Desde la invasión rusa de Ucrania en 2022, el hacktivismo ha experimentado un resurgimiento significativo, afectando tanto al sector privado como al público mediante ataques de denegación de servicio distribuido (DDoS), desfiguraciones de sitios web y campañas de desinformación. Estos ciberataques suelen coincidir con eventos geopolíticos relevantes, y dado que en 2024 más de 50 países celebraron elecciones, se creó un terreno especialmente fértil para operaciones de influencia, como la difusión de propaganda y noticias falsas.

Los ataques DDoS se han intensificado en volumen y sofisticación. Un solo grupo hacktivista prorruso ha reivindicado más de 6.000 ataques desde marzo de 2022. Estos grupos son ahora más experimentados y recurren a servicios de DDoS por encargo y herramientas avanzadas. Para comprender mejor este complejo panorama de amenazas, el artículo analiza en profundidad el hacktivismo actual, examinando sus diversas facetas y vínculos con las tensiones geopolíticas, partiendo de investigaciones previas.

Contexto histórico del hacktivismo

El hacktivismo ha evolucionado a través de tres etapas clave. La primera, la era de la utopía digital, impulsada por ideales de construir una internet mejor, ejemplificada por grupos como el Chaos Computer Club (CCC). La segunda, la era antiestablishment, donde los hacktivistas exponían fallos en el desarrollo del ciberespacio, a menudo oponiéndose a poderes establecidos. La era actual, sin embargo, muestra grupos que pasan de acciones antiestablishment a alinearse con ciertas agendas estatales, un cambio de paradigma masivo respecto al hacktivismo tradicional, que rechazaba el control estatal. Ahora, las actividades patrocinadas por estados se transforman en operaciones de ciberguerra más que en hacktivismo tradicional.

Hacktivismo moderno

En la era moderna, los hacktivistas emplean técnicas más avanzadas que en el pasado, gracias a los avances tecnológicos y al intercambio de habilidades y herramientas en un modelo de economía compartida (a veces con intenciones maliciosas), además de que los hacktivistas respaldados por estados pueden tener acceso a mejores recursos. Los ataques DDoS han escalado exponencialmente en tamaño y sofisticación, con grupos modernos ejecutando ataques que generan miles de millones de solicitudes por segundo o consumen 3,8 terabits por segundo (Tbps) de ancho de banda.

Se observa un cambio significativo en los métodos operativos, especialmente una creciente dependencia de servicios de DDoS por encargo y herramientas de DDoS colaborativas. La naturaleza voluntaria de estos grupos les permite escalar ataques de manera más efectiva, ya que los participantes necesitan poca experiencia técnica y son incentivados con recompensas en criptomonedas. Esto contrasta con los primeros movimientos hacktivistas, motivados principalmente por causas ideológicas o políticas, no por recompensas financieras. Una explicación es que, a medida que la economía del ciberdelito evolucionó y los servicios de DDoS por encargo se volvieron más accesibles, la línea entre atacantes motivados financieramente y hacktivistas ideológicos comenzó a difuminarse.

Hoy, los grupos hacktivistas operan en células más pequeñas e independientes, y muchos de los grupos más prominentes se alinean con grandes potencias, lo que les permite actuar con menos temor a las autoridades y a ser procesados en comparación con grupos de épocas anteriores.

Caso práctico: ¿Cómo es el hacktivismo moderno?

Este estudio analiza uno de los grupos hacktivistas prorrusos más activos desde marzo de 2022, centrándose en sus estrategias de comunicación, construcción de narrativas e influencia geopolítica. También examina la alineación del grupo con actores estatales, sus valores y su papel en el ecosistema más amplio. Aunque el informe se centra en este grupo, su prominencia entre sus pares ofrece información valiosa sobre comportamientos y tácticas similares en todo este panorama de actores de amenaza.

Recopilación de datos

Los datos se recopilaron mediante el raspado sistemático del canal de Telegram del grupo hacktivista mensualmente durante dos años, de agosto de 2022 a agosto de 2024. El conjunto de datos incluye 3.214 mensajes únicos y 6.674 objetivos únicos, que abarcan una amplia gama de entidades atacadas por el grupo. Para garantizar la consistencia, el raspado se realizó a la misma hora cada mes.

