Resumen
- UNITEL afirma que detectó a las 02:20 del 28 de julio un ciberataque que afectó a voz móvil, datos e internet en todo el territorio angoleño.
- El aviso publicado el 30 de julio dice que la reposición gradual comenzó a las 11:45 del día 29 y había alcanzado parcialmente a trece provincias.
- El SMS continuaba sin servicio y los trabajos seguían en las demás provincias, por lo que no existía una normalización nacional completa.
- La conectividad fija por fibra y radio permaneció operativa según UNITEL, aunque eso no demuestra que todos sus clientes o aplicaciones evitaran el impacto.
- Twilio mantenía a las 05:26 UTC del 31 de julio un incidente identificado y sin resolver por retrasos y fallos de SMS hacia abonados de UNITEL.
- No se ha publicado atacante, vector, malware, exposición de datos, porcentaje recuperado ni hora final; la posible relación deliberada con la cotización es solo una línea de investigación.
La geografía de la recuperación no coincide con un color en un panel
UNITEL enumeró Luanda, Bengo, Benguela, Bié, Cuando Cubango, Cuanza Norte, Cuanza Sul, Cunene, Huambo, Huíla, Malanje, Lunda Norte y Namibe. La expresión decisiva era «parcialmente». La lista no certifica que todos los municipios, estaciones y clientes de esas provincias tuvieran disponibilidad uniforme.
Las redes nacionales se recomponen por dominios. Una plataforma central puede volver antes que la capacidad de transporte; una capital provincial puede recibir tráfico mientras zonas rurales siguen limitadas; una configuración provisional puede funcionar con poca carga y degradarse en hora punta. Incluso un mismo teléfono puede completar una llamada y no entregar un SMS.
Por eso, una cifra nacional de recuperación sería insuficiente. UNITEL debería ofrecer para cada provincia el éxito de establecimiento de llamadas, creación de sesiones de datos, entrega de SMS y porcentaje de clientes afectados. Cada medición necesita hora, umbral y tendencia. Un 90% en ascenso no equivale a un 90% estancado.
Esta transparencia no exige revelar direcciones, centros de control o reglas defensivas. Basta con describir resultados. El usuario necesita saber si el servicio está en prueba, limitado en capacidad o dentro de su error habitual. La palabra «disponible» sin criterio de calidad traslada el riesgo al cliente.
La continuidad fija demuestra diversidad, no una red inmune
El aviso sostiene que los servicios fijos sobre fibra e infraestructura inalámbrica siguieron operativos durante el incidente. Esa separación dio a determinados hogares, empresas y organismos una vía que no dependía del mismo acceso móvil afectado.
No todos podían utilizarla. Un vendedor con terminal móvil, un trabajador de campo o una localidad sin cobertura fija no obtiene redundancia porque otra cartera del operador permanezca activa. Tampoco se han publicado carga adicional, latencia, pérdidas o averías regionales de la red fija.
La pregunta de fondo es cuánto comparten ambas capas. Accesos distintos pueden depender de los mismos sistemas de identidad, DNS, gestión, backbone, energía o personal privilegiado. Si el componente común falla, contratar móvil y fijo al mismo proveedor puede no constituir dos rutas independientes.
El informe posterior debería dibujar los dominios de fallo a un nivel seguro: qué funciones quedaron separadas, cuál fue la capacidad de absorción del fijo, qué clientes pudieron conmutar y qué acciones manuales necesitaron. Para una empresa, la redundancia solo existe si ha sido probada de extremo a extremo.
El SMS convierte una avería técnica en un bloqueo de identidad
El estado de Twilio mostraba algo que el mapa radioeléctrico no puede reflejar. A las 05:26 UTC del 31 de julio, su página seguía diciendo que los clientes podían experimentar retrasos y fallos al enviar SMS a abonados UNITEL, que la causa estaba identificada y que la resolución continuaba. No había marca de cierre.
Es una observación limitada. Abarca mensajes originados en Twilio, no toda la mensajería de UNITEL. No permite afirmar que todos los abonados o provincias fallaban, ni que UNITEL fuera la única causa de cada error. Pero confirma que una ruta externa relevante seguía degradada después del inicio de la recuperación.
Los SMS sostienen autenticación bancaria, recuperación de cuentas, alertas médicas, avisos empresariales y confirmaciones de pago. Si ese paso no llega, disponer de datos móviles puede no servir para completar la transacción. La dependencia convierte un servicio aparentemente antiguo en una pieza de acceso digital.
La recuperación debe medirse con latencia de entrega, colas, reintentos, códigos de error y estado de interconexiones nacionales e internacionales. También hay que separar mensajes entre personas de tráfico automatizado. Probar dos teléfonos en la misma red no valida un código enviado desde una plataforma extranjera.
Contener al adversario no recompone la experiencia del cliente
UNITEL presentó el ataque como controlado y dijo haber activado mecanismos de respuesta y contención. La contención busca detener, aislar o limitar la actividad dañina. Puede lograrse mientras varias plataformas siguen apagadas para análisis o reconstrucción.
La reposición es otra fase. Operaciones devuelve componentes al servicio, introduce tráfico y observa su comportamiento. Puede haber retrocesos si aparecen errores. La normalización solo llega cuando capacidad, disponibilidad y calidad mantienen durante un periodo un umbral acordado.
