Las Necesidades del Oso: Una Mirada a los Impulsores, Dinámicas y Aplicaciones del Ecosistema de Influencia Pro-Rusia

Escrito por: James Sadowski, Alden Wahlstrom Introducción Cuatro años después de la invasión a gran escala de Rusia a Ucrania, el ecosistema de influencia pro-Rusia ha evolucionado de ser una herramienta de guerra a un activo estratégico global. Desde la movilización de este ecosistema para apoyar objetivos en el frente, hemos sido testigos del desarrollo acelerado de nuevos activos de influencia vinculados a múltiples campañas de operaciones de información (IO) encubiertas y una revitalización del hacktivismo pro-Rusia a una escala sin precedentes. Aunque esta actividad de amenaza inicialmente se adaptó para abarcar prioridades relacionadas con Ucrania, gradualmente está girando de regreso hacia los objetivos de influencia rusos establecidos para los cuales el ecosistema fue originalmente afinado. Este cambio es significativo porque probablemente señala un enfoque aumentado fuera de Ucrania, advirtiendo que la actividad de influencia pro-Rusia dirigida a la Unión Europea (UE), la Organización del Tratado del Atlántico Norte (OTAN) y otras principales prioridades de apuntado puede intensificarse. En última instancia, la guerra en Ucrania ha proporcionado un ciclo de retroalimentación crítico para que Rusia refine su actividad de influencia, lecciones que anticipamos serán aplicadas a medida que el ecosistema continúe reorientándose hacia objetivos estratégicos globales mientras mantiene el enfoque en Ucrania. Además, las recientes IO pro-Rusia indican la continua expansión de tácticas ya diversas, y el uso creciente de herramientas de IA generativa para planificación, investigación y creación de contenido marca una tendencia hacia adelante en las IO pro-Rusia. Mientras tanto, nuevos y diferentes actores han adoptado tácticas de IO para enfrentar un conjunto de desafíos cada vez más diverso, señalando la creciente dependencia de Rusia en tácticas de influencia. Juntas, estas tendencias probablemente demuestran la percepción del Kremlin de estas tácticas como efectivas en costo y exitosas. La naturaleza interconectada de los diversos componentes del ecosistema lo hace resistente a interrupciones de alcance limitado, lo que los defensores deben considerar para mitigar eficazmente las amenazas de influencia pro-Rusia. El Ecosistema en un Vistazo: Objetivos, Apuntado y Tácticas El enfoque moderno de Rusia sobre las operaciones de información se basa en los fundamentos conceptuales de las "medidas activas" de la era soviética adaptadas a la era digital. Junto con ataques cibernéticos disruptivos que datan de principios de 2000, el Kremlin ha aprovechado cada vez más las plataformas basadas en Internet para el espionaje y las operaciones de información. El enfoque de Rusia ha evolucionado de operaciones rudimentarias y singulares a un entorno complejo y autosostenible intencionalmente curado por el Gobierno ruso que mezcla elementos abiertos, encubiertos e independientes para avanzar en los intereses del Kremlin tanto en casa como en el extranjero. Objetivos Clave de Influencia Las observaciones del GTIG sugieren que las principales motivaciones estratégicas que impulsan el ecosistema de influencia pro-Rusia caen en cinco categorías, cada una con el objetivo de lograr objetivos militares y/o políticos a través de la manipulación psicológica del público objetivo. Colectivamente, estos objetivos representan informalmente una estrategia de influencia global: a través de su máxima extensión de influencia, el Kremlin busca disminuir la primacía occidental y avanzar la posición global de Rusia; dentro de su región circundante, se esfuerza por mantener y devolver la dominancia de Moscú; y en casa, trabaja para asegurar la estabilidad del régimen político. Apuntado Las operaciones de influencia pro-Rusia están pivotando desde el enfoque casi singular en Ucrania que dominó el ecosistema desde 2022. Esperamos que las operaciones de influencia que avancen los intereses específicos de la guerra de Rusia continúen. Sin embargo, a medida que Rusia busca resurgir de la isolación internacional, hemos observado un enfoque concurrente en los objetivos de influencia pro-Rusia previos a la guerra. El alcance actual y histórico de cada componente del ecosistema expone tanto las ambiciones globales del Kremlin como las limitaciones realistas de su proyección de poder. Las organizaciones de medios