La guerra ibrida che affronta l’Europa con la Russia ha anche un fronte spagnolo. Un cittadino ricercato dalla Audiencia Nacional e presumibilmente collegato a una delle principali reti di cyberattacchi filorussi starebbe utilizzando la sua attività su Telegram per reclutare spagnoli disposti a combattere nelle file dell’Esercito russo, partecipare a operazioni informatiche retribuite o fornire informazioni riservate su funzionari e imprenditori. L’attività è stata documentata in un rapporto di Golden Owl, un’azienda specializzata nell’intelligence da fonti aperte collegata al Parque Científico dell’Universidad de Alicante.
Il protagonista di questa indagine è Enrique Arias Gil, lo spagnolo che opera sotto lo pseudonimo di "Desinformador Ruso" e su cui pesa un ordine internazionale di ricerca e cattura emesso dalla Audiencia Nacional. Il rapporto, intitolato "El arsenal invisible: amenazas híbridas a las elecciones españolas de 2026 y a la seguridad nacional", colloca la sua attività all’interno di un ecosistema di captazione, propaganda e diffusione di informazioni che trascende gli attacchi informatici convenzionali.
I ricercatori hanno raccolto 54.737 elementi digitali, mappato 10.773 account delle principali piattaforme ed esaminato 528 documenti del dark web nel periodo compreso tra il 20 agosto e il 5 novembre. L’analisi ricostruisce connessioni tra profili, canali di distribuzione e comunità digitali che, secondo lo studio, possono contribuire ad amplificare operazioni di influenza contro la Spagna.
L’attività di Arias Gil si distingue per la diversità dei profili che tenta di reclutare. Attraverso il suo canale Telegram, che supera i 14.500 abbonati secondo il rapporto, ha diffuso offerte per inserirsi nell’Esercito russo, collaborare con operatori informatici collegati alla Russia o fornire dati personali di cittadini spagnoli con responsabilità pubbliche.
Soldati, informatori e cybervolontari retribuiti
Una delle linee di captazione identificate da Golden Owl si rivolge a cittadini spagnoli disposti a entrare nelle Forze Armate russe. Il rapporto conta nove pubblicazioni recenti in cui vengono offerte condizioni economiche per chi accetti di combattere in Ucraina insieme alle truppe di Mosca.
Le offerte contemplano remunerazioni mensili comprese tra 2.500 e 3.000 dollari, oltre a un premio di adesione di 25.000 dollari. Includono inoltre, secondo i messaggi analizzati, le spese di viaggio e di visto, nonché la possibilità di ottenere la cittadinanza russa. Gli annunci si rivolgono a persone di età compresa tra 18 e 50 anni, con preferenza per coloro che hanno esperienza militare o in aziende di sicurezza privata.
La seconda via di reclutamento punta all’ottenimento di informazioni sensibili. Tra il 21 ottobre e il 3 novembre, Arias Gil ha pubblicato tre messaggi in cui invitava cittadini e funzionari spagnoli a collaborare con la Russia tramite la consegna di "informazioni riservate e dati personali di funzionari e imprenditori spagnoli".
Il terzo fronte si rivolge all’ambito digitale. Il 26 ottobre, il canale ha invitato i suoi follower a diventare "cybervolontari retribuiti in criptovalute" e a partecipare al progetto denominato Ddosia, un’iniziativa che, secondo il messaggio diffuso, permetterebbe di collaborare con hacker russi in attacchi di negazione del servizio e sabotaggi informatici contro obiettivi occidentali. Le tre modalità di reclutamento rimandano a un’unica direzione di contatto, un elemento che i ricercatori inseriscono nella loro ricostruzione dell’attività. Il rapporto documenta così un’offerta che combina incentivi economici, collaborazione informativa e partecipazione ad operazioni cibernetiche.