Cada hito necesita un responsable. Seguridad decide si ve actividad hostil. Operaciones autoriza la puesta en marcha. Los dueños de los servicios validan que llamadas, sesiones, mensajes y facturación recorren el circuito completo. La dirección evalúa la materialidad y comunica a autoridades e inversores.
Un cierre fiable debería indicar cuánto duró la observación, qué métricas volvieron al nivel objetivo, qué restricciones temporales quedan y qué rutas siguen monitorizadas. Anunciar «todo restablecido» sin esas bases confunde una decisión interna con evidencia pública.
La proximidad bursátil es contexto, no atribución
Según la cobertura del aviso, UNITEL investiga si el ataque fue deliberado y dirigido. La compañía señaló la cercanía con la admisión y negociación de sus acciones. Esa coincidencia temporal merece preservarse en la cronología, pero no identifica autor ni demuestra motivo.
Faltan casi todos los elementos de una atribución: forma de entrada, infraestructura hostil, cuentas comprometidas, malware, petición de rescate, movimientos internos o salida de información. Tampoco hay una conclusión citada de policía o regulador. La prudencia no minimiza el incidente; protege la exactitud.
La narrativa de sabotaje bursátil podría condicionar la investigación y convertir una hipótesis técnica en una afirmación política. También podría exponer a terceros sin pruebas. Una empresa que acaba de acceder al mercado debe divulgar hechos materiales con rapidez, pero puede y debe mantener lo desconocido como desconocido.
Cuando exista una conclusión estable, UNITEL puede comunicar la clase general de vector, la posible afectación a confidencialidad, la rotación necesaria de credenciales y las autoridades notificadas. Hasta entonces, «se investiga» no puede convertirse en «se confirma».
Veintiún millones de clientes requieren varios niveles de comunicación
Reuters sitúa la base de UNITEL por encima de 21 millones de clientes. Una red de esa escala conecta a personas, empresas, administraciones y servicios financieros. Cada grupo necesita información diferente, aunque todos deban recibir una cronología coherente.
El consumidor necesita saber qué funciona, cuándo se actualizará el estado y cómo evitar fraudes que aprovechen la confusión. Una advertencia preventiva no debe insinuar que hubo filtración de datos si la empresa no la ha establecido. Cada aviso y captura debería mostrar hora visible.
La empresa necesita un canal autenticado con estado regional, ruta afectada, códigos de fallo y alternativas. Si el SMS actúa como segundo factor, conviene activar métodos alternativos ya aprobados. Rebajar controles de seguridad para sortear una indisponibilidad puede crear un segundo incidente.
Los organismos públicos necesitan contactos de escalado y prioridades de continuidad. Los inversores, cuando las cifras sean materiales, esperan costes de recuperación, compensaciones, pérdida de ingresos, inversión de sustitución, seguro y efecto regulatorio. Ninguna magnitud debe inventarse; sí debe existir una agenda clara para publicarla.
La revisión técnica empieza por preservar pruebas antes de reconstruir
Restaurar rápido puede borrar registros. Identidad, DNS, administración de red, mensajería, terminales y proveedores conservan datos durante periodos distintos. Si se reinstala un sistema sin capturar su estado, la empresa puede recuperar el servicio y perder la posibilidad de entender el acceso y el alcance.
La cronología debe enlazar cambios técnicos con métricas de cliente. ¿Por qué el fijo continuó? ¿Por qué el SMS quedó rezagado? ¿Qué diferencias provinciales dependieron del transporte, de plataformas centrales o del orden operativo? Esa correlación permite corregir, no solo narrar.
Los socios externos son parte de la evidencia. Twilio muestra que la experiencia pasa por interconexiones y plataformas ajenas. UNITEL debería contrastar sus contadores con mensajería, roaming, pagos y grandes clientes. Si el interior dice «recuperado» y el exterior sigue fallando, la discrepancia merece su propio diagnóstico.
Después deben probarse los supuestos: pérdida de una capa central móvil, compromiso de una identidad administrativa, fallo de una cola de mensajes y aumento súbito de carga fija. Las copias de seguridad han de restaurarse en un entorno limpio y las credenciales privilegiadas rotarse sin bloquear funciones de emergencia.
El incidente se cerrará cuando coincidan cinco experiencias
El avance es verificable: UNITEL inició la recuperación, trece provincias aparecían con servicio parcial y la capa fija siguió operativa según la compañía. Al mismo tiempo, SMS permanecía sin normalizar y Twilio mantenía su incidencia. No hay contradicción porque son servicios y momentos distintos.
Faltan el porcentaje de abonados recuperados, los umbrales de calidad, el estado completo por provincia, la hora de normalización y la evaluación de datos. Tampoco se conoce la vía de entrada. Esas lagunas no autorizan a concluir ni daño máximo ni ausencia de daño.
La señal final debe combinar mediciones de red, recorridos de cliente, socios de interconexión, confirmación empresarial y un periodo estable. Las funciones todavía apoyadas en medidas provisionales han de quedar separadas de las plenamente normales.
La red estará realmente de vuelta cuando coincidan la llamada, la sesión de datos, el código SMS de un banco, el acceso fijo y la entrega observada por un socio externo. UNITEL puede haber contenido el incidente; demostrar esa convergencia es lo que cerrará la recuperación.