estatales producen contenido destinado a servir a poblaciones en seis continentes, pero en los últimos años, las sanciones y otros factores han limitado su producción y distribución. Mientras tanto, las operaciones encubiertas han parecieron más limitadas en alcance, principalmente apuntando hacia Occidente y los países circundantes a Rusia, con operaciones intermitentes que apuntan al Medio Oriente y África, lo que indica que los recursos finitos limitan necesariamente estas operaciones. Principales Objetivos Regionales Estados Unidos y Europa: El Kremlin ha visto desde hace tiempo a Occidente como un principal adversario de Rusia. En consecuencia, los EE.UU. y Europa son los principales objetivos de las operaciones encubiertas de información pro-Rusia, especialmente dirigidas a socavar la estabilidad política dentro de estos países y la unidad entre ellos. La OTAN y la UE encarnan el "Occidente" colectivo y son percibidos como los principales adversarios de Rusia, solo superados por los EE.UU. de forma independiente. "Cercano Exterior" de Rusia: Desde la disolución de la Unión Soviética, Moscú ha afirmado que los países que anteriormente formaban parte de la URSS ahora residen en la llamada "esfera de influencia" de Rusia. La influencia encubierta dirigida a esta región refleja directamente la afirmación de Moscú de que Rusia es una potencia mundial con derecho a privilegios especiales dentro de su vecindario. El Medio Oriente y África: Durante la última década, los esfuerzos rusos para reafirmarse como una potencia global han incluido inversiones destacadas en cultivar la posición de Rusia en el Medio Oriente y África. Es probable que la actividad pro-Rusia de influencia encubierta se despliegue en conjunto como apoyo previsto para otras iniciativas rusas en estas regiones. Rusia Doméstica: La IO encubierta dirigida internamente es un componente bien establecido de la actividad de influencia pro-Rusia, desplegada por actores alineados al régimen para promover políticas del Kremlin y reprimir voces de oposición. Entidades Objetivo y Eventos Globales Las Olimpíadas: Rusia ha visto durante mucho tiempo la participación en los Juegos Olímpicos como un punto de prestigio nacional, y el GTIG ha observado una notable actividad de influencia rusa dirigida a las Olimpíadas frente a las prohibiciones de participación rusas. Guerra en Ucrania: La guerra en Ucrania ha sido un motor clave de la actividad de influencia de Rusia, incluyendo intentos de influir en eventos sobre el terreno así como actividad de influencia destinada a avanzar los intereses de Moscú en otros lugares en relación con la guerra. El GTIG espera que Ucrania siga siendo una prioridad en el cálculo de apuntado de Rusia durante la fase posterior al conflicto tras cualquier futuro acuerdo de paz. Elecciones: El apuntado electoral se alinea con múltiples objetivos de influencia rusos, incluyendo intentos de socavar la confianza en las instituciones democráticas así como debilitar internamente a adversarios occidentales percibidos. Estas operaciones habitualmente apuntan a elecciones en países que ya son priorizados por la actividad de influencia pro-Rusia en curso. Puntos Críticos Geopolíticos Ad Hoc y Eventos Globales: Los actores de influencia rusos tienen un historial de pivotar su actividad para involucrarse con desarrollos y eventos geopolíticos emergentes, como la pandemia de COVID-19 o el conflicto en el Medio Oriente de 2026. Esta selección de objetivos flexible a menudo se superpone o se alinea con otras prioridades rusas, haciendo que la actividad previa de influencia rusa observada sea útil para anticipar qué eventos pueden ser apropiados. Tácticas Los desarrollos geopolíticos y tecnológicos convergentes hacen que la evolución de las tácticas de influencia pro-Rusia sea un espacio particularmente importante para monitorear en este momento. El ecosistema de influencia pro-Rusia se expandió para apoyar el esfuerzo bélico, trayendo cambios a través del espectro de actividad y proporcionando a los operadores la oportunidad de perfeccionar sus tácticas, técnicas y procedimientos (TTP) en el rápido ciclo de retroalimentación de la guerra. Mientras tanto, la aparición y democratización creciente de las herramientas de IA generativa ha traído tanto oportunidades prometidas como ya realizadas para apoyar todas las fases del ciclo de vida de la IO. Las siguientes son una muestra de tácticas clave que ilustran cómo los actores