Quantum Systems, hackeada: el ejército alemán frena sus drones

La Bundeswehr, el ejército alemán, ha suspendido al parecer por precaución el uso de los drones de Quantum Systems, una empresa bávara de tecnología de defensa, tras un ciberataque. Así lo informa Golem.de, que se apoya en el Financial Times, el cual a su vez cita a personas conocedoras del asunto. El caso muestra lo vulnerables que son incluso los sistemas de drones más modernos cuando el ataque no apunta a la aeronave, sino al software que la rodea.

¿Qué ocurrió en Quantum Systems?

Según la agencia dpa-AFX, Quantum Systems comunicó que a finales de octubre de 2026 se detectó un «incidente de ciberseguridad». Según la empresa, una investigación interna inmediata descubrió un ciberataque activo de actores hostiles. Golem.de recoge la misma versión: el incidente se descubrió hacia finales de octubre y los equipos de TI y seguridad contuvieron la amenaza junto con las autoridades competentes.

La compañía, con sede en Gilching, cerca de Múnich, afirma haber notificado el incidente a las autoridades y que sigue en investigación. Según dpa-AFX, Quantum Systems añadió que, por las medidas adoptadas y la naturaleza del incidente, no existe riesgo para los usuarios finales y los operadores al utilizar los sistemas. Consultado en Berlín, el Ministerio de Defensa no se pronunció sobre la información de prensa.

¿Cómo llegó el código malicioso a los clientes?

Según una persona conocedora del incidente, citada por Golem.de, Quantum Systems informó a sus clientes de que se había distribuido un archivo de actualización malicioso a través de un servidor. Ese servidor entrega las actualizaciones de QBase, el software de control en tierra y planificación de misiones del fabricante. Un software de control en tierra es el programa con el que los operadores dirigen los drones desde el suelo y planifican sus misiones.

Este patrón se llama ataque a la cadena de suministro: los atacantes no introducen código malicioso directamente en el cliente final, sino en un canal en el que este confía, aquí el servidor de actualizaciones del fabricante. Las fuentes que hemos leído no indican si el archivo manipulado llegó a instalarse en clientes ni hasta dónde. Según Golem.de, las repercusiones de la perturbación en cada cliente son por ahora poco claras.

¿Qué consecuencias tiene para la Bundeswehr?

Según el Financial Times, citado por Golem.de, la medida impidió al parecer también que Quantum Systems participara en un reciente ejercicio militar. Quantum Systems fabrica el dron de reconocimiento Vector y suministra a varias fuerzas armadas europeas, entre ellas los ejércitos de Alemania, España y los Países Bajos. Las fuentes leídas no permiten saber si los ejércitos de España y los Países Bajos también suspenden sus drones.

Como escribe dpa-AFX, el Ministerio de Defensa no confirmó la información. Conviene, por tanto, tomarse en serio el «al parecer» de Golem.de: la suspensión se basa en fuentes anónimas del Financial Times, no en un comunicado oficial.

¿Quién está detrás del ataque?

Es una incógnita. Golem.de escribe que hasta ahora no hay pruebas públicas que vinculen el ataque con Rusia ni con ningún otro Estado u organización. El Verfassungsschutz, el servicio de inteligencia interior alemán, advirtió sin embargo en julio de un mayor riesgo de actividades rusas contra el sector de defensa alemán, incluidos ciberataques, espionaje y sabotaje. Según Golem.de, la advertencia se refería en particular a las empresas que apoyan a Ucrania.

Quantum Systems es una de ellas: según Golem.de, emplea a más de 200 personas en Ucrania y opera tres empresas conjuntas con firmas ucranianas. Estas alianzas fabrican pequeños drones de ataque, drones interceptores y vehículos terrestres no tripulados. Según dpa-AFX, las fuerzas armadas ucranianas emplean drones de Quantum en su guerra defensiva contra Rusia.

¿Qué tipo de empresa es Quantum Systems?

Golem.de sitúa a Quantum Systems entre las startups de defensa mejor valoradas de Europa; en una ronda de financiación a principios de este año, según informaciones, se la valoró en siete mil millones de euros. Según dpa-AFX, la empresa fabrica drones de uso tanto militar como civil, hasta ahora centrados en reconocimiento y vigilancia; están en desarrollo drones de superficie y submarinos.

Entre sus productos más recientes figura, según dpa-AFX, el sistema de reconocimiento no tripulado «Reliant». Puede vigilar grandes áreas de forma continua durante más de diez horas, despega en vertical y lleva IA a bordo. Otro eje de desarrollo es «Mosaic», el software de control de sistemas no tripulados. En drones con funciones de IA, el valor del sistema depende en gran medida de un software que se actualiza constantemente.

Lo esencial de un vistazo

• Detección: finales de octubre de 2026, según Quantum Systems un ataque activo de actores hostiles (dpa-AFX, Golem.de).
• Vector: un archivo de actualización malicioso distribuido a través del servidor del software QBase (Golem.de).
• Reacción: la Bundeswehr habría dejado de usar los drones por precaución (Financial Times vía Golem.de); el ministerio no comenta (dpa-AFX).
• Autores: desconocidos, sin pruebas públicas de un vínculo con Rusia (Golem.de).
• Efecto en clientes: poco claro según Golem.de; sin riesgo para usuarios finales según Quantum Systems (dpa-AFX).

¿Qué cambia para una empresa en España?

Para las empresas españolas que usan o fabrican drones, robótica o sistemas con IA, el caso recuerda que conviene tratar la cadena de actualizaciones como una vía de ataque en sí misma. En la práctica: obtener las actualizaciones del fabricante solo por canales firmados, probarlas en un entorno de pruebas antes de desplegarlas y decidir de antemano quién determina, ante un incidente en el proveedor, si los equipos se retiran del servicio por precaución. Quienes suministran a la defensa o a infraestructuras críticas deberían además tomarse en serio la advertencia del Verfassungsschutz alemán y aclarar con antelación los canales de notificación a las autoridades.