La guerre hybride que l’Europe mène face à la Russie a aussi un front espagnol. Un citoyen recherché par l’Audiencia Nacional et présumément lié à l’un des principaux réseaux de cyberattaques prorusses utiliserait son activité sur Telegram pour recruter des Espagnols prêts à combattre dans les rangs de l’Armée russe, à participer à des opérations informatiques rémunérées ou à fournir des informations confidentielles sur des fonctionnaires et des entrepreneurs. L’activité a été documentée dans un rapport de Golden Owl, une entreprise spécialisée dans l’intelligence à partir de sources ouvertes liée au Parc Scientifique de l’Université d’Alicante.
Le protagoniste de cette enquête est Enrique Arias Gil, l’Espagnol qui opère sous le pseudonyme de "Desinformador Ruso" et à l’encontre duquel pèse un mandat international de recherche et d’arrestation émis par l’Audiencia Nacional. Le rapport, intitulé "El arsenal invisible: amenazas híbridas a las elecciones españolas de 2026 y a la seguridad nacional", situe son activité dans un écosystème de captation, de propagande et de diffusion d’informations qui dépasse les cyberattaques conventionnelles.
Les chercheurs ont rassemblé 54.737 éléments numériques, cartographié 10.773 comptes des principales plateformes et examiné 528 documents de la dark web pendant la période comprise entre le 20 août et le 5 novembre. L’analyse reconstitue des connexions entre profils, canaux de distribution et communautés numériques qui, selon l’étude, peuvent contribuer à amplifier des opérations d’influence contre l’Espagne.
L’activité d’Arias Gil se distingue par la diversité des profils qu’il cherche à recruter. À travers son canal Telegram, qui dépasse 14.500 abonnés selon le rapport, il a diffusé des offres pour s’incorporer à l’Armée russe, collaborer avec des opérateurs informatiques liés à la Russie ou fournir des données personnelles de citoyens espagnols ayant des responsabilités publiques.
Soldats, informateurs et cybervolontaires rémunérés
L’une des lignes de captation identifiées par Golden Owl vise des citoyens espagnols disposés à s’incorporer aux Forces armées russes. Le rapport recense neuf publications récentes dans lesquelles sont proposées des conditions économiques pour ceux qui acceptent de combattre en Ukraine aux côtés des troupes de Moscou.
Les offres prévoient des rémunérations mensuelles comprises entre 2.500 et 3.000 dollars, ainsi qu’une prime d’intégration de 25.000 dollars. Elles incluent également, d’après les messages analysés, les frais de déplacement et de visa, ainsi que la possibilité d’obtenir la citoyenneté russe. Les annonces s’adressent à des personnes âgées de 18 à 50 ans, avec une préférence pour celles qui disposent d’une expérience militaire ou au sein d’entreprises de sécurité privée.
La deuxième voie de recrutement vise l’obtention d’informations sensibles. Entre le 21 octobre et le 3 novembre, Arias Gil a publié trois messages dans lesquels il incitait des citoyens et des fonctionnaires espagnols à collaborer avec la Russie en fournissant « de l’information confidentielle et des données personnelles de fonctionnaires et d’hommes d’affaires espagnols ».
Le troisième volet s’adresse au domaine numérique. Le 26 octobre, la chaîne a invité ses abonnés à devenir « des cybervolontaires rémunérés en cryptomonnaies » et à participer au projet dénommé Ddosia, une initiative qui, selon le message diffusé, permettrait de collaborer avec des hackers russes dans des attaques par déni de service et des sabotages informatiques contre des objectifs occidentaux. Les trois modalités de recrutement renvoient à une même adresse de contact, un élément que les enquêteurs intègrent à leur reconstitution de l’activité. Le rapport documente ainsi une offre qui combine des incitations économiques, une collaboration informative et une participation à des opérations cybernétiques.