pro-Rusia actualmente combinan métodos bien probados con nuevos desarrollos tecnológicos para llegar a audiencias a través de medios diversos: IA Generativa: El GTIG ha observado que los actores de influencia pro-Rusia aprovechan cada vez más las herramientas de IA para apoyar diferentes etapas de sus operaciones, incluyendo apoyo para planificación e investigación general, así como creación de contenido. El Google Threat Intelligence Group (GTIG) está monitoreando de cerca la transición de operaciones habilitadas por IA incipientes a la aplicación a gran escala de modelos generativos dentro de flujos de trabajo adversariales que abarcan amenazas que van desde el espionaje y el crimen hasta la IO. Por favor, consulte nuestro último rastreador de amenazas de IA para más información sobre cómo esta amenaza está desarrollándose según nuestros conocimientos, y lo que Google está haciendo para proteger a nuestros clientes. Resonancia Narrativa: Secuestrar fisuras ideológicas y emocionales existentes en una sociedad proporciona a los actores de influencia pro-Rusia narrativas a medida para audiencias objetivo y potencialmente aumenta el compromiso e impacto. IO Habilitada por Ciber: Las campañas de influencia frecuentemente coinciden con ciberataques destructivos, como el despliegue de malware de limpieza junto a desfiguraciones de sitios web que contienen mensajes de rendición falsos, o el uso histórico de campañas de "hackear y filtrar" en las que se publican datos exfiltrados, a veces manipulados, a través de una persona falsa controlada por un actor. En algunos casos, los actores rusos incluso pueden aprovechar el espionaje cibernético directo como una forma de lograr efectos psicológicos, con la intención de influir en el comportamiento de las víctimas a través de la intimidación. Imitación de Medios: Los actores pro-Rusia han intentado imitar medios legítimos a gran escala y a través de una variedad de medios, incluyendo la apropiación masiva de marcas de medios legítimas o el desarrollo de marcas de medios inauténticas que generalmente se disfrazan como fuentes de noticias independientes. Estas tácticas están destinadas a añadir un velo de legitimidad a las narrativas promovidas. Diseminación Directa: Los actores de influencia pro-Rusia han utilizado canales de comunicación cerrados, como correos electrónicos, mensajes de texto SMS y aplicaciones de mensajería, para diseminar varios tipos de narrativas pro-Rusia como complemento o fuera de las operaciones típicas centradas en las redes sociales. Componentes Clave del Ecosistema El actual ecosistema de influencia pro-Rusia opera a través de un espectro que va desde las comunicaciones oficiales del gobierno hasta las acciones encubiertas negables llevadas a cabo por servicios de inteligencia y proxies "patrióticos". El GTIG identificó seis componentes clave que representan tipos de actividad importantes. Aunque muchos elementos son dirigidos por el estado o están afiliados al estado, el ecosistema también es un sistema cultivado y autosostenible: varios actores, a menudo sin dirección explícita, amplifican narrativas favorables al Kremlin y persiguen acciones que avanzan los intereses estratégicos de Rusia. Esta fluidez proporciona resiliencia y complica la atribución, reflejando la estrategia de largo plazo del Kremlin de cooptar actores no estatales, incluidos redes criminales para la financiación o la logística ilícita, para lograr objetivos estatales sin atribución directa. Aunque cada uno de los componentes clave del ecosistema sirve como una palanca única que el Gobierno ruso puede emplear para lograr los objetivos deseados, se utilizan regularmente juntos. Por ejemplo, aunque todo el panorama de hacktivismo pro-Rusia no está patrocinado por el estado, los servicios de inteligencia rusos han utilizado tanto personas genuinas como fabricadas de hacktivistas para blanquear datos robados como parte de operaciones híbridas de espionaje cibernético y IO. Un Ecosistema Interconectado Mejora la Utilidad de la Influencia El ecosistema de influencia pro-Rusia ilustra la compleja naturaleza interconectada al mapear las relaciones entre una selección de actores y organizaciones clave a través de cinco de los componentes clave. El ecosistema funciona como una unidad cohesiva, no solo a través de objetivos compartidos, sino también a través de interacciones directas entre componentes. El Gobierno ruso funciona como el sexto componente clave del ecosistema, estableciendo la política y los puntos de conversación que informan las narrativas promovidas del ecosistema y patrocinando activos abiertos y encubiertos a lo largo de los otros cinco componentes diagramados. A través de estas palancas, el Kremlin fomenta los vínculos intercomponentes que sustentan el ecosistema, mejorando su utilidad general como una herramienta versátil de influencia estatal. 