Hacker prorruso en Palencia: 7 claves de la operación del FBI
Toni Martinez 
La Policía Nacional detuvo en Palencia a un presunto colaborador de varios grupos de hacktivismo prorruso.
La investigación vincula al detenido con grupos acusados de atacar infraestructuras críticas y actuar en favor de los intereses geopolíticos de Rusia. La Policía intervino equipos informáticos, dispositivos para almacenar criptomonedas y bloqueó una cartera de criptoactivos.
El hacker prorruso en Palencia investigado por la Policía Nacional fue detenido el pasado mes de marzo tras una alerta remitida por el FBI. Es un ciudadano italiano de 34 años que residía en España y al que se atribuye una presunta relación con varias estructuras de hacktivismo prorruso investigadas por ataques contra infraestructuras críticas de Estados Unidos y Europa.
La operación se ha conocido ahora, una vez avanzada la investigación. El caso está dirigido por la Audiencia Nacional y en él han participado unidades de información de la Policía Nacional y agentes del FBI.
Hacker prorruso en Palencia: la pista que llegó desde Estados Unidos
Todo comenzó en agosto de 2025. El FBI trasladó a los investigadores españoles información sobre la supuesta participación del sospechoso en una operación de apoyo logístico a un hacker ucraniano relacionado con CyberArmy of Russia Reborn, conocido como CARR.
Según la investigación, el detenido habría colaborado para facilitar la salida de ese hacker desde Ucrania hacia Rusia mediante una ruta que atravesaba Polonia y Bielorrusia. La Policía sostiene que también empleaba aplicaciones de mensajería cifrada para comunicarse con integrantes de distintos grupos, coordinar actuaciones y prestar apoyo a sus actividades.
Al hacker prorruso en Palencia se le atribuyen inicialmente delitos de pertenencia y colaboración con organización terrorista, enaltecimiento del terrorismo y daños informáticos. Las acusaciones son provisionales y deberán ser confirmadas durante el procedimiento judicial.
El registro y el rastro de las criptomonedas
Durante la entrada en su domicilio, los agentes intervinieron equipos informáticos y dispositivos destinados al almacenamiento de criptomonedas. También bloquearon una cartera de criptoactivos en la que, presuntamente, se ingresaban beneficios obtenidos mediante la comercialización de información derivada de la actividad investigada.
El análisis forense será determinante. Los especialistas reconstruirán comunicaciones, movimientos de fondos, posibles accesos a sistemas y vínculos con otros miembros. También deberán aclarar qué papel tenía el hacker prorruso en Palencia dentro de estas redes.
La operación encaja en un escenario donde las criptomonedas, la mensajería cifrada y los servidores distribuidos dificultan el seguimiento policial. En nuestra sección de ciberseguridad analizamos de forma habitual este tipo de amenazas y la respuesta de las unidades especializadas.
CARR, Z-Pentest y NoName057(16)
La Policía relaciona al detenido con CARR y Z-Pentest y le atribuye también participación en acciones de NoName057(16). El Ministerio del Interior sostiene que mantenía contacto con integrantes de varios grupos y prestaba apoyo a sus actividades.
El Departamento de Justicia de Estados Unidos considera que CARR, también identificado como Z-Pentest, fue fundado, financiado y dirigido por la inteligencia militar rusa, el GRU. El grupo habría reivindicado cientos de ataques contra sistemas industriales, instalaciones de agua y energía, organismos electorales y entidades vinculadas al sector nuclear.
NoName057(16), por su parte, se especializó en ataques distribuidos de denegación de servicio, conocidos como DDoS. Estas acciones buscan saturar páginas y servicios digitales hasta dejarlos temporalmente inaccesibles. En julio de 2025, Europol desmanteló más de un centenar de sistemas durante la Operación Eastwood, desarrollada con la participación de varios países, entre ellos España.
Hacker prorruso en Palencia y amenaza híbrida
El caso del hacker prorruso en Palencia muestra cómo el hacktivismo puede superar la propaganda digital y convertirse en una amenaza híbrida. Estas estructuras combinan ataques informáticos, apoyo logístico, criptomonedas y propaganda.
Algunas campañas DDoS tienen una capacidad técnica limitada. Sin embargo, su repetición puede interrumpir servicios públicos, generar alarma y erosionar la confianza en las instituciones. El riesgo aumenta cuando aparecen colaboradores establecidos en otros países.
La investigación deberá precisar si el detenido actuaba como operador técnico, intermediario, financiador, enlace logístico o en varias de esas funciones. La clave judicial no estará solo en sus contactos, sino en las actuaciones concretas que realizó y en su posible participación directa o indirecta en ataques informáticos.
La detención del hacker prorruso en Palencia confirma que estas redes no operan exclusivamente desde Rusia o Ucrania. Sus colaboradores pueden residir en terceros países y utilizar comunicaciones cifradas, criptomonedas y servidores distribuidos.
Este tipo de casos demuestra la importancia de la cooperación internacional y del trabajo de unidades especializadas, como las analizadas en nuestros reportajes sobre la UCCiber de la Guardia Civil y el Servicio de Información.
Palencia se convierte así en un punto inesperado de una investigación internacional que conecta seguridad interior, terrorismo, inteligencia y ciberdelincuencia. El alcance de la colaboración atribuida al detenido dependerá ahora del análisis de los dispositivos incautados y de las decisiones que adopte la Audiencia Nacional.