AWS perdió para siempre datos de clientes en Baréin - tres zonas resultaron ser una dirección

«La nube» suena a algo que está en todas partes y en ninguna. Y entonces, como escribió en X Łukasz Olejnik, investigador polaco de ciberseguridad y antiguo asesor de ciberguerra del Comité Internacional de la Cruz Roja: «Resulta que la nube tiene una dirección postal, y estaba al alcance de un dron».

El martes 15 de septiembre, AWS, el mayor proveedor de nube del mundo, añadió dos avisos a su página de estado. En Baréin la empresa «no puede restablecer el acceso a los recursos y los datos alojados exclusivamente en esta región». En los Emiratos, lo mismo vale para una de las tres zonas - mec1-az2. Reuters fue la primera en contarlo. Es, muy probablemente, la primera vez que una guerra borra de forma permanente un trozo de la nube global.

¿Cómo se ha llegado hasta aquí? A finales de febrero, EE. UU. e Israel atacaron Irán, e Irán respondió con ataques contra los países del Golfo. El domingo 1 de marzo, el primer centro de datos de AWS en los Emiratos fue alcanzado por lo que la empresa llamó «objetos»: incendio, corte de corriente. Un día después dejó de funcionar una segunda zona en los Emiratos, también tras un impacto directo, y con ella la primera de Baréin, dañada por un ataque con dron en las inmediaciones. Apagar los incendios añadió daños por agua. En Baréin está la Quinta Flota estadounidense. En abril cayó allí una segunda zona y la región entera dejó de funcionar. En julio, la Guardia Revolucionaria iraní anunció que había destruido «la estructura restante» de la instalación de Amazon. En los avisos de AWS la palabra «Irán» no aparece ni una sola vez.

Todo lo que la empresa ha dicho públicamente sobre esto se reduce a 38 entradas en la página de estado, con un hueco que va del 30 de abril al 15 de septiembre. Ni una entrada de blog, ni una nota de prensa y, por ahora, ninguno de esos informes posteriores al suceso que AWS publica tras los incidentes graves (formalmente el suceso sigue abierto). La empresa no ha dicho cuántos datos se perdieron ni a cuántos clientes afecta. Solo dice que «la mayoría» consiguió migrar a tiempo. The Register pidió declaraciones y le respondieron que AWS no tenía nada que añadir.

¿Y los famosos once nueves? Según AWS, S3 está diseñado para ofrecer una durabilidad del 99,999999999 %. Solo que esa cifra se refiere a una sola región y contempla la pérdida de una zona como mucho. Según la documentación, a las zonas las separan «muchos kilómetros», pero todas están a menos de 100 km (60 millas) unas de otras. Para un corte de corriente son tres sitios independientes. Para un misil son un solo objetivo. Olejnik lo resumió así: «Multi-AZ protege de un incendio en un edificio, no de una guerra». El propio AWS lo describió el 2 de marzo: tras perder la primera zona, S3 «siguió funcionando con normalidad», y cuando cayó la segunda empezaron los errores. La documentación dice además, sin rodeos, que los objetos «nunca salen de esa región, salvo que los transfieras explícitamente a otra región».

El contrato tampoco deja lugar a dudas. Las copias de seguridad son cosa del cliente. AWS no responde por «el valor de tu contenido», la responsabilidad total se limita a lo que pagaste durante los 12 meses anteriores y en la lista de fuerza mayor figura la guerra. Los SLA cubren solo la disponibilidad del servicio; de la durabilidad de los datos no dicen nada. Públicamente, AWS ha prometido una cosa: suspender la facturación en ambas regiones. Según una información de Forbes, los clientes recibieron además unos 150 millones de dólares en créditos de servicio tras los ataques de marzo.

Es fácil decir que se lo buscaron, porque ¿quién no guarda una copia en otro sitio? Solo que en Baréin, según un proveedor anónimo de Hacker News que operaba allí, «nadie almacena datos en Baréin salvo que haya requisitos de residencia de datos que lo exijan». Los avisos de AWS llegaban sin parar, pero su empresa tenía «prohibido por contrato y por ley» sacar del país copias de los datos, aunque estuvieran cifrados. «Lo máximo que pudimos hacer fue decirles a nuestros subclientes que se descargaran todos sus buckets a su oficina o a los portátiles de algunos empleados en la oficina». Un segundo comentarista, cuyos clientes operaban en Baréin, escribe que, tras perder la primera zona, su empresa quiso sacar los datos aunque fuera solo como copias en frío, pero el departamento jurídico «lo tumbó bastante rápido». Al principio del conflicto, el banco central de los Emiratos relajó de forma temporal su exigencia de mantener los datos bancarios dentro del país, según informó The Banker.

El mensaje más comentado del hilo de Hacker News es una cita de 2017. El corresponsal de CBS David Pogue preguntó a Matt Wood, de AWS, qué pasaría si alguien volara uno de los centros de datos de la empresa. Wood se rio: «Sí, no lo notarías. Bueno, nosotros quizá nos disgustaríamos un poco, ¡pero tú no lo notarías!». En otra rama del hilo, Danny O'Brien, antiguo director de la Electronic Frontier Foundation, escribió que en la década de 2010 intentó explicar a los legisladores que la redundancia geográfica «en realidad era algo bueno». En su opinión, en lugar de preguntar en qué país están los datos, los legisladores deberían haber preguntado quién tiene las claves de cifrado y el acceso de administrador.

¿Por qué importa esto en España? Porque aquí nada te lo impide. AWS abrió en noviembre de 2022 su región Europa (España), eu-south-2, en Aragón, con tres zonas de disponibilidad, y ninguna ley impide a una empresa española copiar sus datos a Irlanda, Fráncfort o París. Ojo: tres zonas en Aragón siguen siendo una sola dirección, porque las zonas de una región están a menos de 100 km unas de otras. Y la replicación entre regiones sigue siendo algo que tienes que activar y pagar tú. Muchos equipos no lo hacen nunca y todo lo que tienen reside en una única región. Los bancos, las aseguradoras y el resto del sector financiero están desde el 17 de enero de 2025 bajo el reglamento europeo DORA, que obliga a gestionar el riesgo de depender de un solo proveedor tecnológico. Las demás empresas solo tienen el sentido común. Mientras tanto, Europa habla cada vez más de soberanía del dato, de guardar los datos en casa. Y en Baréin se perdieron justo los datos que la ley no dejó salir.

Tampoco cuentes con los tribunales. Tras el incendio del centro de datos de OVH en Estrasburgo en 2021, un tribunal de Lille concedió unos 100 000 euros a una empresa que pagaba por copias de seguridad automáticas. La copia estaba en el mismo edificio que el servidor y se perdió con él. En 2025, un tribunal de apelación rebajó esa cifra a 1800 euros, porque el contrato nunca prometió que la copia fuera a estar en otro sitio. Así que hoy pregunta a tu proveedor una sola cosa: ¿dónde está físicamente mi copia de seguridad? Si está en la misma dirección que el original, no es una copia de seguridad.

Región - en AWS, un grupo de centros de datos en una misma zona geográfica, dividido en al menos tres zonas de disponibilidad, cada una con su propia alimentación eléctrica y sus propios enlaces de red. S3 - el servicio de almacenamiento de archivos de AWS. SLA - acuerdo de nivel de servicio, una garantía que suele expresarse como el porcentaje de tiempo que el servicio estará disponible. Residencia de datos - exigencia legal de que los datos permanezcan físicamente dentro de un país determinado. DORA - reglamento europeo sobre la resiliencia operativa digital del sector financiero, aplicable desde el 17 de enero de 2025.