ULE-CIBERLAB: el escudo tecnológico leonés para el tejido empresarial

En la era de la hiperconectividad, la ciberseguridad ha dejado de ser un mero gasto operativo para convertirse en una condición de supervivencia para cualquier empresa. Bajo esta premisa nace el convenio entre el Instituto Nacional de Ciberseguridad (Incibe) —entidad dependiente del Ministerio para la Transformación Digital y de la Función Pública a través de la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales— y la Universidad de León, titulado 'C083/3— ULE-CIBERLAB: Transferencia de conocimiento en ciberseguridad para el tejido empresarial del país' e incluido en los Proyectos Estratégicos en España, en el marco del Plan de Recuperación, Transformación y Resiliencia, con la financiación de los Fondos Next Generation-EU. El proyecto se encuadra en el Componente 15, Inversión 7, orientado al fortalecimiento de las capacidades en ciberseguridad de ciudadanos, pymes y profesionales, así como al impulso del ecosistema nacional del sector. Esta iniciativa no solo busca investigar y desarrollar soluciones tecnológicas de vanguardia, sino también inyectar conocimiento crítico en las venas del sector empresarial español, con un foco especial en las pequeñas y medianas empresas.

Para lograrlo, el objetivo principal se centra en combatir el ransomware, un software malicioso que infecta los equipos, cifra los archivos y exige un rescate económico para recuperarlos. Como explica Ángel Manuel Guerrero-Higueras, responsable de ULE-CIBERLAB, «las grandes empresas cuentan con recursos para lidiar con estas amenazas, pero muchas pymes quedan totalmente indefensas y algunas de ellas ni siquiera conocen la existencia de «vacunas» informáticas para ransomware conocidos capaces de descifrar sus archivos». «Si esto le ocurre a una empresa fuera del ámbito TIC, a menudo es incapaz de lidiar con ello. Cuando a una pyme le dices que va a perder todas sus bases de datos y la información de sus clientes, muchas veces termina pagando porque no ve otra opción», explica Guerrero-Higueras.

El núcleo del programa es un laboratorio avanzado de análisis de malware y ciberamenazas que se encuentra plenamente operativo desde 2023. En este espacio se han desplegado redes de señuelos diseñadas para atraer ataques reales y recopilar muestras de forma segura. Sobre esta infraestructura, se ha construido un entorno automatizado de análisis estático y dinámico basado en la plataforma CAPE. Este sistema permite ejecutar las muestras de forma controlada, monitorizar su comportamiento, generar indicadores de compromiso e integrarse con herramientas de referencia internacional (por ejemplo, mediante reglas YARA) como Suricata o VirusTotal. Para asegurar que este conocimiento técnico sea accesible, el laboratorio desarrolla un sistema automatizado que transforma los análisis complejos en informes estructurados y comprensibles tanto para expertos como para usuarios no especializados. La efectividad de este entorno científico se respalda con sus resultados, ya que durante el proyecto se han recopilado más de 4.000 muestras reales de malware, de las cuales se han analizado 2.323 y se han estudiado más de 20 familias de estos programas maliciosos. Este volumen de información ofrece una visión completamente actualizada de las amenazas activas que sienta las bases científicas para su posterior transferencia al tejido productivo. Este trabajo científico no se queda solo en la universidad, puesto que el equipo ha publicado también varios artículos en prestigiosas revistas científicas y congresos internacionales centrados en la detección de anomalías mediante aprendizaje automático, además de servir de marco para las tesis de varios estudiantes de doctorado.

Por otro lado, la actividad de ULE-CIBERLAB trasciende la mera investigación académica, pues se concibió desde su origen para generar un impacto directo en el tejido empresarial. El laboratorio funciona como una plataforma de apoyo para la identificación de amenazas, el análisis de incidentes y la mejora de las capacidades defensivas de las organizaciones. Los investigadores ofrecen asesoramiento técnico a empresas para enfrentar las ciberamenazas. Para localizar negocios afectados, acceden a portales donde los ciberdelincuentes publican los datos cifrados de sus víctimas junto a una cuenta atrás de aproximadamente 15 días antes de liberar la información de forma abierta. «Aprovechamos esta ventana temporal y esta plataforma para llegar a estas empresas y ayudarlas. Es cierto que, en muchos casos, tras tener los archivos infectados, poco se puede hacer, pero igualmente les informamos de cómo se debe proceder: la notificación del ataque y el contacto con Incibe o, incluso, darles nosotros solución en caso de que podamos. Esto último sería un éxito rotundo. Hay muchas empresas afectadas por ransomware antiguo que con un asesoramiento adecuado podrían recuperar la información. Lograr esto es el objetivo científico y de transferencia», recalca el responsable.

