Ciberguerra España Marruecos: análisis defensa flanco sur

1. Por qué la pregunta habitual está mal planteada

La narrativa popular sobre ciberguerra se construye a partir de un imaginario heredado del cine: un país enciende sus "armas digitales" y otro queda a oscuras en cuestión de horas. Ese marco mental produce dos errores simultáneos. Sobreestima la capacidad ofensiva real de la mayoría de actores estatales y, al mismo tiempo, infravalora el daño que se puede causar sin disparar un solo exploit decisivo.

La doctrina contemporánea —tanto OTAN como UE— trabaja con un concepto distinto: el continuo de la confrontación, también llamado zona gris. Es un espacio sostenido por debajo del umbral del conflicto armado convencional, donde se combinan operaciones cibernéticas, espionaje, presión informativa, manipulación migratoria, coerción económica y diplomacia hostil. El propio comandante del Mando Conjunto del Ciberespacio español lo describió en febrero de 2026 como una situación de "paz caliente" permanente.

La pregunta correcta no es si Marruecos puede derribar la red eléctrica española. La pregunta correcta es qué ventajas operativas, de información y de coerción puede acumular Marruecos contra España de forma sostenida sin cruzar nunca el umbral OTAN. Y, paralelamente, si España está preparada para detectar, atribuir y responder a esa presión continua.

2. La arquitectura formal de la ciberdefensa española

España ha construido en los últimos quince años una arquitectura institucional razonablemente completa: el Mando Conjunto del Ciberespacio (MCCE), el Centro Criptológico Nacional (CCN-CERT), el Instituto Nacional de Ciberseguridad (INCIBE-CERT), el Centro Nacional de Protección de Infraestructuras Críticas (CNPIC) y el Departamento de Seguridad Nacional (DSN).

El MCCE atraviesa el mayor proceso de transformación de su historia: cuenta actualmente con unos 500 efectivos y proyecta triplicar su plantilla hasta 1.500 en 2030, con un complejo de 100.000 metros cuadrados previsto para 2029 e inversión asociada superior a 100 millones de euros. A esto se suman el SCOMCE como sistema de armas del dominio ciber, la Escuela Militar de Ciberoperaciones (EMCO) que en 2025 formó a 449 especialistas, un Centro de Referencia de Inteligencia Artificial (CRIA) y la designación de España como host nation del NATO Cyber Range.

El Plan de Defensa 2025 destinó 3.262 millones de euros a tecnología y ciberseguridad, con una partida adicional de 1.157 millones específicamente para ciberseguridad y ciberdefensa. La cifra es significativa, aunque España continúa por debajo del compromiso del 2% del PIB en defensa que la OTAN exige. En el plano operativo aliado, el MCCE participa en Locked Shields 2026, el ejercicio de ciberdefensa en tiempo real más grande del mundo.

3. Las grietas estructurales que el discurso oficial no enfatiza

Retraso normativo grave. La Directiva NIS2 (UE 2022/2555) tenía fecha límite de transposición el 17 de octubre de 2024 y, a mediados de 2026, la ley definitiva todavía no ha sido publicada en el BOE. Mientras tanto, los sectores críticos operan con un marco diseñado en 2019 para una amenaza que ha mutado por completo.

Fragmentación institucional. Cinco actores con dependencias orgánicas, culturas operativas y cadenas de mando distintas. En tiempos de paz funciona razonablemente bien gracias a relaciones personales y comités. En crisis aguda, esa coordinación es un punto de fallo conocido.

Dependencia del sector privado en infraestructura crítica. Aproximadamente el 80% de las infraestructuras críticas españolas son de titularidad privada. El apagón del 28 de abril de 2025 fue el ensayo general gratuito: el informe final descartó ciberataque, pero identificó vulnerabilidades digitales y demostró que un fallo no malicioso paralizó la península durante horas. Un actor hostil con preparación previa podría replicar deliberadamente un colapso similar.

Déficit y fuga de talento. El propio jefe del MCCE reconoce que aproximadamente el 20% de los militares formados en ciberoperaciones acaba captado por el sector privado, donde los salarios pueden alcanzar los 200.000 euros anuales.

Volumen y profesionalización de la amenaza. En 2025 INCIBE gestionó 122.223 incidentes, un 26% más que en 2024. Check Point documentó una media de 1.968 ciberataques semanales por organización en España, un 70% más que en 2023. Cualquier operación dirigida con motivación geopolítica se camufla en ese volumen.

4. El actor en cuestión: Marruecos, capacidades reales

Marruecos opera dos servicios principales con relevancia para España: la DGED (inteligencia exterior y militar, unos 4.000 agentes y presupuesto estimado de 100 millones de euros, con una treintena de agentes acreditados en España) y la DGST (inteligencia interior con capacidad exterior creciente). Los informes internos del CNI clasifican el espionaje marroquí como el más agresivo después del ruso, aunque tácticamente más elemental.