10 Dinámicas Clave para Comprender el Ecosistema de Influencia Pro-Rusia El alcance y la diversidad de la actividad en el ecosistema de influencia pro-Rusia desafía a los defensores encargados de enumerar, rastrear y contrarrestar sus amenazas. El GTIG ha destilado 10 dinámicas clave del ecosistema basadas en nuestra comprensión actual de sus componentes y en cómo cada uno de ellos habilita la actividad de influencia encubierta. Estas dinámicas enmarcan aspectos críticos de cómo se manifiestan las actividades dentro del ecosistema, proporcionando una guía de alto nivel para entender y rastrear estas amenazas. Las campañas de IO a gran escala son un elemento integral del ecosistema de influencia pro-Rusia. Las principales campañas de IO pro-Rusia han sido una característica duradera del ecosistema, con nuevas campañas surgiendo a medida que caen en la inactividad las anteriores. Mantener campañas de IO extensas y su infraestructura de influencia establecida asociada permite una comunicación proactiva sobre temas estratégicos y sustenta una capacidad que puede adaptarse rápidamente a prioridades emergentes tanto domésticas como globales. Campañas de IO establecidas desde hace mucho tiempo, como Secondary Infektion, se han pivotado para satisfacer nuevas necesidades estratégicas a medida que la invasión de Ucrania por parte de Rusia en 2022 comenzó. Nuevas campañas de IO, como "Operación Sobrecarga", surgieron posteriormente para apoyar el esfuerzo bélico; mientras Secondary Infektion se ha vuelto inactiva, estas campañas "sucesoras" han sido aprovechadas desde entonces para avanzar otros objetivos de influencia rusos globales más allá de la guerra misma. Los actores pro-Rusia a menudo priorizan la persistencia y la variedad de tácticas que aprovechan reflejan esto. Ante la exposición pública y la interrupción, los actores pro-Rusia y su infraestructura a menudo han permanecido persistentes, haciendo ajustes tácticos para mitigar los efectos de la detección y la interrupción y, en otras ocasiones, continuando las operaciones sin cesar. Estas tácticas de persistencia incluyen la campaña Doppelganger y el respectivo ciclo de infraestructura de dominio de los medios rusos abiertos y/o el uso de dominios espejo para superar la exposición, las prohibiciones de plataformas y las sanciones. Los operadores de influencia también continúan utilizando activos comprometidos, a veces burlándose de su exposición, como se observa en la campaña NAEBC orientada a EE.UU. y la persona del colectivo de hacktivistas asociada APT44, XakNet Team. Los grupos de espionaje cibernético pro-rusos y rusos aprovechan tácticas de IO para apoyar sus operaciones y utilizar datos robados y/o accesos ilícitos como armas. Si bien menos frecuentes, esta actividad híbrida es una dinámica crítica dentro del ecosistema de influencia pro-Rusia. El GTIG ha observado anteriormente operaciones utilizadas para moldear narrativas en torno a ciberataques e influir en eventos sobre el terreno y realizar interferencia política extranjera, incluyendo el dirigido repetido a elecciones extranjeras, informado en primavera de 2024. Hemos atribuido algunos casos observados de esto a actores de amenaza patrocinados por el gobierno ruso. Grupos de hacktivistas pro-Rusia o patrocinados por el estado han confiado desde hace tiempo en la publicidad pública de extracción de datos reales o reclamadas para destacar sus operaciones, intimidar objetivos o influir en la opinión pública. En 2022, UNC4057 (COLDRIVER) utilizó datos robados de objetivos de espionaje en una operación de hack-and-leak de alto perfil buscando exacerbar divisiones en la política británica. Más recientemente, el grupo de hacktivistas autoproclamado PalachPro afirmó en febrero de 2026 haber obtenido acceso no autorizado a un portal en línea del gobierno ucraniano y publicó públicamente capturas de pantalla de la supuesta violación. El gobierno ucraniano ha señalado previamente que el portal no almacena el tipo de datos que el actor de amenaza dijo haber comprometido, sugiriendo