La Fundéu ha estado a un paso de escoger “apagón” como palabra del año, y no es para menos. 2025 quedará marcado por dos hechos inéditos. El primero, el gran apagón ibérico que dejó sin electricidad a 60 millones de personas. El segundo, la caída en cadena de varios gigantes de la nube (AWS, Azure y Cloudflare) en apenas un mes.
¿Por qué sucede ahora y por qué son más frecuentes las interrupciones de servicios críticos? ¿Qué está fallando y qué podemos hacer al respecto? ¿Qué aprendizajes nos llevamos para evitar escenarios equiparables en 2026? ¿Estamos preparados para algo peor?
España y Portugal vivieron el pasado 28 de abril uno de los mayores cortes de energía de su historia reciente, y de la de Europa. No solo fue un fallo eléctrico, fue un fallo multiorgánico que afectó también a internet y las telecomunicaciones. De un plumazo, nos quedamos sin los servicios más críticos, de los que dependen -en alguna medida- todas o la inmensa mayoría de las infraestructuras esenciales.
Internet sufrió un fallo generalizado, a lo que se añadió un bloqueo por saturación de demanda de la red móvil, al pasar a esta todas las conexiones en la red wifi. El transporte y el tráfico también se vieron afectados, con la paralización de trenes y metros, cancelaciones masivas de vuelos y las calles sin semáforos.
Caída del 80% del tráfico internet en España el día del gran apagón.
El 55% de los sistemas de pago electrónicos dejaron de funcionar, y muchas tiendas y comercios tuvieron que cerrar; hubo disrupciones en sistemas de emergencias, interrupción de cirugías programadas e incluso personas fallecidas por dependencia de respiradores que requerían de electricidad. También hubo cortes de agua y problemas de toda clase por el mal (o nulo) funcionamiento de algunos generadores y sistemas de respaldo.
Todo esto por una “cascada de sobrevoltaje” en una situación que no se había previsto y que no estaba contemplada entre las posibles contingencias, ni por parte de Red Eléctrica ni de los operadores. Aunque se descarta que la causa fuera un ciberataque, el informe posterior del Gobierno reveló vulnerabilidades, carencias y mala configuración de medidas de seguridad que exponen a las redes a altos niveles de riesgo.
No sería la primera vez que un ataque ciberterrorista tumba la red eléctrica. Rusia ya llevó a cabo acciones de este tipo en Ucrania en 2015 y 2016, y en 2017 estuvo cerca de hacerlo en EE.UU, entre otros casos conocidos. Y, como señala el Global Cybersecurity Outlook 2025 del Foro Económico Mundial, las redes eléctricas son “objetivos altamente atractivos para los ciberdelincuentes".
Mes negro para la nube
Los apagones y cortes eléctricos están entre las causas más comunes de las caídas de infraestructuras digitales, que se añaden a los apagones gubernamentales, los cortes de cables submarinos (por los que discurre en torno a un 98% de todo el tráfico de internet) y desastres naturales, como señala un análisis de Cloudflare.
Sin embargo, en los últimos años está aumentando la proporción de los fallos online relacionados con la nube, según Cisco ThousandEyes. “Lo que estamos viendo es que las interrupciones de los proveedores de servicios en la nube son ahora más frecuentes, lo que refleja un panorama cambiante en la fiabilidad del servicio”, apunta el informe de la empresa.
En 2025, la que ganó por goleada fue la caída de AWS del 20 de octubre. Se debió a un problema en sus instalaciones en Virginia, que hizo que dejaran de funcionar servicios digitales en todo el mundo. Según la empresa, todo empezó con un problema con el Sistema de Nombres de Dominio (DNS), que desembocó posteriormente en problema con el sistema que controla el tráfico en su red. Bancos, sistemas de pago, aerolíneas, plataformas de comercio electrónico y de criptomonedas, teletrabajo, redes sociales, y hasta parkings vieron interrumpida su actividad.
Solo unos días después, el 29 de octubre, los servicios de Azure (la nube de Microsoft) se vieron interrumpidos de forma generalizada. La causa fue un cambio involuntario de configuración, según la compañía.
