Hay cosas que uno desearía que nunca se mezclaran: café y sal, chanclas y calcetines, o vulnerabilidades informáticas y armas nucleares. Sin embargo, parece que el Departamento de Energía de Estados Unidos —concretamente la Administración Nacional de Seguridad Nuclear (NNSA)— no comparte esa prudencia culinaria ni tecnológica. Porque sí, el organismo responsable del desarrollo, mantenimiento y desmantelamiento del arsenal nuclear estadounidense ha sido víctima de un ataque informático a través de SharePoint. Sí, SharePoint.
La clave del incidente ha sido una vulnerabilidad de tipo zero-day en la versión on-premise de SharePoint, la solución de colaboración empresarial de Microsoft. El fallo permitía, entre otras perlas, la ejecución remota de código y el robo de credenciales. Microsoft tuvo que actuar con urgencia lanzando parches para evitar una escalada aún mayor, dado que miles de instalaciones en todo el mundo estaban expuestas. Aunque aún no se ha publicado un análisis técnico completo, algunas de las primeras conclusiones no son precisamente tranquilizadoras.
Entre los afectados destaca el Departamento de Energía, cuya confirmación llegó tras las primeras informaciones aparecidas en Bloomberg. Según han declarado fuentes internas, el impacto fue “mínimo”, gracias a que los sistemas más sensibles operan bajo Microsoft 365 y cuentan con sofisticadas capas de ciberseguridad. Por ahora, aseguran que no ha habido fuga de información clasificada ni comprometida, aunque lo cierto es que esa frase —ya demasiado repetida en estos casos— suena cada vez más como una declaración de intenciones que como una certeza.
Microsoft apunta a actores estatales chinos como responsables del ataque. No es un caso aislado: varias organizaciones internacionales se han visto afectadas en la misma oleada de explotaciones, que comenzó a raíz del descubrimiento de la vulnerabilidad. Y mientras los responsables de la seguridad nacional rebajan la tensión, el resto del mundo observa con el ceño fruncido. Porque si hasta los guardianes del botón rojo pueden verse comprometidos por una mala gestión de actualizaciones, ¿qué queda para los demás?

Lo más paradójico del caso es que SharePoint Online, la versión en la nube, no se ha visto afectada en absoluto. Y eso vuelve a abrir el debate sobre la pertinencia de seguir confiando en infraestructuras locales, especialmente en entornos de misión crítica. Las soluciones cloud, con sus ciclos de actualización más rápidos y sistemas de detección y respuesta más avanzados, se consolidan como una apuesta menos arriesgada. Claro, siempre que uno esté dispuesto a entregar parte del control a terceros, en este caso, irónicamente, también a Microsoft.
Más allá de este incidente, lo que queda en evidencia es la fragilidad de muchas estructuras institucionales frente a amenazas que evolucionan más rápido que los protocolos de seguridad. La resistencia al cambio, la inercia burocrática y la desconfianza hacia las soluciones modernas se combinan en una tormenta perfecta. Y cuando esa tormenta sopla sobre sistemas que gestionan materiales nucleares, la ironía deja de tener gracia.
Así que sí, el hackeo al sistema de SharePoint en el corazón mismo del arsenal nuclear estadounidense suena a chiste de mal gusto. Pero no lo es. Es solo una nueva demostración de que en 2025, el verdadero poder ya no lo tienen los misiles, sino quienes controlan los exploits y las contraseñas. Y si eso no te hace temblar, puede que aún no estés prestando suficiente atención.
La entrada SharePoint, ciberdelincuentes y armas nucleares… se publicó primero en MuyComputer.