Nadie aplaude al que cambia el aceite

Publicado originalmente en El Español - QuinceMil (07/11/2026)

Hace quince días conté en esta tribuna lo del camembert derretido en Francia. Esta semana ha tocado media Europa. Y la cerradura, la misma: la contraseña que vino de fábrica y un programa interno de hace diez años. Seguimos escribiendo la misma columna.

Para hackear las neveras de media Europa esta semana no hizo falta ningún grupo ruso con nombre de constelación. Bastó con mirar la pegatina del enchufe. Esa misma donde el fabricante imprime la contraseña por defecto; la que ustedes han visto cien veces sin fijarse en routers, impresoras, cafeteras y termostatos. En Bélgica, Luxemburgo, Países Bajos, Suecia, Irlanda y Estonia, los supermercados han amanecido con el pescado a cincuenta grados y el camembert escurriéndose por las baldas. El informe del centro belga de ciberseguridad lo cuenta sin dramatismo: los armarios que gobiernan el frío —de un fabricante danés llamado Danfoss, que el lector no tiene por qué conocer— estaban asomados a internet alegremente, con el programa interno sin actualizar desde hace años y con la contraseña, insisto, impresa en la pegatina del enchufe.

La cerradura, abierta; la llave, en el felpudo; el cartel de bienvenidos, en tres idiomas.

Avisaba yo en esta columna, hace quince días, con el informe que cofirmé en 2018 sobre los surtidores de gasolina. Avisábamos justo de esto: no del ataque brillante, sino de la puerta que nadie había cerrado nunca. Imaginen el panorama y tiemblen un poquito: unos trescientos equipos de ese mismo fabricante expuestos sólo en España, según Censys. No son trescientos semáforos ni trescientos ordenadores de abuela. Son trescientos frigoríficos industriales en supermercados, cámaras hospitalarias, cadenas de frío de medicamentos, etcétera.

El síndrome del Project Manager

Yo a esto le llamo el síndrome del Project Manager. Es algo que he ido definiendo con los años, a partir de lo que he visto en empresas grandes y pequeñas, en la Administración y en los foros con muchos de mis colegas. Consiste en lo siguiente: cada nuevo juguete da para nota de prensa, tijera, cinta y foto en LinkedIn con sonrisa de dentista; el mantenimiento, no. Nadie ha subido jamás a una red social una actualización aplicada un martes a las once de la noche. Al proyecto nuevo, en cambio, se le pone nombre, logotipo y director general; al mantenimiento, horas extras. Y así nos va.

En cristiano: lo nuevo da medallas, lo viejo da disgustos. Y cada aparato que enchufamos y luego olvidamos es una puerta más. Cuéntenlas ustedes, si tienen un rato: el router del portal, el enchufe inteligente, la factura digital obligatoria que ahora nos cuelgan a autónomos y a pequeñas empresas, el ascensor con mantenimiento remoto, el semáforo conectado al centro de movilidad, la bomba de agua del quinto, el termostato del salón, la cámara del portero automático, el marcapasos de mi padre, etcétera. Todo digitalizado. Todo, por tanto, con fecha de caducidad silenciosa. Lo que no se mantiene no se queda quieto: se pudre. Y mientras se pudre, lo usan otros.

Y conviene añadir que el ciberdelincuente ha cambiado de marcha. Con la llegada de la inteligencia artificial, el número de vulnerabilidades crece de manera exponencial: la IA le permite buscar, probar y encadenar fallos a una velocidad que hace un lustro ni soñábamos. Lo que antes requería una semana de un experto hoy lo despacha un portátil en una tarde. Cada día hay más peligro para todos: para el banco, para el hospital, para el ayuntamiento, para la pyme, para la señora que paga el IBI desde el móvil. Y, como de costumbre, aquí abajo nos entretenemos discutiendo cómo regular la inteligencia artificial, en congresos con cóctel, en vez de cómo desarrollarla; mientras tanto, los ciberdelincuentes la usan en turnos de noche.

Durante años ha llovido dinero público para digitalizar. Subvenciones, kits, fondos europeos, convocatorias con la prisa del que tiene que gastar antes de que caduque la partida. Los pliegos —casi siempre diseñados para que acaben ganándolos cuatro grandes, siempre los mismos— ya exigen mantenimiento, faltaría más. Lo que pasa es que una cosa es firmarlo y otra es cumplirlo cinco años seguidos; el consejero cambia, el presupuesto se recorta y el cacharro se queda ahí, encendido y a solas.