La rilevanza del caso non si limita a queste convocazioni. Arias Gil figura dal settembre 2025 nell’elenco dei più ricercati di Europol per la sua presunta associazione con NoName057(16), un’organizzazione di hacker filorussi che ha messo in scena campagne contro istituzioni e imprese europee. La Polizia Nazionale gli attribuisce di aver facilitato informazioni sugli obiettivi per preparare attacchi informatici e di aver partecipato alla diffusione di dati personali di membri delle Forze e dei Corpi di Sicurezza dello Stato. Tra gli episodi investigati figura la pubblicazione di informazioni su circa 2.000 poliziotti, guardie civili, militari e agenti del Centro Nacional de Inteligencia (CNI). Lo scorso 29 ottobre, inoltre, il canale ha diffuso il nome, la fotografia e la storia professionale di un sottufficiale in servizio dell’Esercito spagnolo, secondo quanto riporta lo studio.
Il percorso dell’indagato era già stato oggetto di indagini giornalistiche e di polizia. La Cadena SER ha riferito a settembre del 2025 dell’ordine internazionale di arresto e dei sospetti sulla sua presunta connessione con la rete proruosa, mentre Newtral ha ricostruito la sua inclusione nella lista di Europol e la sua attività come amministratore del canale.
Una rete di propaganda in spagnolo con centinaia di migliaia di follower
Al di là della captazione diretta, Golden Owl identifica un’infrastruttura di canali Telegram che distribuisce contenuti favorevoli a Mosca tra pubblici di lingua spagnola. Lo studio colloca Arias Gil al centro di una rete che traduce, riproduce e amplifica materiali provenienti da media statali russi, piattaforme di informazione militare e commentatori vicini al Cremlino.
Tra le fonti che compaiono in questa circolazione figurano Sputnik, l’agenzia Tass e Rybar, insieme ad altri canali e creatori di contenuti che diffondono analisi sulla guerra in Ucraina e sulla politica internazionale da posizioni allineate agli interessi russi.
La rete identificata accumula circa 350.000 abbonamenti e 8,5 milioni di visualizzazioni in 16 giorni, secondo i dati raccolti dai ricercatori. La sua capacità di diffusione non dipende soltanto dalle dimensioni individuali di ciascun canale, ma dalla coordinazione nella pubblicazione e nella redistribuzione dei contenuti. I messaggi vengono replicati tra account diversi, a volte con testi identici e scarse differenze temporali.
Il risultato è una catena di amplificazione che consente di introdurre una stessa narrazione in comunità diverse e aumentarne la portata senza la necessità che tutti i canali rispondano a un’unica struttura di indirizzo.
Tra i racconti che compaiono in modo ricorrente figura la presentazione di Israele, Stati Uniti, Marocco e la OTAN come principali minacce per la Spagna, così come l’idea che il paese sia diventato un obiettivo di attacchi per il suo sostegno militare all’Ucraina. La strategia, secondo il rapporto, consiste nel collegare avvenimenti nazionali allo scontro geopolitico e nel proporre interpretazioni che erodano la fiducia nelle istituzioni spagnole e nelle sue alleanze internazionali. Uno degli esempi raccolti è la diffusione di informazioni false dopo l’incidente ferroviario di Urda, a Toledo. Poco dopo 36 minuti dal sinistro cominciarono a circolare messaggi che attribuivano la tragedia a un presunto sabotaggio, un’ipotesi che si è diffusa tramite account che imitavano profili ferroviari e mezzi di comunicazione.
La rapidità della diffusione illustra uno dei rischi che indica Golden Owl: la capacità di sfruttare avvenimenti di grande impatto sociale prima che le autorità abbiano potuto chiarirne le cause. L’uso di account falsi, pubblicazioni sincronizzate e contenuti manipolati permette di introdurre spiegazioni alternative e trasformare una crisi nazionale in uno strumento di polarizzazione.
Pagine false dal Vietnam e narrazioni preparate per il 29-N
Il rapporto identifica inoltre un’infrastruttura di pagine Facebook amministrate dal Vietnam che si presentano agli utenti come spazi informativi spagnoli. La rete principale riunisce otto pagine e circa 270.000 follower, con una presenza particolarmente rilevante tra utenti di 65 anni o più.
