Joseph Jarnecki y Noah Sylvia, analistas del prestigioso instituto británico de investigación militar RUSI, analizan el papel de los ataques iraníes contra centros de datos en el Golfo.
Drones Shahed iraníes alcanzaron dos centros de datos de Amazon Web Services en los Emiratos Árabes Unidos antes del amanecer del 1 de marzo. Escombros de un ataque cercano dañaron un tercer edificio de AWS en Bahréin. Los ataques provocaron interrupciones en servicios financieros, empresariales y de consumo en los EAU y en la región más amplia. Los incidentes han generado debates sobre si los centros de datos deben clasificarse como activos estratégicos e infraestructura crítica.
Los centros de datos respaldan actividades económicas, funciones sociales y operaciones de defensa. Plataformas de nube pública alojan sistemas como la plataforma de gestión de campo de batalla Delta de Ucrania, el sistema Maven estadounidense desarrollado por Palantir y alojado en AWS, así como herramientas de IA basadas en la nube utilizadas por Israel en operaciones en Gaza. Los ataques del 1 de marzo constituyen el primer uso documentado de armas cinéticas contra infraestructura de nube pública operada por un proveedor comercial. Este desarrollo indica que otros actores podrían adoptar tácticas similares. Se requiere un examen más detenido de los objetivos iraníes y de las consecuencias estratégicas más amplias.
Se evalúa que Irán seleccionó deliberadamente los objetivos. Sus recientes ataques en el Golfo han mostrado precisión, y los centros de datos representan objetivos grandes e identificables para los drones empleados. Una agencia de noticias iraní publicó posteriormente una lista de objetivos aprobados por la Guardia Revolucionaria. La lista incluía oficinas e infraestructura de empresas tecnológicas estadounidenses como AWS, Google, Microsoft, IBM, Oracle y Nvidia. La Guardia afirmó que el propósito era examinar el papel de las instalaciones en el apoyo a actividades militares e de inteligencia de adversarios. Que la orden proviniera de la alta dirección o de un comandante de nivel inferior no altera la importancia estratégica del ataque a infraestructura vinculada a empresas estadounidenses.
Tres racionalidades explican la selección de objetivos. En primer lugar, los ataques imponen costos. Los países del Golfo han destinado recursos para atraer empresas tecnológicas estadounidenses como parte de la diversificación económica más allá del petróleo. Condiciones favorables, como tierra y energía baratas, atrajeron a operadores como AWS, Google, Microsoft, Nvidia y Oracle. Los ataques dañan la imagen del Golfo como destino de inversión estable y podrían reducir futuros compromisos valorados en miles de millones de dólares. La orientación hacia empresas estadounidenses también afecta el rendimiento bursátil y las prioridades económicas. Tales acciones se ajustan al enfoque de disuasión asimétrica de Irán, que ejerce presión sobre aliados estadounidenses, consume recursos de defensa aérea y genera tensiones económicas.
En segundo lugar, los ataques pueden afectar o generar información sobre capacidades críticas. Los proveedores de nube prestan servicios a gobiernos y fuerzas armadas. AWS y Google mantienen contratos con las Fuerzas de Defensa de Israel, mientras que el Departamento de Defensa de EE.UU. opera un gran contrato de Joint Warfighting Cloud Capability que incluye a AWS, Google, Microsoft y Oracle. Irán no podía tener alta confianza en que los sitios específicos alojaran cargas militares. El efecto principal fue por tanto de señalización; cualquier degradación de capacidades fue un resultado secundario.
En tercer lugar, los ataques generaron interrupciones directas. Sistemas de pago, servicios bancarios y aplicaciones de consumo quedaron fuera de servicio e interrumpieron las actividades normales de personas y empresas. Esto produjo un impacto psicológico al llevar las realidades del conflicto a la vida cotidiana y demostrar el alcance de Irán. Las racionalidades no son mutuamente excluyentes y pueden combinarse para generar múltiples efectos.
El análisis jurídico destaca complejidades. Un centro de datos propiedad u operado exclusivamente con fines militares constituye un objetivo lícito. Las instalaciones gestionadas por proveedores de hyperscale privados para usos civiles están normalmente protegidas como infraestructura civil según el principio de distinción. El carácter de doble uso de muchas instalaciones complica la aplicación de la norma. Las fuerzas armadas no pueden determinar de forma fiable el alcance del uso adversario porque los proveedores no divulgan listas de clientes ni ubicaciones exactas de alojamiento, y las cargas migran entre regiones.
Cualquier ataque a infraestructura de doble uso debe además cumplir el principio de proporcionalidad: la ventaja militar prevista debe superar el daño civil esperado. Las interrupciones pueden extenderse más allá del sitio inmediato y afectar a otros sistemas críticos mediante pérdida de datos e interrupciones de servicios. Aunque las instalaciones afectadas pudieran haber apoyado cargas militares estadounidenses
El Dr. Jakob Jung es redactor jefe de Security Storage y Channel Germany. Lleva más de 20 años trabajando en el periodismo especializado en TI. A lo largo de su carrera ha colaborado con Computer Reseller News, Heise Resale, Informationweek, Techtarget (almacenamiento y centros de datos) y ChannelBiz. Además, colabora como freelance con numerosas publicaciones del sector de las TI, entre las que se incluyen Computerwoche, Channelpartner, IT-Business, Storage-Insider y ZDnet. Sus temas principales son el canal, el almacenamiento, la seguridad, los centros de datos, los sistemas ERP y CRM.
Contacto – Contacto por correo electrónico: jakob.jung@security-storage-und-channel-germany.de