Ciberataque al Ayuntamiento de Badajoz: Qué pasó, cómo ocurrió y qué consecuencias tuvo

Written by Antonio Diaz

El 29 de abril de 2025 amaneció con una noticia que sacudió a la ciudad de Badajoz: el Ayuntamiento había sido víctima de un ciberataque masivo que paralizó sus sistemas informáticos. Lo que en principio se interpretó como un fallo técnico menor, pronto se reveló como un ataque de ransomware ejecutado por un grupo de ciberdelincuentes.

Este suceso no solo dejó inoperativos los ordenadores municipales, sino que comprometió datos sensibles, afectó a la operatividad de servicios clave y desató una carrera contrarreloj por recuperar el control del sistema. Hoy analizamos a fondo lo que ocurrió, cómo se llevó a cabo, quién está detrás y qué implicaciones tiene este ataque para la ciberseguridad en las instituciones públicas españolas.

¿Qué es un ciberataque tipo ransomware y cómo afecta a las instituciones públicas?

Un ransomware es un tipo de malware que encripta los archivos de una organización y exige un rescate (generalmente en criptomonedas) para restaurar el acceso. Es una técnica que ha ganado popularidad entre bandas internacionales de ciberdelincuentes, debido a su efectividad y al bajo riesgo de ser capturados.

En el caso de instituciones públicas, el daño es doble: por un lado, la interrupción de servicios esenciales (como registros civiles, pagos municipales, trámites, etc.) y por otro, el posible robo o filtración de datos confidenciales de miles de ciudadanos. Además, estas entidades suelen tener infraestructuras tecnológicas más vulnerables, presupuestos limitados en ciberseguridad y protocolos de reacción poco actualizados.

Según fuentes especializadas, los atacantes suelen entrar a través de vulnerabilidades conocidas en los sistemas, correos electrónicos infectados o mediante credenciales comprometidas que circulan en la dark web. Una vez dentro, encriptan los servidores y bloquean el acceso, lanzando una nota de rescate para negociar.

La cronología del ataque: del colapso a la identificación del grupo criminal

Todo comenzó con la detección de fallos en varios terminales del ayuntamiento la noche del lunes 28 de abril. Al día siguiente, los funcionarios reportaron que no podían acceder a sus aplicaciones ni a las bases de datos habituales. El Ayuntamiento reaccionó apagando de forma preventiva todos los equipos informáticos para evitar una propagación mayor.

Pocas horas después, expertos en ciberseguridad confirmaron lo que se temía: el sistema había sido comprometido por un ransomware. Se inició entonces un protocolo de contención y diagnóstico, mientras se notificaba a la Policía Nacional y al Centro Criptológico Nacional (CCN-CERT).

El 30 de abril, el diario La Crónica de Badajoz publicó que el grupo de ciberdelincuentes responsable era de origen holandés, basado en firmas digitales y modus operandi similares a ataques previos en Europa. Se trataba de una célula que ya había atacado ayuntamientos de tamaño medio en Alemania y Francia.

Este dato encendió las alarmas a nivel nacional: ¿estamos preparados para enfrentar ataques organizados y transfronterizos?

¿Quién está detrás del ataque? El grupo de ciberdelincuentes holandés

Aunque las autoridades aún no han revelado el nombre del grupo, fuentes internas apuntan a una célula vinculada con el colectivo LockBit o alguna de sus ramificaciones. Estos grupos operan con estructuras semi-descentralizadas: desarrolladores del malware, distribuidores que ejecutan los ataques, y negociadores encargados de la extorsión.

Sus objetivos suelen ser administraciones con defensas cibernéticas limitadas, sistemas operativos obsoletos o falta de personal técnico capacitado. Se cree que este grupo específico obtuvo acceso semanas antes del ataque y lo planificó cuidadosamente para maximizar el daño.

A diferencia de ataques anteriores, no se ha hecho pública una nota de rescate ni se han filtrado datos ciudadanos. Esto podría indicar una negociación en curso o un ataque de tipo “doble extorsión” donde primero se bloquea y luego se amenaza con filtrar.

Cómo reaccionó el Ayuntamiento de Badajoz ante el ciberataque

La respuesta del Ayuntamiento fue rápida y coordinada. Desde el primer momento se comunicó la situación a la ciudadanía, se desactivaron preventivamente todos los sistemas y se estableció un canal de atención por medios alternativos.