I ricercatori rilevano che queste pagine avrebbero fatto ricorso a audience a pagamento per aumentare la propria portata e costruire comunità che sembrano avere una diffusione a livello nazionale. A partire dal 27 ottobre, il contenuto avrebbe subito un cambio di orientamento: da pubblicazioni inizialmente innocue a storie politiche fabbricate mediante intelligenza artificiale, con un marcato pregiudizio antigovernativo e islamofobo. La ricerca avverte che il Vietnam non è l’unica origine di queste operazioni. Appaiono anche pagine e canali che simulano di essere spagnoli dallo Sri Lanka, dall’Indonesia, dal Pakistan o dall’Argentina. In parallelo, un insieme di 25 account associati, con attività dagli Stati Uniti, dalla Francia e dalla Germania, avrebbe accumulato 1,39 milioni di riproduzioni tramite pubblicazioni con etichette identiche collegate alla crisi di Ceuta.
Il calendario elettorale aggiunge un’altra dimensione a queste operazioni. Golden Owl segnala l’adattamento al contesto spagnolo di narrazioni utilizzate in precedenza in America Latina per mettere in discussione la legittimità dei risultati elettorali, soprattutto quelle legate al presunto broglio nel voto per corrispondenza. Lo studio identifica una sequenza di pubblicazioni praticamente identiche diffuse da quattro account con appena nove secondi di differenza. I ricercatori ritengono che questo schema indichi una cellula che opera a partire da una sceneggiatura condivisa, con messaggi destinati a far passare come fraudolento qualsiasi risultato che non coincida con determinate previsioni demoscopiche.
Tra i materiali diffusi figurano immagini generate tramite intelligenza artificiale che raffigurano un presunto dipendente di Correos mentre distrugge schede elettorali. L’obiettivo di questa narrazione sarebbe anticipare sospetti sullo scrutinio e mettere in discussione in anticipo la legittimità dei risultati del 29 novembre.
Il rapporto riassume questa strategia in tre messaggi ricorrenti: non votare per corrispondenza, denunciare che il censimento è manipolato e sostenere che si verificherà un furto elettorale. Golden Owl precisa, tuttavia, che il discorso ha anche un’origine nazionale e che la partecipazione di reti straniere consiste nel contribuire alla sua diffusione e amplificazione. Non attribuisce tutte le attività rilevate a un’unica operazione coordinata dalla Russia.
Milioni di dati personali esposti nel dark web
La ricerca include un’ultima linea d’azione collegata alla disponibilità di informazioni personali di cittadini spagnoli in mercati clandestini. Dopo aver esaminato 528 documenti del dark web, Golden Owl ha identificato annunci che offrono più di 13 milioni di registri di cittadini spagnoli e 113.000 combinazioni di posta elettronica e password. I dati provengono da precedenti fughe di notizie, per cui la loro presenza in questi spazi non implica necessariamente che tutte le credenziali siano ancora attive o che le informazioni siano aggiornate. Tuttavia, la loro disponibilità può facilitare campagne di impersonificazione, ingegneria sociale e operazioni di disinformazione dirette a gruppi specifici.
La preoccupazione dei ricercatori si concentra sulla possibile utilizzazione di questi database per costruire campagne più precise, identificare obiettivi e conferire credibilità a messaggi fraudolenti. La combinazione di informazioni personali, account falsi e contenuti generati mediante intelligenza artificiale amplia le possibilità di manipolazione del dibattito pubblico.
La conclusione del rapporto è che la Spagna affronterà le prossime elezioni in un contesto informativo in cui esistono già reti, audience e narrazioni in grado di sfruttare eventi politici o sociali per erodere la fiducia istituzionale. Gli autori avvertono che una notte elettorale con un risultato contestato potrebbe diventare lo scenario di una nuova ondata di accuse di frode, amplificate da strutture digitali nazionali e straniere.
Lo studio insiste, tuttavia, sul fatto che non tutte le attività documentate fanno parte della stessa operazione né rispondono necessariamente a un unico centro di comando. La sua rilevanza risiede nella convergenza di metodi e capacità: dal reclutamento di cittadini e la diffusione di informazioni sensibili fino alla propaganda, alla manipolazione delle audience e allo sfruttamento di dati personali.
L’avvertimento di fondo trascende la campagna elettorale. L’infrastruttura digitale descritta da Golden Owl potrebbe rimanere operativa dopo il 29-N e sfruttare qualsiasi crisi per intensificare la polarizzazione, mettere in discussione decisioni istituzionali o indebolire la fiducia dei cittadini nel sistema democratico.