Recuerden la aplicación MeToca, con la que el Ministerio de Igualdad iba a repartir las tareas del hogar: costó 211.750 euros, la descargaron cuatro gatos y acabó retirada por falta de uso. Hay que reconocerle un mérito que no tienen otras: se borró. Una aplicación muerta no es un peligro. Lo peligroso es lo que sigue encendido sin que nadie lo mire.

Observatorios, en cambio, no nos faltan

Observatorios, en cambio, no nos faltan. Uno podría cruzar España de observatorio en observatorio sin pisar el suelo, como quien atraviesa un charco saltando piedras: observatorio de esto, de aquello y de lo de más allá, cada uno con su director, su logotipo y su informe anual de ciento ochenta páginas que no lee ni la madre del ponente. Chiringuito de oropel y cargo rimbombante. Todavía no he encontrado el Observatorio del Parche Pendiente. Ése no da para inaugurar nada.

Y lo que viene de camino es, cómo no, un organismo más: el flamante Centro Nacional de Ciberseguridad. Nace de la ley que debía trasponer NIS2, la norma europea que obliga a los sectores críticos y esenciales —energía, transporte, sanidad, banca, agua, administraciones— y a quienes forman parte de su cadena de suministro a protegerse en serio y a dar cuenta de sus incidentes. España tenía que haberla aprobado antes del 17 de octubre de 2024. Dos años después seguimos sin ella, y en julio la Comisión Europea nos llevó ante el Tribunal de Justicia pidiendo multa a tanto alzado y otra por cada día de retraso. La pagaremos ustedes y yo.

Uno no puede evitar sospechar que parte del atasco anda en el organigrama: quién manda, de quién cuelga, cuántos despachos tiene. Porque referentes tenemos. El CCN lleva veinticuatro años protegiendo a la Administración, y el INCIBE atiende desde León a empresas y ciudadanos con solvencia reconocida en media Europa. Pero inaugurar lo que ya existe no da titular. Un centro nuevo, sí: placa, director general y foto. El síndrome del Project Manager, edición BOE.

Y luego hay asuntos con los que uno no bromea. El 28 de octubre, en Urda, un AVE alcanzó a un Iryo detenido después de que cayera el LZB, el sistema de señalización que protege la línea Madrid-Sevilla desde 1992. Sesenta y nueve muertos. La investigación está abierta y no seré yo quien la adelante. Pero una pregunta sí cabe, con todo el respeto: ¿se ha mantenido ese LZB como manda el oficio, o lo hemos ido sosteniendo a base de parches y buena voluntad? Porque una cosa es que el sistema sea antiguo —lo son tantos— y otra muy distinta es dejar envejecer sin cuidados algo de lo que cuelgan vidas. Y me temo que esa diferencia describe media España.

Porque si algo sigue funcionando en este país —y funciona, no se equivoquen— es gracias a gente que no sale en ninguna foto. Lo vimos durante el Covid: técnicos de sistemas echando noches enteras para que hospitales, bancos, colegios y administraciones siguieran en pie cuando el mundo se fue a casa. Hicieron mucho más de lo que les pedía su contrato.

No tuvieron observatorio. No tuvieron placa. Algunos, ni las gracias.

No pido menos innovación. Pido, señores, que cada euro que se gaste en estrenar lleve otro al lado para cambiarle el aceite. Pido que ningún proyecto público, ni privado, se apruebe sin un plan de ciclo de vida que responda a tres preguntas de parvulario: quién lo actualiza, quién lo vigila, cuándo se apaga. NIS2 —sí, la que no hemos traspuesto todavía— ya lo exige en su artículo 21, que habla con todas las letras de la seguridad en la adquisición, el desarrollo y el mantenimiento de los sistemas. El Reglamento de Ciberresiliencia obligará a los fabricantes a decir por escrito cuántos años darán soporte a lo que vendan. Pido, en fin, que se premie al que mantiene igual que al que inaugura. Lo demás es brindar al sol.

Inaugurar es bonito; mantener, menos. Nadie aplaude al que cambia el aceite, es verdad. Pero al que no lo cambia le sale el público solo: el ciberdelincuente, que no ataca lo que estrenamos, porque no hace falta; ataca lo que olvidamos, porque se lo ponemos fácil.

---

También en mi newsletter de LinkedIn El Futuro es Hoy.