El proveedor sudafricano de servicios de navegación aérea ha detectado programa maligno asociado a las fases iniciales de un ataque de secuestro de datos en entornos de tecnología de operación que dan soporte a los servicios meteorológicos del control aéreo, y ha salido a buscar peritos forenses externos para investigarlo. No consta que el control de tránsito aéreo se haya visto interrumpido, pero el caso toca justo el punto que la normativa europea acaba de convertir en obligación: la frontera entre la red corporativa de un proveedor y los sistemas que alimentan de datos la posición de control.
La información la publicó el 26 de septiembre de 2026 el diario sudafricano Sunday Times y la amplió el 30 de septiembre el medio especializado Dark Reading, que trabajó sobre la solicitud de ofertas publicada por el propio organismo. Air Traffic and Navigation Services (ATNS) es la empresa pública que presta los servicios de tránsito aéreo y de navegación en Sudáfrica.
El hallazgo se localiza en la tecnología de operación, no en la red de oficina
Según el texto de ATNS recogido por ambos medios, los sistemas de vigilancia «detectaron actividad sospechosa en entornos de tecnología de operación (Operational Technology, OT) que dan soporte a servicios relacionados con la meteorología para los servicios de tránsito aéreo». Las investigaciones preliminares «identificaron programa maligno habitualmente asociado a las fases iniciales de ataques de secuestro de datos», la familia que en inglés se denomina ransomware. La vigilancia de red indicó además «posible exfiltración de datos hacia direcciones IP externas situadas en China».
La distinción entre tecnología de la información y tecnología de operación no es una sutileza terminológica. La segunda es la que gobierna sensores, adquisición de datos y procesos técnicos, y su compromiso afecta a la cadena que termina en la información meteorológica que llega a la dependencia. El equipo técnico de ATNS cree haber contenido el incidente, según recoge SC World, pero ha pedido ayuda externa precisamente porque el alcance no está cerrado.
Tres emplazamientos citados y un segundo frente de robo interno de datos
Los documentos manejados por Dark Reading sitúan el incidente de tecnología de operación en el aeropuerto de Port Elizabeth (indicativo FAPE), apuntan a que el de East London (FAEL) podría estar afectado —la redacción de los documentos no permite asegurarlo— y añaden un expediente distinto en el aeropuerto internacional de Maputo (FAMM), en Mozambique, relacionado con un posible robo interno de datos.
Ese segundo frente procede de denuncias internas sobre empleados que habrían accedido y extraído información personal sin autorización. Las comprobaciones iniciales no lograron sustanciar las acusaciones, y por eso ATNS sostiene que «se requiere una investigación forense independiente para establecer los hechos e identificar cualquier incumplimiento de política interna o de la legislación». El portavoz Khulu Phasiwe declaró que la empresa no puede detallar qué datos se vieron comprometidos hasta que concluya el peritaje.
Las cifras de dimensión del proveedor no coinciden entre fuentes
Aquí hay una discrepancia que conviene no suavizar. El Sunday Times describe a ATNS como responsable de más del 6 % del espacio aéreo mundial, con 21 aeródromos en Sudáfrica y soporte a 33 estados africanos. Las piezas internacionales posteriores manejan en cambio la cifra de aproximadamente el 10 % del espacio aéreo mundial. Ninguna de las dos aparece acompañada de la definición de la magnitud medida, de modo que no es posible decidir cuál es correcta con la documentación disponible.
| Fecha | Hecho documentado |
|---|---|
| 18 de septiembre de 2026 | ATNS emite la solicitud de ofertas para contratar servicios de peritaje forense |
| 26 de septiembre de 2026 | El Sunday Times publica la existencia del expediente y la declaración del portavoz |
| 30 de septiembre de 2026 | Dark Reading y SC World detallan emplazamientos, indicativos y el indicio de exfiltración |
Por qué esto interesa en un ACC europeo desde febrero de 2026
El caso llega cuando los proveedores europeos ya operan bajo un régimen obligatorio de gestión de riesgos de seguridad de la información. El Reglamento de Ejecución (UE) 2023/203, conocido como Parte-IS, es aplicable desde el 22 de febrero de 2026, con la excepción del proveedor de servicios de navegación aérea de EGNOS sujeto al Reglamento de Ejecución (UE) 2017/373, para el que la fecha fue el 1 de enero de 2026. Su objeto son precisamente los riesgos de seguridad de la información con repercusión potencial en la seguridad aérea.
En España, la Agencia Estatal de Seguridad Aérea ha publicado guías específicas para el ámbito de navegación aérea sobre el manual de gestión de la seguridad de la información y sobre la gestión de cambios en ese sistema, referidas a los requisitos IS.I.OR.250 e IS.I.OR.255. El detalle operativo relevante del caso sudafricano es que el vector no fue un sistema de vigilancia ni de comunicaciones, sino una cadena de datos de apoyo: el tipo de activo que con frecuencia queda clasificado como no crítico en los inventarios y que, sin embargo, sí alimenta decisiones tácticas en la posición.