<img src="https://raw.githubusercontent.com/MrCabss69/Sandworm-Spain-04-2025/main/resources/ioda/plots/pt_vs_sp.png" alt="Gráfico de conectividad IODA durante el apagón ibérico" style={{ maxWidth: '600px', margin: '1em 0' }} loading="lazy" />

Análisis del Apagón Masivo Ibérico del 28 de Abril de 2025 # #

Resumen Ejecutivo:
El 28 de abril de 2025, la Península Ibérica sufrió un apagón masivo que afectó gravemente a los sistemas de energía eléctrica y telecomunicaciones en España y Portugal.
La narrativa oficial inicial apuntaba a fallos técnicos, pero el análisis cruzado de datos eléctricos (REN, REE), registros objetivos de conectividad (IODA), reportes de usuarios (Downdetector) y comunicados oficiales (CSN, REE) revela inconsistencias significativas y una secuencia de eventos que desafía la explicación de un simple fallo técnico. Este informe defiende la hipótesis de un ataque coordinado y sofisticado —potencialmente ejecutado por un actor estado-nación como Sandworm— como explicación más coherente del evento. Ver el código original en: Spanish-Blackout

---

Tabla de Contenidos # #

1. Contexto de la Infraestructura Afectada
2. Secuencia Temporal Detallada del Incidente
3. Evaluación de Narrativas Oficiales vs. Datos Observados
4. Hipótesis del Ciberataque (Sandworm)
5. Conclusión y Próximos Pasos
6. Glosario de Términos Clave

---

1. Contexto de la Infraestructura Afectada # #

1.1 Infraestructura Energética (España y Portugal – Sistema Interconectado) # #

• Generación: Mix diversificado (Nuclear, Hidráulica, Ciclos Combinados, Solar y Eólica) vertiendo en redes AT gestionadas por REE (España) y REN (Portugal).
  • Generación síncrona (Nuclear, Hidro, CCGT) → Inercia esencial.
  • Generación no síncrona (renovables vía inversores) → desafíos de estabilidad.
• Redes de Transporte:
  • Mallas de alta tensión (400/220 kV), fuertemente interconectadas entre sí y con Francia.
  • Subestaciones críticas gestionadas por sistemas SCADA.
• Gestión Centralizada:
  • Centros de control (CECOEL en España, equivalente en Portugal) supervisan y operan el sistema 24/7.
• Redes de Distribución:
  • Empresas regionales gestionan la entrega final y dependen de SCADA propios.

1.2 Infraestructura de Telecomunicaciones (Principalmente España) # #

• Red móvil: Grandes operadores, decenas de miles de estaciones base, dependientes de energía local y conectadas a Core centralizados.
• Red fija: Infraestructura de fibra y cobre.

1.3 Interdependencias Críticas # #

Dependencia	Riesgo/Detalle
Energía → Telecom	REE/REN usan fibra propia (alta resiliencia), distribuidoras dependen más de red pública.
Telecom → Energía	Antenas móviles: autonomía limitada (~2-4 h); nodos Core: alta resiliencia (SAIs/generadores).
Seguridad y contramedidas	Marcos regulatorios (PIC, NIS/NIS2), coordinación (INCIBE-CERT, CNPIC), segmentación IT/OT, pero vulnerabilidades explotables (protocolos industriales, factor humano).
Black Start	Capacidad crítica para recuperación post-apagón total.

Resumen: La infraestructura ibérica es compleja y resiliente, pero sus interdependencias y vulnerabilidades presentan una superficie de ataque explotable para disrupción sistémica.

---

2. Secuencia Temporal Detallada del Incidente (28-Abril-2025) # #

2.1 Fase Precursora: Anomalías en Telcos Españolas (~12:15–12:30 CEST) # #

• Hecho (IODA): Pico inusual y coordinado de incidencias en ISPs (Movistar, Orange).
• Narrativa Oficial: Ausente.

2.2 Evento Desencadenante: Colapso en Portugal (12:30 CEST) # #

• Hecho (REN): Producción nacional cae de ~6.5 GW a 0 MW en minutos.
• Conectividad: IODA confirma caída masiva de internet en Portugal (12:15–12:30).
• Narrativa (España): REE habla de "pérdida de generación" en SW peninsular coincidente.
• Análisis: Probable origen físico del apagón ibérico; ¿fallo técnico o ciberataque a REN?
• Hipótesis: Ataque eléctrico dirigido a Portugal, buscando desestabilizar toda la península.

