En la historia de la inteligencia estatal, pocas operaciones han marcado un cambio de paradigma tan tajante como la operación que desplegó el gusano Stuxnet contra el programa nuclear iraní. Se inauguró una nueva fase en la que la persecución de un objetivo –un Estado, una instalación, una infraestructura crítica– dejó de depender únicamente de agentes, satélites o escuchas telefónicas para integrarse en un marco tecnológico de algoritmos, control remoto y destrucción física mediada por software.

Este artículo analiza cómo Stuxnet ejemplifica una genealogía que va “de los cifrados al algoritmo”, cómo se llevó a cabo, cuáles fueron sus implicancias y qué lecciones ofrece para el futuro de la inteligencia, la vigilancia y la seguridad global.

Inteligencia, sabotaje y evolución tecnológica

La historia tradicional de los servicios de inteligencia y contrainteligencia ha estado dominada por actividades como la interceptación de comunicaciones —telefónicas, diplomáticas, de radio—; por el descifrado de códigos enemigos; por el control humano sobre redes de espionaje. Con la digitalización de los sistemas y la emergencia de la ciberguerra, ese escenario comenzó a cambiar radicalmente. Ya no sólo se trata de escuchar o descifrar, sino de infiltrar, manipular y destruir infraestructuras físicas a través del código.

En ese sentido, Stuxnet —lanzado en la segunda mitad de la década de 2000 y descubierto públicamente en 2010— marca una bifurcación clave. Un informe del Institute for Science and International Security (ISIS) señala que la versión 0.5 del gusano estuvo en desarrollo al menos desde 2007, y que incluía una estrategia de cierre de válvulas en cascadas de centrifugado en el complejo de enriquecimiento de uranio en Natanz (Irán). Se trata por tanto de un episodio en que inteligencia, ingeniería industrial, entrenamiento de software y sabotaje convergen en un solo artefacto.

El desplazamiento conceptual es imprescindible: ya no basta “leer” al adversario, sino “reprogramarlo”. No basta “vigilar” un sistema, sino “insertar” un agente activo dentro de la infraestructura. En ese sentido, el paso del cifrado (tradicional en espionaje) al algoritmo (en ciberguerra) es el eje de este análisis.

Génesis y desarrollo de la operación

Aunque los Estados involucrados nunca lo han confirmado oficialmente, múltiples investigaciones apuntan a una colaboración entre los gobiernos de Estados Unidos e Israel, bajo el nombre en clave de Operación Olympic Games, cuyo fin era frenar el avance del programa nuclear iraní —una meta de seguridad nacional para ambos países— sin recurrir a una intervención militar abierta. Se estimaba que el coste, tanto en término de reputación como de escalada bélica, podría mitigarse si el ataque parecía “cibernético”.

El gusano, según análisis de la firma de seguridad digital Kaspersky Lab, fue diseñado específicamente para sistemas de control industrial (SCADA) de la firma Siemens, particularizados en controladores lógicos programables (PLCs) usados en ciertos modelos de centrifugadoras iraníes.

Stuxnet se difundió mediante memorias USB infectadas, lo que le permitió cruzar entornos “air-gapped” (desconectados de la red externa). Contenía múltiples “zero-day” (vulnerabilidades sin parche) del sistema operativo Windows, sumados a certificados digitales robados para firmar drivers maliciosos. Asimismo, Incluía lógica de reconocimiento de entorno: solo cuando encontraba la combinación exacta de PLC, software Siemens Step7 y configuración de centrifugadoras transfería el payload de sabotaje. En otros entornos quedaba latente o inactiva.

En cuanto al componente físico, el malware manipulaba la velocidad de giro de las centrifugadoras para provocar desgaste acelerado, vibraciones excesivas o cambios de régimen que dañaban el equipo sin necesariamente alertar inmediatamente al operario. Finalmente, el código contenía una “fecha de caducidad” interna, lo cual refleja una planificación estratégica para limitar la exposición.

Publicaciones como la de la Encyclopaedia Britannica señalan que, para finales de 2010, más de 100.000 computadoras estaban infectadas por Stuxnet y que cerca del 60 % de ellas se encontraban en Irán.
Al mismo tiempo, expertos de la IEEE señalan que alrededor de 1.000 centrifugadoras podrían haber sido dañadas o puestas fuera de servicio como resultado del ataque.

La clave del éxito no residió en la destrucción masiva visible, sino en un sabotaje sigiloso que permitía al adversario pensar que el fallo técnico era banal o natural, mientras el efecto sobre el programa nuclear se acumulaba.

Si bien EE.UU. e Israel nunca lo confirmaron públicamente, varias filtraciones y testimonios vinculaban la operación a ambos gobiernos. Este silencio forma parte del modus operandi de la inteligencia: actuar por debajo del umbral de la guerra convencional, sin admitir la acción, pero generando consecuencias tangibles. Este aspecto origina un nuevo desafío en el derecho internacional y en la gobernanza de la ciberguerra, pues la atribución se vuelve difusa y la responsabilidad difícil de exigir.

Implicancias operativas, estratégicas y jurídicas

La operación Stuxnet rompió un tabú: la inteligencia dejó de ser solo observación, seguimiento y análisis, para incorporar una modalidad ofensiva directa, mediatizada por software. El espionaje tradicional (interceptar, vigilar, infiltrar) se transformó en interferencia activa sobre un sistema adversario. En ese sentido, se abre un nuevo capítulo en la genealogía de la inteligencia: la guerra de información y sabotaje digital.

La operativa revela que la inteligencia y la contrainteligencia aceptan hoy una lógica híbrida: mezcla de lo digital, lo físico y lo estratégico. En este contexto, los servicios de inteligencia deben prepararse no solo para recopilar datos, sino para comprometer sistemas industriales, redes eléctricas, plantas nucleares, instalaciones de agua y transporte, etc.