Análisis

Antes de discutir los datos, es importante resumir los temas recurrentes en las publicaciones prorrusas de Telegram. Estas narrativas no son exclusivas de un grupo, sino comunes entre varios actores cibernéticos prorrusos. El grupo enmarca sus acciones como represalias por la rusofobia, el apoyo occidental a Ucrania o las sanciones a Rusia. Los mensajes a menudo se burlan de las naciones objetivo, critican a los líderes por priorizar Ucrania sobre problemas internos y utilizan un lenguaje militarista, posicionándose como guerreros cibernéticos que defienden los intereses de Rusia, alineándose con narrativas más amplias de resistencia a la influencia occidental.

Victimología

Las actividades del grupo contra sus objetivos sirven tanto como herramienta de disrupción como declaración simbólica contra naciones específicas. Al atacar organizaciones vinculadas a servicios cotidianos, retaliación contra agravios percibidos y expresan desaprobación de la postura política de la nación, especialmente en relación con Rusia y Ucrania. Su estrategia busca influir en la percepción internacional y crear inestabilidad doméstica. Los ataques a servicios como transporte público o sistemas bancarios resaltan la vulnerabilidad institucional, reforzando la narrativa de que el Estado no protege a sus ciudadanos.

¿Qué nos dicen los datos?

En 3.214 mensajes se identificaron 6.674 objetivos de los sectores público y privado, con un promedio de unos 280 objetivos por mes. El volumen de mensajes fluctuó, sugiriendo campañas organizadas probablemente alineadas con eventos políticos o militares clave. En septiembre y octubre de 2023 se observó un aumento significativo de actividad, afectando especialmente a Alemania, Finlandia, República Checa, Canadá, Reino Unido y Suecia, coincidiendo con días festivos nacionales, reuniones internacionales y escándalos de alto perfil.

Principales 25 países objetivo

Los datos muestran que 42 países distintos fueron atacados, con el 96% ubicados en Europa. Ucrania y países de Europa del Este como Polonia, República Checa y Lituania fueron fuertemente atacados. Las naciones de Europa Occidental como Alemania, Italia y Francia también sufrieron ataques significativos, reflejando sus roles de liderazgo en la OTAN y la UE. Francia fue atacada explotando el malestar social, alineándose con protestas de agricultores. España vio un aumento tras la detención de dos individuos vinculados al grupo. Finlandia y Moldavia destacan por un alto volumen de ataques a pesar de su menor implicación directa en la guerra. Canadá aparece inusualmente alta entre los objetivos no europeos, reflejando el alcance global de Rusia contra países alineados con la OTAN. Es notable la ausencia de Estados Unidos, posiblemente debido a un enfoque en objetivos europeos por su proximidad al conflicto.

Impactos geopolíticos

El análisis revela un apoyo consistente a protestas antieuropeas, en particular las protestas de agricultores en Polonia, Bélgica y Alemania. Múltiples elecciones europeas (Reino Unido, Francia, Finlandia, Austria, Bélgica) y días de independencia nacional (Ucrania y Polonia) fueron temas frecuentes. La interferencia electoral marcó una escalada, buscando socavar la confianza pública en el sistema electoral. El grupo también respondió a conferencias internacionales atacando al país anfitrión o en respuesta a comentarios específicos.

Resumen

El grupo prorruso observado durante 2,5 años reivindicó más de 6.600 ataques entre agosto de 2022 y agosto de 2024, con el 96% de sus víctimas en Europa, alineándose con su postura anti-OTAN y antioccidental. Sorprendentemente, no se observaron ataques contra objetivos estadounidenses. El grupo se centra en sectores de servicios esenciales como finanzas, transporte, educación y gobierno, buscando desestabilizar la sociedad. Los sistemas de votación en países como Francia, Reino Unido, Finlandia, Bélgica y Austria fueron atacados durante las elecciones, amenazando la integridad electoral. Estos ataques se alinean estrechamente con las narrativas del estado ruso, sugiriendo una posible influencia estatal.

Recomendaciones

  • Implementar controles de seguridad estándar como protección DDoS, mitigación de vulnerabilidades y gestión de superficie de ataque.
  • Monitorear continuamente las amenazas en evolución y utilizar inteligencia de amenazas actualizada.
  • Desarrollar planes de respuesta a incidentes y gestión de crisis que cubran tanto la recuperación técnica como las comunicaciones públicas.
  • Monitorear canales sociales y de medios para detectar desinformación y responder rápidamente para desmentir afirmaciones falsas.
  • Comunicarse de manera proactiva con actualizaciones transparentes para mantener la confianza de las partes interesadas.
  • Colaborar con expertos en relaciones públicas para elaborar mensajes consistentes y creíbles.
  • Educar al público para reconocer la desinformación, fomentando la resiliencia contra la manipulación.