Ni brecha de seguridad en los sistemas informáticos de los ministerios de Interior y de Defensa ni sofisticado ciberataque para robar inaccesible información sensible. La investigación de la Unidad de Ciberamenazas de la Comisaría General de Información (CGI) de la Policía Nacional sobre la reciente difusión de fotografías y datos personales de cerca de 2.000 policías, guardias civiles, militares y agentes del Centro Nacional de Inteligencia (CNI) ha constatado que esta divulgación de datos personales fue realmente propiciada por la indiscreción de los afectados, que en la inmensa mayoría de los casos habían hecho pública su condición de miembros de las fuerzas de seguridad en sus perfiles personales en redes sociales y en chats de acceso público en aplicaciones de mensajería instantánea.
La investigación sobre la reciente difusión de datos de cerca de 2.000 agentes descarta una brecha de seguridad y lo atribuye a la indiscreción de los afectados
Ni brecha de seguridad en los sistemas informáticos de los ministerios de Interior y de Defensa ni sofisticado ciberataque para robar inaccesible información sensible. La investigación de la Unidad de Ciberamenazas de la Comisaría General de Información (CGI) de la Policía Nacional sobre la reciente difusión de fotografías y datos personales de cerca de 2.000 policías, guardias civiles, militares y agentes del Centro Nacional de Inteligencia (CNI) ha constatado que esta divulgación de datos personales fue realmente propiciada por la indiscreción de los afectados, que en la inmensa mayoría de los casos habían hecho pública su condición de miembros de las fuerzas de seguridad en sus perfiles personales en redes sociales y en chats de acceso público en aplicaciones de mensajería instantánea.
Las pesquisas policiales han permitido también poner nombre al autor de la difusión de estos miles de datos: se trata de Enrique Arias Gil, un profesor español de 38 años que está en busca y captura desde 2025 por sus vínculos con el grupo de piratas informáticos o hackers NoName057(16), vinculado al régimen de Vladimir Putin. Sin embargo, los investigadores encuadran la publicación de estos datos no tanto como parte de la estrategia de esta red, sino en el deseo de venganza que Arias tiene contra la Policía desde que el año pasado un juez dictó una orden internacional de arresto contra él por su implicación en los ciberataques de NoName057 en España. Arias anunció esta revancha en los canales afines al grupo y la bautizó con el irónico nombre de Operación Mortadelo, en referencia al torpe agente secreto del cómic. Hasta ahora, sin embargo, su venganza ha tenido resultados más que discretos, según destacan fuentes cercanas a las pesquisas.
El profesor ―que en 2021 participó en un programa de La2 como analista y experto en extremismo― inició la filtración poco después de pasar a ser un fugitivo con un goteo constante de nombres y fotografías de supuestos miembros de las fuerzas de seguridad a través de un chat de la aplicación de mensajería instantánea Telegram dirigido a castellanoparlantes que él administraba y que utilizaba para hacer propaganda de los ciberataques de NoName057 y apoyar las narrativas a favor de Rusia en su guerra con Ucrania. Según ha revelado la investigación, la mayor parte de la información la obtenía de los perfiles de los propios agentes en la red social Instagram y en un chat abierto precisamente en Telegram en el que los miembros de las fuerzas de seguridad contactan entre ellos para buscar pisos de alquiler cuando cambian de destino. Toda esta información que iba subiendo poco a poco la agrupó finalmente en un documento de 499 páginas que difundió el pasado 27 de julio a través del mismo canal. Poco después, cerró el chat, que ahora es inaccesible.
El informe elaborado por Arias, al que ha tenido acceso EL PAÍS, aparece encabezado con la frase en ruso “Lista de las fuerzas de seguridad española” para, a continuación, mostrar sin más preámbulos la fotografía de un militar de uniforme supuestamente utilizada por este en su perfil de alguna red social, acompañado por su nombre, localidad de residencia, teléfono móvil, dirección de correo electrónico y cuatro números de teléfono incluidos en su agenda. La segunda afectada es una mujer miembro del Ejército, de la que aparecen dos imágenes y la supuesta dirección de su domicilio en Pamplona, entre otros datos. El tercero es un “escolta en activo” que en una de las dos imágenes aparece empuñando un fusil de asalto. El cuarto, un detective privado… En numerosas fichas se mencionan precisamente metadatos de la aplicación Telegram (los códigos de identificación y nombre de usuario), lo que, en opinión de los investigadores, confirma que una parte importante de la información que difundía procedía de esa plataforma de origen ruso.
