A las 03:38 del lunes 24 de agosto empezó a multiplicarse el tráfico dirigido contra la infraestructura que sostiene los servicios digitales del Estado noruego. Más de treinta horas después seguía llegando por oleadas. Diez servicios públicos, con la pasarela de identidad ID-porten a la cabeza, sufrieron interrupciones intermitentes durante todo ese tiempo, según confirmó la agencia de digitalización Digdir y recogieron The Record y The Local.
Era el tercer ataque de denegación de servicio distribuido (DDoS) contra la agencia desde junio, y el mayor: «dos o tres veces más grande» que los anteriores, en palabras de su portavoz, Are Kvistad, a la agencia de noticias NTB. El mismo portavoz declaró a Associated Press que se trata del mayor ataque que Digdir ha sufrido nunca, y añadió el dato que matiza todo lo anterior: los técnicos consiguieron mantener los servicios en marcha «prácticamente todo el tiempo».
Según Digdir, nadie entró en los sistemas ni se comprometió ningún dato. El efecto fue de otro orden: un país entero con problemas para usar sus servicios de todos los días.
Tres ataques en tres meses: qué enseñó cada uno
Junio: 42 horas sin la puerta de identidad
El fin de semana del 20 al 22 de junio, la infraestructura de ID-porten alojada en el proveedor de operaciones de Digdir estuvo fuera de servicio unas 42 horas por un ataque DDoS, tal y como comunicó la propia agencia. De ese fin de semana salió la primera lección: para tumbar el servicio, los atacantes fueron a por su proveedor, la capa compartida en la que se apoyan muchos más servicios.
La fecha no parece casual: un fin de semana de mediados de junio, cuando las guardias suelen estar bajo mínimos.
3 de agosto: recetas que no cargan
El lunes 3 de agosto, farmacias de todo el país tenían problemas para recuperar recetas electrónicas, y los accesos a Helsenorge (el portal sanitario), Altinn (la plataforma estatal de trámites) y servicios municipales fallaban desde la madrugada. Debajo de cada uno de esos fallos estaba el mismo componente: ID-porten, que canaliza el acceso de más de 4,5 millones de personas a unos 5.000 servicios públicos, según datos que cita Aftenposten. La mayoría de servicios volvió esa misma tarde y la normalidad se declaró el martes por la mañana, de acuerdo con la reconstrucción de la firma noruega de inteligencia de amenazas Revontulet.
La segunda lección es la cascada. Una farmacia no trata a diario con una agencia de digitalización; tampoco un hospital ni un ayuntamiento. Todos comparten, sin embargo, la misma puerta de entrada, y las alternativas en papel, donde existen, no están pensadas para absorber la demanda de un país entero.
Del 24 de agosto en adelante: el mayor hasta la fecha
El tercer ataque arrancó de madrugada el lunes 24 y superó las treinta horas; el miércoles, según AP, aún se daba por activo. Los técnicos estabilizaron los sistemas el lunes por la tarde y la situación volvió a empeorar por la noche. Las autoridades sanitarias avisaron de posibles problemas para acceder a farmacias en línea y al sistema de receta electrónica, y Digdir fue publicando la evolución en su página de estado.
La tercera lección tiene que ver con la mitigación. Digdir no evitó el ataque, pero absorbió la mayor parte del golpe: como reconocía Kvistad, los servicios aguantaron, degradados y con cortes intermitentes, pero aguantaron. Contra un DDoS volumétrico de esta escala, eso es ganar.
¿Quién está detrás de los ataques a Noruega?
Los ataques de junio y de primeros de agosto pasaron semanas sin reivindicación, y Digdir declinó especular sobre la autoría. El miércoles 26 de agosto, el grupo prorruso Server Killers se atribuyó el tercer ataque en Telegram y afirmó haber «declarado la ciberguerra» a Noruega tras la renovación de su cooperación en seguridad con Ucrania el 23 de agosto, como informó Associated Press. Es, de momento, solo la palabra del atacante: las autoridades noruegas no habían comentado la reivindicación en el momento de publicarse la noticia, y las dos ofensivas anteriores siguen sin atribuirse.
El patrón se inscribe en una ola más amplia, la de la presión híbrida que Europa soporta desde hace años. El NCSC británico mantiene un aviso activo sobre la actividad DDoS de grupos hacktivistas prorrusos contra organizaciones del Reino Unido. Dinamarca atribuyó a NoName057(16) los ataques contra webs danesas en vísperas de las elecciones locales de 2025, recoge AP. Y en Noruega existe el precedente: cuando la web de un partido político cayó seis días antes de las elecciones del pasado septiembre, NoName057(16) la reivindicó el mismo día, según recogió la televisión pública NRK.
Antes de imaginar una operación sofisticada hay que tener presente un dato: la capacidad DDoS se alquila, sin necesidad de construir una botnet propia. En la operación internacional PowerOFF contra los servicios de DDoS de pago, coordinada con Europol, los investigadores tumbaron 53 dominios y accedieron a bases de datos con más de tres millones de cuentas de usuario. Con ese mercado, los candidatos van desde delincuentes con capacidad alquilada hasta actores estatales que miden tiempos de reacción. El proveedor de operaciones atacado declaró a Aftenposten que este tipo de ataques suele ser obra de potencias extranjeras o de actores con muchos recursos.
Dominante en volumen, menor en efecto: por qué sigue funcionando
El último panorama de amenazas de ENISA, que analiza 4.875 incidentes entre julio de 2024 y junio de 2025, sitúa el DDoS como el tipo de incidente dominante en la UE: el 77 % de los notificados, la mayoría obra de hacktivistas. El hacktivismo en conjunto representa casi el 80 % de los incidentes y, aun así, solo el 2 % de sus acciones llegó a interrumpir un servicio. La administración pública fue el sector más golpeado, con el 38,2 % del total.