Pero peor fue lo de Cloudflare, que cayó unos días después (el 18 de noviembre) también por un supuesto error. Un fallo al modificar una base de datos hizo que aumentara mucho el tamaño de un archivo que se usa para la gestión de bots. El archivo era tan grande que el sistema no pudo soportarlo y colapsó. Como consecuencia, se vieron afectados bancos, periódicos, redes sociales, tiendas online como Amazon y apps como ChatGPT.
Informe anual de caídas en 2025 Omicrono
En solo 30 días vimos caer a tres de los pilares del internet moderno. Pero no fueron los únicos servicios interrumpidos por caídas en 2025: Google Cloud, WhatsApp, YouTube, Spotify, X, Snapchat, Slack, Salesforce, Microsoft 365 y X forman también parte de una larga lista.
Al igual que el gran apagón ibérico, las consecuencias de estas caídas son inmensas. Hablamos de millones de usuarios y miles de empresas afectadas, con pérdidas económicas de hasta decenas de miles de millones de euros, en el peor de los casos.
¿Por qué ahora? Tres claves
Hay tres factores fundamentales que explican por qué cada vez son más frecuentes estos incidentes, y por qué su impacto es cada vez mayor. El primero es la concentración oligopolística. AWS, Microsoft Azure y Google Cloud concentran un 63% almacenamiento, procesamiento y servicios digitales del planeta. Cloudflare gestiona un 20% del tráfico de internet.
Estamos centralizando la provisión de los servicios de la economía digital: de toda la actividad de las administraciones, instituciones, y empresas, y de la sociedad. Esto no solo nos hace más dependientes de los gigantes tecnológicos, sino que crea puntos únicos de fallo: cuando uno de ellos sufre un incidente, afecta a todo el ecosistema global, incluidos servicios críticos.
El segundo factor es que internet no fue diseñada para soportar, además de las comunicaciones, todo el e-commerce y la economía mundial, servicios, apps… Cada vez añadimos más capas de tecnología unas sobre otras, sin protecciones adecuadas ni resiliencia.
El tercer factor es la hiperconexión: cada vez conectamos más cosas a internet, desde la economía y el comercio mundial y las administraciones públicas, hasta nuestros electrodomésticos, ropa y juguetes. Y, cuanto más conectamos, mayor es el efecto dominó en caso de fallo.
Todo ello nos hace más vulnerables a errores humanos, fallos técnicos y ciberataques que afecten a estos sistemas. Sin olvidar otro agravante: que el cibercrimen no deja de crecer, en parte facilitado por el uso de sistemas de inteligencia artificial generativa y herramientas cada vez más sofisticadas que requieren cada vez menos conocimientos.
Tres reglas de oro
¿Qué hemos aprendido de los apagones y caídas de 2025? En primer lugar, que estamos donde estamos porque no hemos hecho los deberes, así que muchas de las medidas que podemos tomar nos sonarán. Un compromiso de mínimos para la ciberresiliencia.
La primera regla es diversificar: no poner todos los huevos en la misma cesta. A nivel corporativo, aplicado a la nube, significa no depender de un solo proveedor. La mejor vía es a través de estrategias de nube híbridas: servidores privados para los datos críticos y servidores públicos para el resto. Incluso podemos contar con varias nubes públicas.
A nivel usuario, también sería un error tener todo nuestro contenido almacenado en una sola nube. Lo mínimo para evitar pérdidas de contenido relevante es hacer copias de seguridad frecuentes, algo que también aplica a las empresas (en cuyo caso deben ser diarias y a prueba de ransomware).
La segunda regla de oro es la concienciación y la formación. El humano es la puerta de entrada a la mayoría de los ciberataques: el eslabón más débil de la cadena. Un simple clic erróneo de una persona puede abrir la puerta a un ciberdelincuente. Para reducir las posibilidades, tenemos que ser conscientes de los tipos de ataques que pueden afectarnos, informarnos, realizar campañas de concienciación, programas de alfabetización digital en ciberhigiene, y sensibilización de empleados, no solo con teoría sino con simulacros prácticos de incidentes o ataques.
