La información de Reliance y Kudankulam aparece en la web oscura: la historia del ciberataque a infraestructuras críticas de India entra en su fase de cadena de suministro

La intrusión de Kudankulam de 2019 se produjo a través de un contratista. Siete años después, el punto de entrada podría seguir siendo el mismo.

En términos sencillos

Archivos aparentemente vinculados a Reliance y a la central nuclear Kudankulam de India han sido localizados en mercados de la dark web, según una investigación de Medianama. Ninguna de las dos entidades ha confirmado públicamente una violación; la escala, el origen y la actualidad de los datos aún deben determinarse.

Contexto

Kudankulam es la mayor central nuclear de India, construida con reactores rusos VVER-1000, y previamente objetivo de un incidente confirmado de malware Dtrack en 2019, atribuido por analistas indios y de terceros al grupo Lazarus. Reliance, por su parte, es el mayor conglomerado privado de India, cuyas divisiones de telecomunicaciones y retail gestionan conjuntos de datos de clientes muy grandes. Ambas operan bajo un régimen de aplicación de la Ley DPDP (Ley de Protección de Datos Personales Digitales, 2023) que aún se está consolidando.

Los datos

Medianama (16 jul 2026) informa que muestras de archivos con marcas de Reliance y Kudankulam aparecieron en foros de la dark web. El medio describe documentos y metadatos en lugar de un número definido de registros; no se ha publicado ninguna prueba criptográfica de actualidad al momento de redactar este artículo. El CERT-In de India no había emitido una alerta pública relacionada con ninguno de los conjuntos de datos cuando se publicó el artículo.

Análisis

Dos patrones son relevantes. Primero, los archivos de contratistas y proveedores son cada vez más el punto de entrada: la intrusión de Kudankulam en 2019 transitó por una estación de trabajo administrativa, no por la red de control de la central, y los materiales filtrados este año podrían seguir la misma vía. Segundo, "filtrado" ≠ "compromiso operativo": la brecha entre un sistema de control aislado y un almacén de documentos corporativos es donde suelen situarse la mayoría de estas historias, y generalmente se simplifica en los titulares.

Escenarios

Más probable: exfiltración confirmada en el lado del contratista, sin impacto en las operaciones de la central, la Junta del DPDP abre una investigación en el lado de Reliance. Escalada: cruzar enlaces vincula datos de clientes de Reliance con personal cercano a Kudankulam, abriendo un riesgo de vigilancia dirigida. Peor caso: la atribución a un actor vinculado a un Estado desencadena una capa diplomática India-Rusia en torno a la seguridad de la central.

¿Y qué?

Para cualquier empresa que venda en la infraestructura crítica india, la superficie de ataque pasa de "los grandes proveedores saben que son objetivos" a "sus contratistas son la puerta de entrada". Las cláusulas de seguridad en la cadena de suministro dejan de ser un mero trámite. Y la primera gran prueba de aplicación de la Ley DPDP podría no venir de una app de consumo, sino de una filtración de documentos corporativos con huellas de infraestructura crítica.