Marruecos no figura en la primera división de potencias cibernéticas. Su capacidad ofensiva propia es modesta y se compensa con dos vías: compra de capacidad llave en mano —principalmente spyware comercial, con aproximadamente 200 licencias del programa Pegasus contratadas para vigilancia en España, incluyendo al presidente del Gobierno y ministros— y contratación de operadores externos para operaciones puntuales.

El caso Pegasus es la evidencia más sólida disponible: la técnica empleada contra el presidente español fue una infección zero-click idéntica al método usado previamente contra periodistas críticos marroquíes, y la huella forense refuerza la atribución a Rabat. A esto se añade, en plano híbrido, la crisis de Ceuta de mayo de 2021 y la presión sostenida sobre el contencioso del Sáhara Occidental.

Lo que Marruecos no puede hacer hoy sin apoyo de un actor mayor: derribar de forma sostenida la red eléctrica, financiera o de telecomunicaciones; mantener operaciones cibernéticas avanzadas en infraestructura crítica con persistencia OPSEC suficiente; sostener una campaña ofensiva prolongada que provoque un casus belli OTAN.

5. Escenarios plausibles: la matriz realista

Escenario A — Línea de base (probabilidad alta, en curso). Espionaje sostenido a perfiles políticos, militares, empresariales y mediáticos mediante spyware comercial. Operaciones de información y desinformación en redes sociales en español, árabe y catalán. Reclutamiento de informantes y hostigamiento a disidentes residentes. Este escenario ya está operativo.

Escenario B — Escalada táctica con detonante (probabilidad media). Activable por incidente en Ceuta/Melilla o decisión española percibida como hostil: campañas DDoS contra portales gubernamentales, defacements simbólicos, filtraciones controladas de datos exfiltrados previamente, activación de proxies hacktivistas e intensificación informativa durante 7-21 días.

Escenario C — Hostigamiento prolongado de baja intensidad (probabilidad media-baja). Presión cibernética sobre sectores no críticos durante meses, targeting selectivo de pymes y consultoras en sectores sensibles (defensa, energía, telecomunicaciones, abogacía especializada), combinado con coerción migratoria y económica. Objetivo: erosionar la posición negociadora española.

Escenario D — Ataque a infraestructura crítica (probabilidad baja, alto impacto). Requiere apoyo externo o ventana de oportunidad excepcional. Marruecos tiene incentivos fuertes para no llegar aquí salvo en una crisis muy grave. Lo más probable es que, si ocurriera, fuese mediante un proxy con negación plausible y daño calibrado para no superar umbrales OTAN.

6. Implicaciones operativas según audiencia

Para CEOs y consejos de administración: el riesgo no es teórico ni lejano. Si la organización opera en banca, energía, telecomunicaciones, transporte, salud, agua, alimentación, defensa o servicios profesionales con exposición política, está dentro del perímetro de targeting plausible. El cumplimiento normativo va por detrás de la amenaza: no esperar a la transposición de NIS2 para auditar y reforzar. La cadena de suministro es el vector más subestimado.

Para responsables de compliance y legal: revisar coberturas de ciberseguro (las cláusulas de war exclusion y hostile state actor están redefiniéndose), documentar diligencia debida en cadena de suministro, anticipar obligaciones NIS2 sin esperar al BOE y preparar protocolos de notificación con plazos agresivos (24 horas para alerta temprana, 72 horas para notificación inicial).

Para pymes y profesionales: las pymes son el eslabón más débil del tejido económico español. El 50% sufre algún ciberataque al año y el ransomware estuvo presente en el 88% de las brechas en 2025. Mínimos: autenticación multifactor en servicios críticos, copias de seguridad inmutables y desconectadas, formación recurrente en phishing e ingeniería social, plan de respuesta a incidentes escrito y probado, e inventario actualizado de exposición externa.

7. Lecciones estratégicas

España no está indefensa frente a Marruecos en solitario. La combinación MCCE en expansión, paraguas OTAN, profundidad europea e interconexión con redes aliadas hace que un ataque marroquí decisivo de un solo golpe sea muy improbable.

España no está bien preparada frente al desgaste sostenido en zona gris. Las debilidades estructurales —marco normativo retrasado, fragmentación, dependencia del privado, fuga de talento, brecha en el tejido pyme— son las que un actor inteligente explotará durante años sin cruzar líneas rojas.

El verdadero campo de batalla es informativo y de inteligencia, no de infraestructura crítica. Quien acumule mejor información, mejor atribución y mejor capacidad de respuesta narrativa, tendrá ventaja en cada crisis bilateral.

La preparación se mide en velocidad de detección y respuesta, no en murallas. Asumir que el atacante ya está dentro y diseñar para detectarlo y contenerlo. Y asumir también que el sector privado es indistinguible del Estado a efectos de seguridad nacional: una pyme proveedora de un operador esencial es, de facto, parte de la cadena de defensa nacional. Y rara vez lo sabe.