2.3 Propagación y Colapso en España (~12:33–12:35 CEST) # #

• Hecho (REE): Perturbación desde Portugal causa caída vertical y generalizada de generación:
  • Nuclear (>70% caída), Solar FV (~10 GW), Eólica (~2 GW), Ciclo Combinado (~0.7 GW).
  • Pérdida total >15 GW en 5 minutos.
• Narrativa Oficial: Desconexión en cascada por protecciones.
• Análisis:
  • ¿Solo baja inercia/red vulnerable o desconexión inesperadamente coordinada?
  • Posibles acciones secundarias para amplificar colapso.

2.4 Parada Nuclear Española (~12:35 CEST) # #

• Hecho (REE/CSN): Parada automática (SCRAM) por inestabilidad de red. Generadores EDG funcionaron.
• Narrativa Oficial: Declaraciones inconsistentes, discrepancias en timings.
• Análisis: Parada coherente con el colapso sistémico. Confusión oficial aumenta sospechas.
• Hipótesis: Timing abrupto refuerza la hipótesis de evento externo o ataque.

2.5 Caída de las Telecomunicaciones Españolas (~12:35 CEST en adelante) # #

• Hecho (Downdetector): Pico inicial (~12:30), segundo pico diferido (~19:00).
• Narrativa Oficial: Consecuencia secundaria del apagón eléctrico.
• Análisis: IODA muestra caída posterior a la eléctrica; apoyo parcial a la versión oficial, pero posibilidad de ataque combinado.

---

3. Evaluación de Narrativas Oficiales vs. Datos Observados # #

• Causa Raíz:
  • Oficial: Fallo técnico interno, impacto renovables.
  • Evidencia: El colapso portugués y el precursor ISP español no encajan con un simple fallo técnico.
• Energía Nuclear: Persisten confusiones sobre timing y rol.
• Renovables/Inercia: Factores de contexto, pero no explican el desencadenante.
• Descartes prematuros: Ausencia de investigación forense pública transfronteriza.

---

4. Hipótesis del Ciberataque (Sandworm): Coherencia con Evidencia # #

La hipótesis de ciberataque coordinado (actor tipo Sandworm) es la que mejor explica la secuencia observada:

Fases del Ataque Propuesto:

1. Staging (~10:30 CEST): Ataques/reconocimiento en ISPs españoles clave.
2. Ataque Eléctrico Principal (12:30): Compromiso SCADA/REN en Portugal, colapso súbito.
3. Propagación (12:33–12:35): Colapso cascada en España, amplificado por baja inercia o posibles acciones secundarias.
4. Telecom: Pérdida progresiva de servicios, posiblemente acelerada/asegurada por eventos ISP previos.

Objetivo: Disrupción socioeconómica masiva, obstaculizar respuesta, demostrar capacidad ofensiva.

---

5. Conclusión y Próximos Pasos # #

La explicación de fallo técnico interno es insuficiente y contradicha por la evidencia:
El colapso en Portugal y el precursor en ISPs españoles son piezas clave que solo encajan plenamente bajo una hipótesis de ciberataque sofisticado, alineado con las capacidades y TTPs de Sandworm.

Recomendaciones inmediatas:

• Investigación Forense Transfronteriza: Coordinación España–Portugal para determinar causa raíz en REN.
• Análisis IODA/BGP: Precisión en la correlación de caídas de conectividad y eventos eléctricos.
• Esclarecer Precursor ISP: Determinar la naturaleza del evento en los ISPs españoles.
• Acceso a Datos de Alta Resolución: REE/REN y logs de control.

Sin estos pasos, concluir un "accidente" es prematuro y arriesgado.