Un análisis publicado por Centre for Strategic and International Studies (CSIS) señala que Stuxnet constituye un “acto de fuerza” según el manual de Tallinn, lo que significa que la operación podría violar el principio de no intervención y la prohibición de uso de la fuerza sin mandato de la ONU o sin auto-defensa.

Este quiebre plantea preguntas cruciales: ¿Cuándo un ciberataque se considera un acto armado? ¿Quién es responsable cuando un “arma” digital atraviesa fronteras? ¿Qué mecanismos de rendición de cuentas existen? En este sentido, la operación subraya la necesidad de normativas internacionales que aborden específicamente la ciberguerra y la intervención digital.

El despliegue de Stuxnet destacó que las herramientas de sabotaje digital requieren un nivel de ingeniería y financiación extraordinarios. Esas herramientas pueden escapar del control estatal o adquirir vida propia. Una vez desplegado, el código se propagó más allá del objetivo inicial. La línea entre “enemigo” y “colateral” se vuelve difusa.

Desde una perspectiva de derechos humanos, el uso de malware ofensivo plantea riesgos: infraestructura civil afectada, fallos en sistemas cruciales para la población, daños que no son fáciles de atribuir ni reparar, y un precedente peligroso para el uso de tecnología por parte de actores estatales o no estatales.

El gusano Stuxnet no fue un hecho aislado. En su estela surgieron variantes como Duqu, ligada también a inteligencia estatal y ataques a la infraestructura eléctrica en Ucrania, que sin duda se nutren del mismo paradigma: infiltración, sabotaje y guerra de información.

Por tanto, la operación puede considerarse pionera, pero también instructiva: inaugura un “modo” que ya se ha vuelto parte de la caja de herramientas de la inteligencia contemporánea.

Del cifrado al algoritmo: lecciones para la inteligencia contemporánea

El inicio del espionaje moderno se basa en el cifrado —romper códigos, interceptar comunicaciones, descubrir claves. Con Stuxnet se produce un desplazamiento: ya no basta con descifrar, sino con infiltrar el sistema de control y manipularlo. El sujeto de control deja de ser humano o máquina al servicio del humano, y se convierte en sistema automatizado, regulado por lógica algorítmica.

El “algoritmo” se convierte en un instrumento de poder: determina, ejecuta y encubre. Esto marca un cambio histórico profundo en la forma de entender la inteligencia y la persecución de ciudadanos o infraestructuras.

Para los historiadores y analistas de inteligencia, Stuxnet obliga a repensar numerosos elementos: el tipo de activos sobre los que operar, ya no sólo diplomáticos o telefónicos, sino PLCs, SCADA, sistemas industriales, plantillas de software. Del mismo modo, los vectores de ataque, memorias USB, redes locales, dispositivos “offline”.

En este marco, se desdibujan las fronteras entre espionaje, ciberdefensa y sabotaje; y entran en juego fenómenos como la vigilancia algorítmica y la intervención algorítmica. Esto último incluye tanto la observación como la alteración de sistemas e infraestructuras.

Los riesgos que implican, sumados a los dilemas planteados, pueden enumerarse de la siguiente manera:

• Proliferación: Si un Estado puede desarrollar y lanzar un arma como Stuxnet, otros pueden replicar o adaptar la técnica, incluyendo actores menos controlados.
• Escalada y represalia: Los efectos del sabotaje digital pueden generar respuesta militar convencional o ciber contraataque, con poco margen para la “no escalada”.
• Estado de derecho: La opacidad de estas operaciones, la dificultad de atribuir responsabilidades y la inexistencia de mecanismos internacionales efectivos debilitan el marco normativo.
• Infraestructura crítica: La interconexión digital de redes nacionales hace que la vulnerabilidad se expanda más allá del blanco que se pretendía atacar.
• Derechos humanos: La distinción entre objetivo militar e infraestructura civil se vuelve más borrosa cuando los sistemas industriales tienen componentes de uso dual o afectan servicios públicos.

Inteligencia democrática en entredicho

La operación Stuxnet nos introduce en un nuevo paradigma: la inteligencia como arma activa y digital. Si en el siglo XX la clave era el descifrado de códigos y el espionaje humano, en el siglo XXI se abre paso la lógica del algoritmo, la intercepción automatizada, la infiltración de sistemas y el sabotaje silencioso.

Para los Estados que se proclaman democráticos, este cambio plantea una doble exigencia. En primer lugar, mantener la eficacia de la inteligencia y de la seguridad nacional frente a nuevas amenazas. En segundo lugar, garantizar que el uso de la tecnología no erosione los principios básicos del derecho, la supervisión civil, la rendición de cuentas y los derechos humanos.

El dilema es real: ¿puede una democracia permitirse tener armas de ciberguerra si no mantiene transparencia, controles y límites? En ese sentido, la genealogía de la inteligencia —de los cifrados a los algoritmos— no es solo una cuestión técnica o militar, sino profundamente política.

En última instancia, la operación Stuxnet no solo fue un ataque contra una instalación nuclear iraní: fue una señal del fin de una era y el comienzo de otra. Una era en la que las armas pueden no escucharse, no verse y, sin embargo, destruir. Y donde la vigilancia ya no solo observa, sino también actúa.

El reto para la ciudadanía no es evitar que exista inteligencia ofensiva —esa batalla está perdida—, sino exigir que dicha inteligencia se sujete al control democrático, a la ética, a los derechos de la sociedad a la que sirve. Si no lo hacemos, la máquina del algoritmo nos controlará antes de que lo sepamos.

Escrito por Por Max L. Van Hauvart Duart