que la publicación pública probablemente estaba destinada a ser actividad de influencia, intentando crear la ilusión de una amenaza más grave. Los hacktivistas pro-Rusia cumplen una función de influencia directa. El hacktivismo pro-Rusia moderno ha evolucionado hasta convertirse en un componente importante del ecosistema de influencia que combina actores respaldados por el estado que utilizan tácticas de hacktivismo con un grupo en evolución de actores de hacktivismo de terceros que apoyan los intereses geopolíticos de Rusia. Los grupos de hacktivistas pro-Rusia obtienen atención nacional y extranjera para el mensaje estratégico mediante su actividad de amenaza denunciada, amplifican narrativas sembradas directamente en segmentos abiertos del ecosistema y, a veces, también apoyan actividad de IO tradicional o crean un medio de denegación plausible para actores de espionaje patrocinados por el estado. El grupo de hacktivistas autoproclamado NoName057(16) emergió tras la invasión rusa de Ucrania en 2022, apuntando principalmente a Ucrania y sus socios y aliados con ataques DDoS y diversas intrusiones en redes. Ha apuntado a eventos de alto perfil, como los Juegos Olímpicos de Invierno Milano Cortina, instituciones como la Asamblea Nacional Francesa y objetivos de infraestructura crítica y transporte en Alemania. A menudo su mensaje cita agravios con actos abiertos de apoyo occidental a Kiev, sugiriendo que el grupo avanza los intereses rusos no solo mediante el apuntado a adversarios rusos percibidos sino también al obtener atención para su mensaje pro-Rusia. Los componentes establecidos del ecosistema facilitan el cultivo de nuevos activos y actividad. La promoción cruzada entre ecosistemas ayuda a superar los desafíos de construcción de audiencia al dirigir el tráfico hacia nuevos activos, operaciones y narrativas, permitiendo un rápido despliegue de nuevas y existentes capacidades de IO. Esto apoya directamente un ciclo autosostenible que mantiene y expande el ecosistema. La persona de hacktivista JokerDNR desempeñó un papel significativo en la amplificación de la persona vinculada a APT44 Solntsepek cuando su canal de Telegram centrado en doxxing se lanzó por primera vez y nuevamente cuando comenzó a reclamar actividad de espionaje cibernético. Las audiencias rusas internas son un objetivo a largo plazo del ecosistema de influencia pro-Rusia. La actividad de influencia dirigida internamente a menudo ha involucrado la promoción de políticas y puntos de conversación del Kremlin y la denigración de voces e ideas de oposición, llevadas a cabo tanto por segmentos abiertos como encubiertos del ecosistema. Antes de las elecciones presidenciales de Rusia en marzo de 2024, el GTIG identificó al actor híbrido de espionaje e influencia UNC5101 registrando dominios y realizando operaciones de influencia asociadas intentando engañar a los votantes de la oposición rusa sobre el tiempo de una protesta anti-Putin. Los actores del ecosistema responden a los mismos conjuntos de circunstancias internas cambiantes y desarrollos geopolíticos externos, lo que a menudo conduce a actividades aparentemente similares, pero en última instancia distintas. Estos impulsores compartidos y alineaciones motivacionales generales animan a los actores a unirse "espontáneamente" en torno a un tema o narrativa particular. Mientras que esto puede parecer superficialmente similar, este fenómeno es distinto de instancias de coordinación de actores y vínculos de campaña, que son menos comunes. La flexibilidad sistémica es una característica central, con activos de influencia capaces de movilizarse tanto de manera incremental como a gran escala para avanzar en intereses rusos. El Gobierno ruso puede movilizar activos a través del ecosistema para responder a eventos estratégicos. Mientras tanto, actores individuales o alineados pueden movilizarse por separado para abordar necesidades tácticas, lo que permite al ecosistema comunicar simultáneamente diversos temas a través de diferentes geografías. Rusia demostró su capacidad para enfocar el ecosistema en un solo tema estratégico como la invasión rusa de Ucrania. Simultáneamente, activos discretos han abordado eventos tácticos, como cuando Portal Kombat promovió brevemente narrativas sobre una incursión de dron ruso en Polonia concurrentemente con otra actividad de influencia pro-Rusia encubierta. Los medios rusos abiertos contribuyen y están conectados con múltiples