Leídas juntas, esas cifras explican por qué el DDoS hacktivista se despacha a menudo como ruido de fondo. Noruega enseña la otra cara. Cuando la inundación acierta en una dependencia compartida, ese 2 % se convierte en un país que aplaza recetas y trámites.
El director ejecutivo de ENISA, Juhan Lepassaar, lo formuló al presentar el informe: los sistemas de los que dependemos a diario están entrelazados, y una interrupción en un extremo puede propagarse por toda la cadena. El servicio de seguridad noruego NSM había señalado además, en su informe de riesgos de 2026, la dependencia de proveedores externos como una vulnerabilidad en sí misma, y advertía del interés de los servicios de inteligencia rusos por el sabotaje contra objetivos noruegos.
No hace falta mirar a Oslo con distancia. En España, Cl@ve cumple un papel comparable al de ID-porten, y casi cualquier organización mediana carga con una versión doméstica del problema: un inicio de sesión corporativo único, una pasarela de APIs o un proveedor de operaciones cuya caída arrastra todo lo demás.
Qué puede hacer una organización que depende de una puerta única
Lo primero es dibujar el mapa, y mejor hacerlo antes del próximo lunes a las 03:38: qué servicios se caen si falla la pasarela de identidad, el proveedor de operaciones o el DNS, y qué compromisos de mitigación ha firmado cada proveedor. En el caso noruego, los tres ataques cayeron sobre la infraestructura del mismo proveedor. En eso consiste la gestión del riesgo de terceros: en conocer esos compromisos y lo que ocurre cuando fallan.
La segunda decisión es de arquitectura. Un DDoS volumétrico se absorbe aguas arriba, en la red del operador o en servicios de filtrado de tráfico contratados por adelantado; el cortafuegos corporativo llega tarde. Lo que sí depende de cada organización es degradar con criterio, es decir, decidir de antemano qué se sacrifica primero: separar los flujos críticos de los prescindibles, mantener rutas alternativas de autenticación para lo que no puede parar y dejar fuera de la sesión todo lo que pueda servirse sin ella.
La tercera es de operación. Un ataque por oleadas de treinta horas se gestiona con turnos, con una página de estado alojada fuera de la infraestructura afectada y con comunicación honesta a usuarios y autoridades desde la primera hora. Digdir hizo bien varias de estas cosas y aun así encajó dos días difíciles; improvisarlas en caliente sale bastante peor. Un plan de respuesta a incidentes que incluya el escenario de denegación de servicio, y un ensayo anual de ese escenario, cuestan una fracción de lo que cuesta descubrir en directo que faltaban.
En Hard2bit lo vemos a menudo al revisar arquitecturas: la lista de dependencias críticas existe, pero nadie ha comprobado qué pasa cuando una de ellas desaparece durante un día y medio. Un centro de operaciones de seguridad (SOC) que vigile la disponibilidad con la misma seriedad que las intrusiones cambia el resultado más que cualquier compra de última hora.
¿Cuenta la disponibilidad como incidente de seguridad?
Cuenta, y cada vez más. NIS2 define los incidentes significativos por su perturbación operativa, con o sin robo de datos: una caída grave de un servicio esencial activa los mismos plazos de notificación (alerta temprana en 24 horas, notificación en 72) que una brecha. Según el mismo informe de ENISA, el 53,7 % de los incidentes analizados afectó a entidades esenciales tal y como las define la directiva.
Para las entidades financieras, DORA añade la prueba: la resiliencia operativa no se declara, se demuestra con ensayos. Y para todos, el punto de partida es el que dejó el verano noruego: la continuidad de negocio ya no puede modelarse asumiendo que la identidad, el DNS o el proveedor de operaciones estarán siempre disponibles.
El fallo de fondo no está en Oslo
Una década de consolidación de servicios digitales sobre plataformas comunes compró eficiencia y la pagó en fragilidad. Eso vale para un Estado y vale para las empresas que concentran el acceso en un único punto. Los ataques de este verano no necesitaron ninguna vulnerabilidad técnica. Quienquiera que estuviese detrás, el resultado fue una medición pública: cuánto tarda un país en recuperar el acceso a sus servicios, tres veces seguidas.
La reconstrucción de Revontulet subraya que los objetivos se repiten y que el atacante aprende de cada intento. Cabe suponer que esos resultados los estudia más gente que quien lanzó el tráfico. El tamaño del próximo ataque importa menos que la variable que más margen da al defensor: cuánto tiempo puede seguir operando mientras dura.
La pregunta que deja el verano noruego es concreta: ¿cuánto aguantaría su organización si mañana perdiera su punto único de acceso, y quién lo ha comprobado? En Hard2bit llevamos años haciendo esa comprobación con organizaciones que dependen de una capa común, y casi nunca sale bien a la primera.
Fuentes y atribución: este análisis se basa en divulgaciones públicas de Digdir y en la información disponible a 27 de agosto de 2026, recogida por The Record, Associated Press, The Local, NRK y Aftenposten, junto con datos de ENISA, NSM y Europol. Ninguna mención implica un fallo de seguridad en los productos o servicios citados: los ataques descritos son de denegación de servicio y, según Digdir, no comprometieron sistemas ni datos. La reivindicación de Server Killers es una afirmación del atacante sin verificación independiente, y las atribuciones de este tipo de campañas pueden evolucionar.
Este artículo es un análisis informativo elaborado a partir de fuentes públicas y no constituye asesoramiento de seguridad para un caso concreto. Cada organización debe evaluar las medidas mencionadas frente a su arquitectura, sus dependencias y sus obligaciones regulatorias antes de aplicarlas.
