU. dañaron los sistemas de control industrial causando la pérdida de cientos de miles de litros de agua potable. Un ataque en noviembre de 2024 contra una empresa de procesamiento de carne en EE.UU. causó la pérdida de miles de kilos de carne y una fuga de amoníaco en la empresa. CARR también ha atacado objetivos sensibles en EE.UU., tales como los sistemas electorales durante las elecciones y sitios web de Superintendencia de Energía Nuclear, reporta la Fiscalía.

Según el escrito de acusación contra NoName la organización misma habría reconocido estar detrás de cientos de ataques cibernéticos contra víctimas por todo el mundo, también para promover los intereses geopolíticos de Rusia. NoName regularmente confirmó en Telegram que la organización estaría detrás de los ataques cibernéticos, mostrando pruebas de los sitios web que desactivó. Según la Fiscalía sus víctimas eran, entre otras, entidades públicas, instituciones financieras e infraestructuras críticas, tales como ferrovías y puertos públicos. Este escrito de acusación acusa a la mujer de conspiración para dañar sistemas informáticos protegidos. La pena que le puede imponer el juez en caso de declararla culpable es una condena de prisión de un máximo de 5 años.

En la comunicación de la Fiscalía un oficial de alto rango de la Fiscalía en materia de Seguridad Nacional enfatiza la importancia de la protección de los servicios críticos, tales como los alimentos y las instalaciones hídricas que la población necesita diariamente, a través de la persecución penal de los que intentan afectarlos.

Un director de la Agencia de Protección Ambiental estadounidense explica que con sus ataques la acusada intentaba afectar las instalaciones de aguas públicas en EE.UU. poniendo en peligro a la comunidad y las instalaciones de agua potable. El director asegura que el Departamento de investigación criminal de la Agencia de Protección Ambiental junto con otros entes investigativos estadounidenses se esfuerzan para proteger las instalaciones de aguas para la población y combatir los delincuentes digitales que intentan afectar infraestructuras hídricas por todo el mundo.

En la misma fecha el Ministerio del Interior anunció premios de USD 2 millones y USD 10 millones por información que pueda llevar a la identificación de los miembros de las organizaciones mencionadas arriba. Asimismo, en la fecha de 9 de diciembre de 2025 varios servicios de investigación e inteligencia estadounidenses explicaron en una declaración conjunta que organizaciones como las anteriores buscan conexiones de redes virtuales para computadoras que están conectadas al internet con poca protección. Estas les facilitan obtener acceso a la tecnología en el que operan los sistemas de gestión y regulación de infraestructuras críticas. De esta forma pueden atacar infraestructuras críticas y dañarlas o disrumpirlas.

CARR y NoName también son conocidos en Europa. A finales de 2024 CARR llevó a cabo un ataque cibernético según el Servicio de Inteligencia Militar danés contra el servicio de agua de un municipio en Dinamarca, modificando la presión del agua, causando la rotura de al menos 3 tuberías. Unas 50 viviendas se quedaron sin agua durante 7 horas y 450 viviendas se quedaron sin agua durante 1 hora.

Añade dicho Servicio de Inteligencia Militar que los ataques cibernéticos de NoName en noviembre de 2025 tumbaron importantes sitios web del país, incluso del gobierno, justo antes de las elecciones locales y regionales en Dinamarca.

Plus Ultra le da muchas gracias por su visita. Muchas gracias por las donaciones y por dar este mensaje a quienes les pueda servir. Es por usted que podemos seguir ayudando gratuitamente a nuestra gente querida con asistencia multilingüe publicando artículos jurídicos, lingüísticos y creando contenido turístico muy valioso. Reiteramos nuestra gratitud por su apoyo y esperamos verle de nuevo muy pronto.

© Plus Ultra Editorial & Traducciones Jurídicas. Derechos reservados.