De hecho, el documento parece limitarse a una sucesión de datos personales de cada uno de los afectados, puestos uno detrás de otro sin ninguna sistematización, la mayoría de las veces en castellano, pero también con numerosas palabras y anotaciones en ruso. A algunos los identifica expresamente como militares, policías o guardias civiles, incluso con referencia a sus unidades, pero en otros no hace referencia expresa a qué cuerpo policial pertenece. Fuentes cercanas a la investigación destacan que hay numerosos datos antiguos; otros son erróneos y a veces se atribuye la pertenencia a la Policía Nacional a una persona que es en realidad guardia civil, y viceversa. “Muchos de los afectados son agentes jóvenes que llevan poco tiempo en las fuerzas de seguridad, pero que precisamente por su juventud son más proclives a difundir su condición de agentes en sus redes sociales, muchas veces vistiendo el uniforme”, señalan las fuentes cercanas a las pesquisas.
Sobre Arias, los investigadores apuntan que “no es, ni mucho menos, un experto informático y para elaborar la lista ha utilizado únicamente información fácilmente extraíble en lugares de acceso libre”. “Está muy lejos de ser un hacker”, añaden. En este sentido, creen que el profesor español ―que asegura haber encontrado la protección de las autoridades de Moscú y estar a punto de conseguir la nacionalidad rusa― lo que ha intentado con esta difusión es ganar prestigio dentro de la red de ciberactivistas prorrusos. De hecho, la principal actividad cibercriminal de NoName057 es muy diferente a la de difundir datos personales de policías. En concreto, se dedica a coordinar a ciberactivistas afines (se calcula que más de 4.000) para lanzar de manera coordinada ataques informáticos de los denominados Denegación de Servicios Distribuida (DDoS, por sus siglas en inglés). Es decir, el envío masivo de tráfico a una página web con el objetivo de colapsarla y que no pueda ser accesible para el resto de internautas. Para perpetrarlos, este grupo ha desarrollado un software propio, bautizado como DDoSia. Estos ataques, más allá del daño reputacional que causan al revelar la vulnerabilidad de una web, no son especialmente graves, según coinciden los expertos. Lo habitual es que las páginas afectadas vuelvan a estar operativas en la misma jornada.
En España, este grupo ha lanzado desde su creación en 2022 más de 500 oleadas de ciberataques por el apoyo del Gobierno a Ucrania. La primera, el 14 de octubre de aquel año, contra la página web del Ministerio de Defensa. Muchas de ellas han estado ligadas a eventos concretos. Así, el 23 de julio de 2023, día de las últimas elecciones generales, intentó tumbar la web del Ministerio del Interior. No lo logró, aunque provocó problemas puntuales durante tres horas aquella tarde. También intentó sin éxito crear una web idéntica a la de Interior para suplantarla (las conocidas como páginas espejo). “No nos importa si la derecha o la izquierda llegan al poder en este país hoy [por el 23-J]: ambos lados se adhieren a una posición proeuropea”, afirmó entonces el grupo en una nota en inglés en la que reivindicaba estos ataques. Aquel día, también fueron su objetivo las webs del Palacio de la Moncloa, el Instituto Nacional de Estadística (INE), Renfe, la Junta Electoral Central, la Casa Real o la Corte de Arbitraje de Madrid, entre otras.
Noname057 sufrió un importante golpe policial en julio de 2025, cuando una macrooperación policial conjunta en la que participaron policías de 10 fuerzas de seguridad europeas, entre ellas la Policía Nacional española, y de Estados Unidos, y que contó con el apoyo de las autoridades de otros siete estados, permitió desmantelar buena parte de su infraestructura. La bautizada como Operación Eastwood dejó muy tocado al grupo al bloquear más de 100 servidores informáticos que usaba. En España, la Policía Nacional, en colaboración con el Centro Criptológico Nacional (CCN) y el CNI, inhabilitaron el acceso a 42. El golpe fue tan importante que NoName057 tardó en volver a actuar ocho días, un periodo de tiempo que los expertos policiales consideran “muy largo” en el ámbito de la cibercriminalidad. Tras aquel golpe, Arias pasó a figurar en la lista de los más buscados de Europol.
