El ataque utilizó el malware DynoWiper, una herramienta diseñada para causar destrucción en sistemas industriales. Las autoridades polacas confirmaron que, aunque no hubo cortes de energía, la amenaza fue grave y sofisticada, requiriendo una respuesta inmediata para contener los daños.

A finales de diciembre de 2025, Polonia recibió una noticia alarmante cuando su infraestructura energética se convirtió en el objetivo de lo que los expertos en seguridad describen como el mayor ciberataque del país en años.

El grupo Sandworm, alineado con Rusia y conocido por orquestar algunos de los ataques más dañinos contra infraestructuras críticas, fue identificado como el responsable de este asalto coordinado.

El grupo desplegó un malware de borrado de datos previamente no documentado, que desde entonces ha sido denominado DynoWiper, marcando otro capítulo en la larga historia de operaciones agresivas de Sandworm.

Este ataque representa una escalada significativa en las tensiones regionales, coincidiendo precisamente con el décimo aniversario del devastador asalto de Sandworm en 2015 contra la red eléctrica de Ucrania, una operación que provocó el primer apagón causado por malware, dejando a aproximadamente 230.000 personas sin electricidad.

El momento elegido sugiere una decisión estratégica deliberada por parte de los actores de la amenaza, con la intención de demostrar sus capacidades durante un momento simbólicamente cargado. Los sistemas eléctricos de Polonia enfrentaron un riesgo operativo real mientras el malware se propagaba por la infraestructura.

Analistas de Welivesecurity e investigadores de ESET identificaron DynoWiper durante su detallado análisis forense de los componentes técnicos del ataque.

Los investigadores le asignaron la firma de detección Win32/KillFiles.NMO dentro de sus soluciones de seguridad, confirmando su papel como la carga destructiva principal.

Estos hallazgos surgieron de una investigación exhaustiva de la estructura del código del malware y su conexión con las técnicas operativas establecidas de Sandworm.

Capacidades destructivas de DynoWiper e impacto operativo

DynoWiper funciona como una herramienta de destrucción de archivos diseñada para sobrescribir y eliminar datos críticos en los sistemas infectados.

El diseño del malware refleja la metodología característica de Sandworm de emplear funcionalidades de borrado para causar la máxima disrupción en las redes objetivo.

A diferencia del malware tradicional, que busca persistencia o robo de información, DynoWiper prioriza la destrucción rápida, eliminando evidencias mientras paraliza simultáneamente las capacidades operativas.

Su implementación revela un conocimiento sofisticado de los sistemas Windows y las vulnerabilidades específicas presentes en las redes de infraestructura energética.

La evaluación técnica del ataque mostró que, aunque Sandworm logró penetrar con éxito los sistemas y desplegar el malware, el incidente no resultó en ninguna interrupción operativa confirmada en la distribución energética de Polonia.

Este hallazgo sugiere que las medidas defensivas lograron contener la propagación o que los atacantes encontraron resistencia inesperada durante las fases de ejecución.

No obstante, la capacidad de desplegar malware activo de borrado dentro de infraestructuras nacionales críticas representa una brecha grave y subraya las crecientes vulnerabilidades en los sistemas eléctricos europeos.