En la madrugada del 1 de marzo, drones Shahid de Irán atacaron tres centros de datos de Amazon Web Services en Oriente Medio: dos en los Emiratos Árabes Unidos y uno en Baréin.
Posteriormente, el hecho fue calificado como la primera vez en la historia de la humanidad que un actor estatal utiliza deliberadamente medios militares para atacar infraestructura de nube comercial.
Han pasado seis semanas y el impacto del suceso aún no ha terminado.
Qué sucedió
AWS tiene dos regiones de nube (Region) en Oriente Medio: ME-CENTRAL-1 (EAU) y ME-SOUTH-1 (Baréin).
La región de los EAU sufrió los daños más graves. Tiene tres Zonas de Disponibilidad (AZ), de las cuales mec1-az2 y mec1-az3 resultaron dañadas simultáneamente, quedando solo mec1-az1 operativa. Según el diseño de recuperación ante desastres multi-AZ de AWS, la falla de una sola AZ es tolerable, pero cuando dos caen al mismo tiempo, muchas bases de datos y aplicaciones implementadas en múltiples AZ quedan directamente inutilizadas. La región de Baréin se vio menos afectada; la mayoría de las AZ siguen en pie, aunque una instalación también resultó alcanzada.
El alcance de la interrupción incluyó: sistemas bancarios, servicios de pago, aplicaciones de reparto de comida y software empresarial en Oriente Medio. AWS recomendó a sus clientes migrar de inmediato las cargas de trabajo críticas a otras regiones, pero esta misma recomendación puso de manifiesto una contradicción más profunda, que se abordará más adelante.
La Guardia Revolucionaria Islámica de Irán (IRGC) y la agencia de noticias oficial Fars News reconocieron públicamente el ataque, argumentando que estos centros de datos apoyan las operaciones militares y de inteligencia de EE. UU., incluido parte del servicio de análisis de inteligencia Anthropic Claude que se ejecuta en AWS.
Por qué Multi-AZ no resistió
El incidente desató un valioso debate en el ámbito de la ingeniería.
AWS ha promovido durante años la alta disponibilidad de la arquitectura Multi-AZ. Sin embargo, los escenarios de fallo típicos que enumera son: cortes de electricidad, rayos, tornados y terremotos. Nadie ha escrito nunca "ataque militar" en los documentos de SLA.
El problema fundamental radica en una restricción física: Para garantizar una baja latencia, varias AZ dentro de la misma región deben estar geográficamente cerca unas de otras; AWS exige que estén a menos de 100 km de distancia. Esto significa que toda la "redundancia" se encuentra dentro del mismo círculo de riesgo geopolítico. Un misil o un grupo de drones puede potencialmente cubrir varias AZ a la vez.
Un consultor de infraestructura dijo sin rodeos:
"Multi-AZ no es recuperación ante desastres. Te protege de fallos de hardware, no de ataques con misiles."
La estructura física de los centros de datos también reveló su vulnerabilidad. Estos edificios son voluminosos y objetivos evidentes: las unidades de refrigeración, los generadores diésel y las turbinas de gas están expuestos en el exterior. Si se destruye el sistema de aire acondicionado, los servidores se apagan automáticamente por sobrecalentamiento, sin necesidad de impactar directamente los racks.
El callejón sin salida de la localización de datos
La recomendación de emergencia de AWS fue: migrar las cargas de trabajo a otra región.
Pero este camino es inviable para muchas empresas de Oriente Medio.
Países como los EAU y Arabia Saudí tienen estrictas regulaciones de localización de datos: los datos financieros, gubernamentales y sanitarios no pueden almacenarse en el extranjero. Esto significa que estas empresas no tienen otra opción: los datos deben permanecer en la región local, y esa región acaba de ser atacada por drones.
Tras el incidente, AWS no proporcionó un cronograma claro de recuperación, dejando que los clientes activaran sus propios planes de contingencia. Hasta el 7 de abril, los equipos de ingeniería de AWS seguían trabajando en turnos de 24 horas para mantener los servicios en la región de Oriente Medio.
La frontera entre infraestructura militar y nube comercial desaparece
¿Por qué Irán eligió atacar centros de datos comerciales en lugar de instalaciones militares dedicadas de EE. UU.?
Porque la frontera entre ambos se ha vuelto tan difusa que ya prácticamente no existe.
Parte de los sistemas del Departamento de Defensa de EE. UU. y de los procesos de análisis de inteligencia se ejecutan en servicios comerciales de AWS. El Claude de Anthropic se utiliza para tareas de inteligencia, ejecutándose en instancias comerciales de AWS. Antes, esto era solo un consenso entre iniciados del sector; el ataque lo ha convertido en una realidad concreta y con consecuencias.
En un análisis de Fortune, los investigadores concluyeron: No es un hecho aislado, sino un ensayo general para un nuevo tipo de guerra.
El papel de los sistemas de IA en las decisiones militares es cada vez más relevante, por lo que la infraestructura informática subyacente se convierte en un objetivo estratégico de alto valor. Quien controla la capacidad de cómputo, controla en cierta medida la ventaja informativa.
Esta lógica no es una teoría nueva, pero el 1 de marzo de 2026 le añadió una nota al pie concreta e ineludible en la realidad.
Esto obliga a cambiar el pensamiento arquitectónico de la nube
A partir de ahora, los proveedores de nube y los clientes empresariales deben empezar a considerar seriamente una dimensión de riesgo que antes nadie tomaba en serio: La recuperación ante desastres entre regiones bajo riesgo geopolítico.
La recuperación ante desastres Multi-Region y la copia de seguridad multinube ya no son solo requisitos de cumplimiento para instituciones financieras, sino una configuración básica que cualquier empresa que opere en una región geopolíticamente sensible debería considerar.
¿Cuál es el coste? Mayor coste, mayor latencia, arquitectura más compleja. Pero en comparación con un colapso total del servicio tras un ataque con drones, quizá esos costes merezcan la pena.
Fuentes de referencia: War in Iran Damages Multiple AWS Data Centers, Challenging Multi-AZ Assumptions (InfoQ); Iranian attacks on Amazon data centers in UAE, Bahrain signal a new kind of war (Fortune); Amazon says drone strikes damaged 3 facilities in UAE and Bahrain (CNBC); CocoLoop, Iranian drone strikes at Amazon sites raise alarms over protecting data centers (Rest of World)