El año pasado, uno de los mayores empleadores del Reino Unido, Jaguar Land Rover (JLR), sufrió un ciberataque tan devastador que la producción se detuvo durante meses. El golpe fue tan profundo que el gobierno británico tuvo que rescatar a la compañía con 1.500 millones de libras (unos 2.000 millones de dólares), y el costo total para la economía del país se estima en 2.500 millones de dólares. Durante mucho tiempo solo hubo especulaciones sobre quién estaba detrás. Ahora, un informe del New York Times citando fuentes cercanas a la investigación señala que los responsables eran hackers rusos.
Un ataque sin precedentes
La magnitud del ataque dejó perplejos a los expertos. A diferencia de los típicos incidentes de ransomware, aquí no hubo demanda de rescate. Los atacantes simplemente querían paralizar a la compañía. Pete Chronis, exdirector de seguridad de la información (CISO) de Paramount y ahora socio de capital de riesgo, lo expresó claramente en una publicación de LinkedIn:
“Cuando piratearon JLR, nadie pidió dinero. Reflexiona sobre eso. Las bandas de ransomware te bloquean porque quieren un pago. Quien atacó a JLR no quería uno. Sin demanda, sin negociación. Solo querían dejar a la empresa en el suelo.”
Cynthia Kaiser, vicepresidenta sénior del Halcyon Ransomware Research Center y exsubdirectora cibernética del FBI, señaló otros indicios de participación estatal: el ataque llegó justo antes del lanzamiento de un nuevo vehículo, se utilizó un ransomware con un algoritmo “alucinante” y la flota de Land Rover tiene fuertes vínculos con la familia real británica y el ejército.
“Hay muchas buenas razones por las que los estados nación utilizan tácticas criminales cuando realizan ataques destructivos. Son rápidas, escalables y altamente repetibles. Explotan debilidades comunes que existen en casi todos los entornos de infraestructura crítica. Y, críticamente, complican la atribución, permitiendo a los atacantes operar por debajo de los umbrales de respuesta tradicionales.”
La sombra de Rusia
Microsoft, que estaba rastreando al grupo de hackers ruso, fue quien alertó a JLR sobre las identidades de los atacantes. En la investigación colaboraron varias agencias: el FBI, la Agencia Nacional del Crimen (NCA) y el Centro Nacional de Ciberseguridad (NCSC) del Reino Unido, la unidad Mandiant de Google y Palo Alto Networks.
Aunque el informe del New York Times no vincula explícitamente el ataque con el gobierno de Vladimir Putin, Kaiser cree que al menos hubo aprobación tácita:
“Esta es la primera vez que recuerdo en que se sospecha fuertemente que Rusia aprobó tácitamente un ataque económicamente destructivo, asestando un golpe estimado de 2.500 millones de dólares a la economía británica y costando a la empresa unos 350 millones de dólares en el año fiscal 2026.”
Kaiser también advirtió que los adversarios utilizan la duda para limitar la respuesta geopolítica:
“Los adversarios creen que pueden detener las respuestas apropiadas de las naciones democráticas sembrando dudas. Todos debemos ser más proactivos a la hora de esperar y responder a los estados nación, que casi con certeza aumentarán su uso de tácticas criminales en el futuro.”
Dos intrusiones separadas
La atribución se complicó aún más porque otro actor también logró infiltrarse en las redes de JLR. Según el Times, un hacker jordano conocido como Rey había entrado de forma independiente. Además, un grupo llamado Scattered Lapsus$ Hunters reclamó inicialmente la autoría del ataque, lo que desvió las investigaciones.
El entonces CISO de JLR, Ashish Shrestha, confirmó en una conversación con Infosecurity que el atacante era “bastante sofisticado”, aunque no pudo confirmar su origen. Shrestha reveló que en las primeras 24 horas, los atacantes le pidieron que no involucrara a las autoridades, pero él ya tenía a la policía físicamente presente. Su equipo nunca contactó a los hackers.
Sobre la recuperación, Shrestha señaló que se tomaron su tiempo para garantizar que los adversarios no pudieran realizar un ataque de seguimiento: “La continuidad del negocio no consiste solo en volver, sino en volver más fuertes”. Curiosamente, indicó que no hubo ingeniería social en el ataque, contradiciendo informes anteriores que sugerían que los hackers se hicieron pasar por empleados.
Los investigadores continúan analizando el caso, pero la evidencia apunta a un ataque con huellas rusas. La magnitud del daño económico y la ausencia de rescate sugieren que el objetivo no era el dinero, sino la destrucción.