La tercera medida estrella es la colaboración. Cuando se cuela un virus en una empresa, o un ciberataque afecta a una administración pública, su alcance puede trascender las fronteras de la organización. Los atacantes pueden acceder no solo a sus sistemas y datos sino también a los de sus proveedores, provocando efectos en cascada: filtraciones de datos, facturas falsas, pirateo de sensores o dispositivos, control remoto de maquinaria o vehículos, etc.
La facilidad de los criminales para expandirse por toda la cadena de suministro o la cadena de valor a través de un proveedor hace que, en la ciberseguridad, seamos todos igual de importantes, desde individuos hasta entidades de todo tipo, sin importar su tamaño. Además, en un mundo globalizado, la cooperación transnacional es obligada: el enemigo no reconoce fronteras.
Medidas adicionales
Por supuesto, hay mucho más que se puede hacer. Otras medidas generales tanto para prevención y mitigación de apagones pasan por modernizar las infraestructuras críticas con sistemas SCADA que automatizan su supervisión; contar con equipos analógicos de respaldo que funcionen de manera autónoma, sin depender ni de la red eléctrica ni de internet; realizar comprobaciones periódicas de que los sistemas de respaldo siguen funcionando, y desconectar elementos cuya conectividad sea prescindible.
También es básica la verificación en dos pasos, usar plataformas de mensajería y correo seguras; reforzar el cifrado de las comunicaciones; contar con software y personal para detectar, notificar y corregir vulnerabilidades (antivirus, cortafuegos, etc. con modelos avanzados basados en IA) y segmentar la red.
En entornos institucionales y corporativos los planes de continuidad operativa y de negocio son obligados. Necesitamos protocolos precisos para actuar en caso de apagón o ciberataque, que detallen funciones, tiempos, responsables, lugares y objetivos, considerando la mayor cantidad posible de escenarios inesperados, como lo fue la súbita pérdida de 15 gigavatios del sistema eléctrico que derivó en el gran apagón de abril.
Son importantes igualmente los planes contingencia imaginativos, ya que siempre se escapan cosas. El Ejército francés, el Ministerio de Defensa Británico y otros gobiernos cuentan con escritores de ciencia ficción para imaginar estos escenarios y futuras amenazas. No es mala idea.
Prepararse para lo improbable
Poniéndonos en lo peor, tanto en organizaciones como en hogares debemos contar con un kit básico de emergencia para hacer frente a situaciones de crisis, que incluya agua potable, alimentos no perecederos, linternas, dinero en efectivo y productos de higiene, entre otros.
Pero en un escenario de gran apagón eléctrico o de internet masivo, no todo debería depender de medidas individuales. Faltan estructuras comunitarias preparadas para estas eventualidades, centros de reunión y servicio para prestar cobijo, agua y enseres, como podrían ser iglesias o bibliotecas.
Un ejemplo inspirador pueden ser los “centros de resiliencia” que se están creando en algunas ciudades de EE.UU: espacios físicos y comunitarios, seguros y autosuficientes, que sirvan tanto como lugares para la vida en comunidad como de refugio durante catástrofes y eventos inesperados.
Entre dichos eventos, por cierto, está la posibilidad de una fuerte tormenta solar. Sin ánimo de ser agorera: nos encontramos en una década de alta actividad geomagnética, lo cual aumenta mucho las posibilidades de que un evento así suceda.
Sean por causas naturales, intencionales, por errores o fallos humanos, o por ciberataques, lo cierto es que los apagones y caídas de servicios críticos digitales están empezando a formar parte de nuestra cotidianeidad. La única defensa real pasa por reforzar la prevención, mejorar la capacidad de respuesta y diseñar estrategias de mitigación eficaces. Incluso en los casos inevitables, una buena preparación puede marcar una enorme diferencia. Es la única forma de afrontar el futuro con confianza. Por un 2026 más resiliente, más seguro y mejor.