L’importance de l’affaire ne se limite pas à ces convocations. Arias Gil figure depuis septembre 2025 sur la liste des personnes les plus recherchées d’Europol pour sa présumée implication avec NoName057(16), une organisation de hackers prorusses qui a mené des campagnes contre des institutions et des entreprises européennes. La Police nationale lui attribue d’avoir facilité des informations sur des cibles afin de préparer des cyberattaques et d’avoir participé à la diffusion de données personnelles de membres des Forces et des Corps de sécurité de l’État. Parmi les épisodes étudiés figure la publication d’informations concernant près de 2.000 policiers, gardes civils, militaires et agents du Centre national de renseignement (CNI). Le 29 octobre dernier, en outre, la chaîne a diffusé le nom, la photographie et le parcours professionnel d’un sous-officier en activité de l’armée espagnole, comme le rapporte l’étude.
La trajectoire de la personne mise en cause avait déjà fait l’objet d’enquêtes journalistiques et policières. La Cadena SER a informé en septembre 2025 de l’ordre international d’arrestation et des soupçons de son lien avec le réseau pro-russe, tandis que Newtral a reconstitué son inscription sur la liste d’Europol et son activité en tant qu’administrateur de la chaîne.
Un réseau de propagande en espagnol avec des centaines de milliers d’abonnés
Au-delà du recrutement direct, Golden Owl identifie une infrastructure de chaînes Telegram qui diffuse des contenus favorables à Moscou auprès de publics hispanophones. L’étude place Arias Gil au cœur d’un réseau qui traduit, reproduit et amplifie des contenus provenant de médias étatiques russes, de plateformes d’information militaire et de commentateurs proches du Kremlin.
Parmi les sources qui figurent dans cette diffusion, on trouve Sputnik, l’agence Tass et Rybar, ainsi que d’autres chaînes et créateurs de contenu qui diffusent des analyses sur la guerre en Ukraine et la politique internationale depuis des positions alignées sur les intérêts russes.
Le réseau identifié accumule environ 350.000 abonnements et 8,5 millions de vues en 16 jours, selon les données recueillies par les chercheurs. Sa capacité de diffusion ne dépend pas uniquement de la taille individuelle de chaque chaîne, mais de la coordination dans la publication et la redistribution des contenus. Les messages sont répliqués entre différents comptes, parfois avec des textes identiques et de faibles différences temporelles.
Le résultat est une chaîne d’amplification qui permet d’introduire un même récit dans des communautés différentes et d’en augmenter la portée sans que toutes les chaînes doivent répondre à une seule structure de direction.
Parmi les récits qui reviennent de manière récurrente figure la présentation d’Israël, des États-Unis, du Maroc et de l’OTAN comme principales menaces pour l’Espagne, ainsi que l’idée que le pays serait devenu une cible d’attaques en raison de son soutien militaire à l’Ukraine. La stratégie, selon le rapport, consiste à relier des événements nationaux à l’affrontement géopolitique et à proposer des interprétations qui sapent la confiance envers les institutions espagnoles et leurs alliances internationales. Un des exemples recueillis est la diffusion d’informations fausses après l’accident ferroviaire d’Urda, à Tolède. À peine 36 minutes après le sinistre ont commencé à circuler des messages qui attribuaient la tragédie à un prétendu sabotage, une hypothèse qui s’est propagée via des comptes imitant des profils ferroviaires et des médias.
La rapidité de la diffusion illustre l’un des risques que souligne Golden Owl : la capacité d’exploiter des événements d’un fort impact social avant que les autorités aient pu en élucider les causes. L’utilisation de comptes fictifs, de publications synchronisées et de contenus manipulés permet d’introduire des explications alternatives et de transformer une crise nationale en un instrument de polarisation.
Des pages fausses depuis le Vietnam et des récits préparés pour le 29-N
Le rapport identifie également une infrastructure de pages Facebook administrées depuis le Vietnam qui se présentent auprès des utilisateurs comme des espaces d’information espagnols. Le réseau principal réunit huit pages et environ 270.000 abonnés, avec une présence particulièrement marquée parmi les utilisateurs de 65 ans ou plus.