En este panorama, la irrupción de la Inteligencia Artificial (IA) actúa como un arma de doble filo. «Es un problema porque desarrollar un malware hace 10 años no estaba al alcance de cualquier persona, ya que necesitabas unos conocimientos avanzados de informática, programación y redes. Sin embargo, ahora ya no es tan difícil. Existe un servicio en el que puedes personalizar tu ransomware sin tener idea de programación y con solo conocimientos a nivel de usuario mediante Grandes Modelos de Lenguaje (LLM) o servicios automatizados. A los ciberdelincuentes también les da una herramienta para refinar su malware. Además, hay técnicas de evasión para que estos no sean detectables. Por otro lado, puede ser una solución. Se pueden utilizar modelos basados en redes neuronales para detectar patrones anómalos en el tráfico de red y que sirvan como indicador temprano ante un malware o ataques complejos», sostiene el investigador Guerrero-Higueras.

Uno de los pilares más importantes de esta iniciativa es su vertiente formativa, orientada tanto a profesionales como a estudiantes y al público general. En el ámbito de la capacitación especializada, se han impartido con éxito dos cursos de analista SOC/CSIRT, dos de análisis de ciberamenazas, dos de capacitación para docentes universitarios y de Formación Profesional, además de talleres de concienciación para empresas. El talento joven también se ha potenciado mediante seis competiciones Capture The Flag (CTF) a nivel universitario y preuniversitario, donde decenas de estudiantes se han enfrentado a retos prácticos en entornos realistas, despertando vocaciones tempranas en el sector.

El punto de encuentro de todas estas sinergias han sido las ediciones 2024 y 2025 de CyberWorking, un evento anual celebrado en Ponferrada que se ha consolidado como la cita de referencia en el noroeste peninsular. La edición de 2024 conectó a la universidad, los centros educativos y las empresas mediante ponencias y talleres que reunieron a más de 600 asistentes en modalidad presencial y en línea. Por su parte, la edición de 2025 mantuvo el mismo éxito de convocatoria e incorporó desafíos vanguardistas al introducir competiciones CTF centradas en IA para alinearse con los nuevos retos del mercado.

A pesar de que ULE-CIBERLAB tiene previsto concluir sus actividades este mes de junio, el valor del proyecto trasciende la propia iniciativa. Con amenazas de ciberseguridad cada vez mayores, la dependencia de soluciones tecnológicas procedentes de potencias extranjeras no es una opción. La consolidación de escudos tecnológicos como ULE-CIBERLAB no es solo una necesidad técnica, sino también económica y geopolítica. «Las grandes empresas suelen tener sus propios departamentos de TI, que son conscientes de los problemas de ciberseguridad y tienen sus propias políticas de prevención, aunque no están exentas de ser víctimas y, de hecho, ha habido muchos casos conocidos. No obstante, los mayores daños se están produciendo en las pymes. Una empresa pequeña no suele contar con un departamento específico ni tiene una infraestructura de seguridad adecuada para la información con la que trabaja. Esto muchas veces es un problema de falta de concienciación. Ellos pueden ser especialistas en su área, pero no tienen conocimientos sobre las ciberamenazas. Precisamente, uno de los objetivos del proyecto era tratar de convencer a las pequeñas y medianas empresas de que existen estas problemáticas. Cuando se ven afectadas por estas amenazas son las más perjudicadas y algunas han llegado a tener que cerrar», concluye el investigador Ángel Manuel Guerrero-Higueras. Por ello, el desarrollo de soluciones innovadoras constituye un seguro de vida tecnológico para el tejido empresarial y consolida a León como capital tecnológica que abandera la búsqueda de la soberanía digital. Para los responsables, el verdadero indicador de avance está en lograr que un negocio real recupere el control de su información y sobreviva a la amenaza del cibercrimen.