Los técnicos municipales y los equipos externos contratados iniciaron un proceso de evaluación de daños, recuperación de backups y reinstalación de sistemas básicos. Paralelamente, se contactó con organismos nacionales como el INCIBE y el CCN para recibir asesoramiento.

En una rueda de prensa, el consistorio dejó claro que no se pagaría ningún rescate, alineándose con la política oficial del Gobierno de España frente a ciberextorsiones. Esta postura firme es crucial para evitar que los criminales vean estas acciones como rentables.

Impacto del virus: servicios municipales bloqueados y caos administrativo

Durante los primeros tres días tras el ataque, la mayoría de los servicios digitales del Ayuntamiento estuvieron fuera de servicio. Los ciudadanos no pudieron acceder a la sede electrónica, realizar pagos, emitir certificados ni solicitar trámites básicos.

Además, las áreas internas de recursos humanos, urbanismo, tesorería y secretaría funcionaron de forma manual o con documentos impresos. La carga de trabajo se disparó, provocando colas, retrasos y frustración entre usuarios y empleados.

Uno de los aspectos más críticos fue la pérdida temporal de acceso a bases de datos históricas, afectando la gestión de expedientes. Aunque no se ha confirmado pérdida de datos, sí hubo interrupciones que impactaron la continuidad de muchas operaciones internas.

Medidas de recuperación y respuesta técnica tras el ataque

La recuperación incluyó una auditoría completa del sistema, limpieza de archivos infectados, restauración desde copias de seguridad y aplicación de parches de seguridad en todo el entorno informático. En paralelo, se reforzaron los cortafuegos, se cambiaron contraseñas y se implementaron nuevas medidas de acceso seguro.

Uno de los mayores retos fue la verificación de la integridad de los datos antes de reactivar los servidores. La prioridad fue reestablecer el funcionamiento sin arriesgar una nueva infección. El Ayuntamiento ha anunciado la contratación de un nuevo proveedor de ciberseguridad para rediseñar la arquitectura tecnológica.

Se espera que, tras la crisis, se implementen soluciones de doble autenticación, segmentación de redes y una mejor capacitación del personal frente a amenazas digitales.

¿Qué enseñanzas deja este ataque para otras ciudades?

El caso de Badajoz sirve como un claro ejemplo de cómo un ataque informático puede desestabilizar por completo una administración pública. No se trata solo de tecnología, sino de gestión, comunicación y planificación.

Lecciones clave:

Tener copias de seguridad regulares y fuera del sistema principal.
Contar con un plan de contingencia y equipos de respuesta rápida.
Educar al personal sobre buenas prácticas de seguridad informática.
Invertir en infraestructuras digitales seguras, no solo funcionales.

Este tipo de amenazas no son ciencia ficción: son reales, frecuentes y cada vez más sofisticadas.

¿Podría volver a pasar? Recomendaciones para reforzar la ciberseguridad municipal

Lamentablemente, sí. Ninguna entidad está completamente a salvo, y los ayuntamientos son objetivos atractivos: manejan datos críticos, tienen múltiples puntos de acceso y presupuestos limitados.

Para minimizar el riesgo, se recomienda:

Auditorías periódicas de ciberseguridad.
Protección activa con software anti-malware actualizado.
Simulacros de ataque y respuesta (cyber drills).
Creación de un Comité de Seguridad Digital dentro del Ayuntamiento.
Colaboración constante con organismos nacionales especializados.

El ciberataque a Badajoz no solo debe servir para reaccionar, sino para prevenir. Hoy más que nunca, invertir en ciberseguridad es tan vital como mantener las calles limpias o las luces encendidas.

✅ CONCLUSIÓN

El ciberataque al Ayuntamiento de Badajoz ha sido una llamada de atención para toda España. Demuestra que ni siquiera las instituciones públicas están a salvo de la amenaza digital. Pero también nos recuerda que, con transparencia, reacción rápida y decisiones firmes, se pueden mitigar los efectos y salir fortalecidos.

Este incidente marca un antes y un después en la gestión tecnológica municipal. La ciberseguridad ya no es opcional: es una necesidad urgente.