Un mapa de amenazas con distintos niveles de certeza
El informe de Golden Owl, titulado The Invisible Arsenal: Hybrid Threats to Spain 2026 Elections, analiza contenidos y redes públicas de varias plataformas digitales, registros de transparencia, infraestructuras digitales, mercados de datos y credenciales expuestas. Su metodología distingue entre actividades observadas directamente, afirmaciones de terceros e inferencias analíticas, y separa la existencia de una actividad de su atribución a un operador o a un Estado concreto.
El estudio no considera por sí mismas operaciones de manipulación la crítica política, la protesta, la sátira o la defensa de posiciones partidistas. Su atención se centra en indicadores como las identidades engañosas, los contenidos fabricados y la coordinación no auténtica.
Según la información disponible, el análisis reunió 54.737 elementos, 10.773 cuentas, 3.284 conexiones y 58 comunidades. Estas cifras, así como los periodos exactos de investigación y el número de documentos procedentes de la dark web, no cuentan con corroboración independiente.
Canales en español y anuncios de captación
El documento identifica a Enrique Arias Gil, un ciudadano español residente en Moscú, como gestor del canal de Telegram “Desinformador Ruso”, que tendría alrededor de 14.500 suscriptores. También sostiene que figura desde el 12 de septiembre de 2025 en una lista europea de personas buscadas y que la Audiencia Nacional habría dictado una orden de detención contra él.
La relación atribuida a Arias Gil con el colectivo NoName057(16), así como las investigaciones por recopilación de información sobre infraestructuras críticas y personal de seguridad, propaganda y amenazas, se presentan como afirmaciones no verificadas de forma independiente.
El informe describe nueve anuncios de reclutamiento para el Ejército ruso, tres llamamientos para captar informantes españoles y una invitación a participar en operaciones cibernéticas remuneradas con criptomonedas. Las publicaciones se habrían difundido entre el 21 de octubre y el 3 de noviembre e incluirían ofertas de entre 2.500 y 3.000 dólares mensuales, una prima de 25.000 dólares, ayuda documental, financiación del desplazamiento y la posibilidad de obtener la ciudadanía rusa.
La publicación de esos anuncios no demuestra que se produjera una captación efectiva. No hay constancia, con la información disponible, de que los destinatarios aceptaran las ofertas, viajaran a Rusia, entregaran información o participaran en ataques. Tampoco está verificada la afirmación de que el canal recibiera datos de colaboradores infiltrados en las fuerzas de seguridad españolas; de hecho, el propio estudio no habría podido confirmarla.
Doxxing, propaganda y ataques digitales
Otra de las líneas descritas es la apertura de una sección denominada “El Purgatorio”, en la que se habrían difundido datos personales de integrantes de las fuerzas de seguridad, incluido un suboficial del Ejército. La exposición de información personal puede aumentar el riesgo de intimidación, acoso o vigilancia, pero su existencia no permite establecer por sí sola quién ordenó la publicación ni con qué estructura estaría coordinada.
El informe también señala una red de canales en español favorable a Moscú y páginas que aparentarían ser medios españoles, aunque estarían administradas desde Vietnam. Asimismo, vincula esas redes con campañas de amplificación posteriores al accidente ferroviario de Urda. Que una infraestructura esté alojada o administrada fuera de España, o que difunda mensajes favorables a Moscú, no demuestra automáticamente que forme parte de una operación rusa o de una estructura estatal común.
La posible conexión con el proyecto DDoSia y con NoName057(16) tampoco permite atribuir ataques concretos contra objetivos españoles sin análisis técnicos reproducibles y evidencias adicionales. Las campañas de denegación de servicio pueden reunir a participantes ocasionales mediante canales abiertos, sin que eso implique necesariamente una cadena de mando formal o una dirección estatal directa.
La atribución sigue abierta
Las operaciones de influencia, el doxxing, el reclutamiento digital y los ataques DDoS son fenómenos diferenciados. Pueden coincidir en determinados canales, objetivos o momentos, pero no constituyen necesariamente una única campaña coordinada. El propio enfoque del informe separa la actividad observada de la atribución de responsabilidad, una distinción especialmente relevante en el ámbito cibernético.
Para confirmar la dimensión de la amenaza serían necesarios expedientes judiciales consultables, pronunciamientos de la Policía Nacional, la Guardia Civil, la Audiencia Nacional o los servicios de inteligencia, además de análisis técnicos reproducibles y pruebas de transferencias, desplazamientos o ataques ejecutados.
El riesgo para España no depende únicamente de demostrar una estructura centralizada. La combinación de exposición de personal e infraestructuras, captación de colaboradores y aprovechamiento de acontecimientos de crisis puede erosionar la confianza pública incluso cuando los actores no comparten una misma organización. Sin embargo, la magnitud concreta de ese riesgo y la responsabilidad de cada actor no pueden establecerse solo con los datos disponibles.
La información procede de una única fuente especializada y no ha podido contrastarse de forma independiente.