Les enquêteurs constatent que ces pages auraient eu recours à des audiences payantes pour accroître leur portée et construire des communautés donnant l’impression d’avoir une implantation nationale. À partir du 27 octobre, le contenu aurait connu un changement d’orientation : de publications initialement inoffensives à des histoires politiques fabriquées à l’aide d’intelligence artificielle, avec un net biais antigouvernemental et islamophobe. L’enquête prévient que le Vietnam n’est pas la seule origine de ces opérations. Des pages et des chaînes qui simulent être espagnoles apparaissent aussi depuis Sri Lanka, l’Indonésie, le Pakistan ou l’Argentine. En parallèle, un ensemble de 25 comptes associés, avec une activité depuis les États-Unis, la France et l’Allemagne, aurait accumulé 1,39 million de vues grâce à des publications avec des hashtags identiques liés à la crise de Ceuta.
Le calendrier électoral ajoute une autre dimension à ces opérations. Golden Owl alerte sur l’adaptation au contexte espagnol de récits utilisés auparavant en Amérique latine pour contester la légitimité des résultats électoraux, en particulier ceux liés au prétendu fraude dans le vote par correspondance. L’étude identifie une séquence de publications quasiment identiques diffusées par quatre comptes avec à peine neuf secondes d’écart. Les chercheurs estiment que ce schéma pointe vers une cellule qui opère à partir d’un scénario partagé, avec des messages visant à présenter comme frauduleux tout résultat qui ne correspond pas à certaines prévisions démoscopiques.
Parmi les éléments diffusés figurent des images générées au moyen d’intelligence artificielle représentant un supposé employé de Correos détruisant des bulletins de vote. L’objectif de ce récit serait d’anticiper des soupçons sur le dépouillement et de contester d’avance la légitimité des résultats du 29 novembre.
Le rapport résume cette stratégie en trois messages récurrents : ne pas voter par correspondance, dénoncer que le recensement est manipulé et soutenir qu’il y aura un vol électoral. Golden Owl précise toutefois que le discours a aussi une origine nationale et que la participation de réseaux étrangers consiste à contribuer à sa diffusion et à son amplification. Il n’attribue pas toutes les activités détectées à une seule opération coordonnée depuis la Russie.
Des millions de données personnelles exposées sur la dark web
L’enquête incorpore un dernier front lié à la disponibilité d’informations personnelles de citoyens espagnols sur des marchés clandestins. Après avoir examiné 528 documents de la dark web, Golden Owl a identifié des annonces proposant plus de 13 millions d’enregistrements de citoyens espagnols et 113.000 combinaisons d’e-mail et de mot de passe. Les données proviennent de fuites antérieures ; leur présence dans ces espaces ne signifie donc pas nécessairement que toutes les identifiants restent actifs ou que l’information soit à jour. Toutefois, leur disponibilité peut faciliter des campagnes d’usurpation d’identité, de l’ingénierie sociale et des opérations de désinformation ciblées vers des groupes précis.
La préoccupation des chercheurs se concentre sur la possible utilisation de ces bases de données pour construire des campagnes plus précises, identifier des objectifs et donner de la crédibilité à des messages frauduleux. La combinaison d’informations personnelles, de comptes fictifs et de contenus générés au moyen de l’intelligence artificielle élargit les possibilités de manipulation du débat public.
La conclusion du rapport est que l’Espagne affronte les prochaines élections dans un environnement informationnel où existent déjà des réseaux, des audiences et des récits capables d’exploiter des événements politiques ou sociaux afin d’éroder la confiance institutionnelle. Les auteurs avertissent qu’une nuit électorale avec un résultat contesté pourrait devenir le cadre d’une nouvelle vague d’accusations de fraude, amplifiées par des structures digitales nationales et étrangères.
L’étude insiste néanmoins sur le fait que toutes les activités documentées ne font pas partie de la même opération et ne répondent pas nécessairement à un unique centre de commandement. Sa pertinence réside dans la convergence de méthodes et de capacités : du recrutement de citoyens et de la diffusion d’informations sensibles jusqu’à la propagande, la manipulation des audiences et l’exploitation de données personnelles.
L’avertissement de fond dépasse la campagne électorale. L’infrastructure digitale décrite par Golden Owl pourrait rester opérationnelle après le 29-N et tirer parti de toute crise pour intensifier la polarisation, remettre en question des décisions institutionnelles ou affaiblir la confiance des citoyens dans le système démocratique.