componentes de influencia encubiertos. Los componentes abiertos de la infraestructura de influencia de Rusia desempeñan un papel crítico dentro del ecosistema más amplio de influencia ruso más allá de la función comúnmente entendida de proporcionar una plataforma pública para narrativas alineadas con el gobierno y puntos de conversación oficiales; los medios abiertos ayudan a dirigir (informar apuntado) y amplificar la actividad de influencia pro-Rusia encubierta, sembrando narrativas deseadas dentro del ecosistema y proporcionando un conducto indirecto entre el Kremlin y una variedad dispersa de actores de influencia. Los medios abiertos han coordinado directamente su actividad con actores encubiertos y han empleado cada vez más tácticas de IO para diseminar su propio contenido frente a sanciones y prohibiciones en plataformas. Las sanciones del Gobierno de EE.UU. a finales de 2024 indicaron que la empresa estatal de medios de Rusia Russia Today (RT) llevó a cabo operaciones de influencia encubiertas, incluso en nombre de los servicios de inteligencia rusos. Además, los empleados de RT supuestamente interactuaron con miembros del grupo autoproclamado de hacktivistas RaHDit, que ha afirmado colaborar con múltiples otros grupos de hacktivistas pro-Rusia, ilustrando las conexiones en capas entre los medios abiertos, los servicios de inteligencia rusos y los grupos de hacktivistas. La subcontratación del desarrollo de capacidades de IO y ejecución de campañas a organizaciones y proxies de terceros permite la escalabilidad y el ocultamiento. La subcontratación se utiliza para desarrollar herramientas personalizadas y reforzar tanto la capacidad humana como organizativa. Mientras que el desarrollo de herramientas personalizadas facilita a los operadores en todas las fases del ciclo de vida de la IO, los actores del gobierno ruso pueden aprovechar de manera flexible diferentes modelos para subcontratar la ejecución de campañas en función de sus necesidades específicas. Los actores proxy también pueden generar denegación plausible. El GTIG informó cómo el contratista ruso de TI NTC Vulkan trabajó con los servicios de inteligencia rusos, incluso proporcionando herramientas y soporte para la unidad GRU que patrocina la actividad APT44. Por separado, las sanciones del gobierno de EE.UU. detallaron cómo la campaña Doppelganger es apoyada por múltiples contratistas rusos bajo el patrocinio de la Administración Presidencial rusa. Conclusión Múltiples factores están impulsando la evolución del ecosistema de influencia pro-Rusia que hemos observado desde la invasión a gran escala de Moscú a Ucrania hace cuatro años. El Kremlin movilizó todo el ecosistema para apoyar el conflicto en curso, lo que ha proporcionado retroalimentación rápida y generado una inversión significativa en nuevos y existentes activos de influencia abiertos y encubiertos. Al mismo tiempo, los actores pro-Rusia están experimentando cada vez más con IA generativa para mejorar sus flujos de trabajo. Este período condensado de adaptación, junto con señales que sugieren la creciente dependencia de Rusia en tácticas de IO para navegar nuevos desafíos, plantea preocupaciones sobre cómo un grupo potencialmente diversificado de actores aprovechará los avances en técnicas y escalabilidad. A medida que Rusia busca surgir de la aislación internacional y reorienta su ecosistema de influencia de nuevo hacia objetivos globales, es crítico para los defensores entender cómo este ecosistema proporciona al Kremlin una capacidad de influencia duradera para anticipar mejor futuras amenazas de influencia rusa. Herramientas y Recursos Adicionales Para recomendaciones de mitigación y reforzamiento, por favor revise lo siguiente: Cómo entender y aplicar la inteligencia de Mandiant sobre operaciones de información Preparación proactiva y reforzamiento para protegerse contra ataques destructivos Reforzamiento de puntos finales de Linux para protegerse contra malware y ataques destructivos Recomendaciones de protección contra ataques de denegación de servicio (DDoS) Google ofrece un conjunto de herramientas gratuitas para ayudar a proteger a los usuarios de alto riesgo de los ataques digitales más habituales, a los que a menudo son más vulnerables políticos, periodistas y campañas. Ejemplos incluyen proteger cuentas de ataques dirigidos con el Programa de Protección Avanzada y salvaguardar sitios web de campaña contra ataques DDoS con el Proyecto Shield.