---

6. Glosario de Términos Clave # #

Término	Definición
Black Start	Restaurar una red eléctrica desde cero tras apagón total, usando generadores capaces de arranque autónomo.
CECOEL	Centro de Control Eléctrico de REE, cerebro operativo de la red de transporte española.
CSN	Consejo de Seguridad Nuclear.
Downdetector	Plataforma que recopila reportes de usuarios sobre interrupciones de servicios online y telecom.
EDG	Emergency Diesel Generators; generadores diésel internos de una nuclear para alimentar sistemas críticos.
Generación No Síncrona	Electricidad producida por renovables a través de inversores; no aporta inercia física directamente.
Generación Síncrona	Electricidad producida por alternadores girando sincronizados con la red; aporta inercia natural (nuclear, hidro, CCGT).
HV	Alta Tensión (High Voltage), típicamente 400kV/220kV en España.
ICS	Industrial Control Systems (SCADA, etc.).
Inercia (Red Eléctrica)	Capacidad de la red para resistir cambios bruscos de frecuencia por masa rotante de generadores síncronos.
IODA	Internet Outage Detection and Analysis. Proyecto CAIDA de monitorización global de conectividad.
ISP	Internet Service Provider (ej: Movistar, Orange, Vodafone).
IT/OT	Distinción entre redes corporativas (IT) y redes industriales físicas (OT).
Ley PIC	Ley 8/2011 de Protección de Infraestructuras Críticas (España).
LOSS	Loss Of Offsite Power, pérdida de alimentación eléctrica externa fiable (ej: nuclear).
LT	Hora Local (Local Time), CET/CEST en España.
MPLS	Tecnología de red para crear VPNs eficientes para clientes empresariales.
NIS / NIS2	Directivas europeas sobre seguridad de redes y sistemas de información esenciales.
PLC	Power Line Communication, transmisión de datos por cableado eléctrico.
REE	Red Eléctrica de España, operador TSO y dueño de la red AT.
Sandworm	Grupo APT ruso responsable de ataques a infraestructuras críticas, incl. Ucrania.
SCADA	Supervisory Control and Data Acquisition; monitorización y control industrial distribuido.
SCRAM	Parada rápida de un reactor nuclear insertando barras de control.
TTPs	Tácticas, Técnicas y Procedimientos de un actor de amenazas.

---

Preguntas frecuentes sobre el Análisis del Apagón # #

¿Este análisis sugiere un ciberataque como causa del apagón? Este análisis no afirma definitivamente un ciberataque, sino que presenta evidencia de patrones inusuales en los datos que podrían ser consistentes con un evento coordinado. La investigación explora esta hipótesis con un enfoque analítico, dejando las conclusiones definitivas a investigaciones oficiales.

¿Qué tipo de datos se utilizaron para este análisis? Solo datos públicos: métricas de REE (Red Eléctrica de España) y REN (Portugal), datos de conectividad de IODA (Internet Outage Detection and Analysis), y reportes de usuarios en Downdetector. No se utilizaron datos privados o clasificados.

¿Cómo se puede replicar este análisis? El repositorio está diseñado para ser completamente reproducible. Incluye scripts para obtener los datos, notebooks detallados para el análisis, y documentación sobre cada paso del proceso. Los requisitos están especificados en el archivo requirements.txt.

¿Cómo Empezar / Uso Básico:

1. Clona el repositorio: git clone https://github.com/MrCabss69/Sandworm-Spain-04-2025
2. Crea un entorno virtual e instala dependencias: pip install -r requirements.txt
3. Explora los notebooks en notebooks/ para seguir el análisis paso a paso.

ℹ️ Recomendación de lectura
Para comprender mejor el contexto de este análisis, recomendamos revisar el artículo en Medium o el resumen detallado (/docs/summary.md) dentro del repo.*

Aprendizajes y Contribuciones:

• Este proyecto demuestra el poder del análisis de datos públicos para investigaciones complejas y la generación de hipótesis alternativas a falta de explicaciones oficiales convincentes.
• Me ha permitido aplicar técnicas de ingeniería de datos, análisis exploratorio y visualización a un problema de gran impacto.
• Subraya la importancia de la correlación temporal de eventos provenientes de fuentes dispares para descubrir patrones ocultos.
• Sirve como un ejemplo de cómo Python y su ecosistema pueden ser utilizados para un análisis forense de datos exhaustivo.

Enlaces:

• Ver en GitHub
• Leer el Análisis en Medium
• Documentación y Resumen Detallado (en el repo)