El 13 de julio de 2026, en vísperas de la fiesta nacional, Francia y la Unión Europea atribuyeron oficialmente varias operaciones de ciberespionaje dirigidas contra intereses franceses al 16.º Centro del FSB ruso, a través de un modus operandi conocido como Turla.

Este anuncio se produce poco más de un año después de que se atribuyera públicamente otra serie de ataques a APT28, un conjunto de actividades vinculadas en esta ocasión al GRU, el servicio de inteligencia militar ruso.

Para un lector poco familiarizado con la ciberseguridad, estos nombres pueden parecer abstractos. Sin embargo, Turla, APT28, FSB o incluso GRU designan realidades diferentes que es fundamental distinguir para comprender el alcance de estos anuncios.

¿Qué significa realmente una APT?

En el ámbito de la ciberseguridad, los equipos de inteligencia sobre amenazas agrupan bajo una misma denominación las campañas de ataques que presentan características comunes. Analizan, en particular, las técnicas empleadas, las infraestructuras utilizadas, el software malicioso desplegado, los sectores atacados o incluso los hábitos operativos de los atacantes.

Estas agrupaciones suelen denominarse APT, siglas de Advanced Persistent Threat («amenaza persistente avanzada»).

El término hace referencia a actividades llevadas a cabo por actores que disponen de importantes recursos y son capaces de actuar de forma discreta durante un largo periodo de tiempo con el fin de alcanzar objetivos estratégicos, ya sea espionaje, influencia o sabotaje.

Por lo tanto, una APT no se corresponde necesariamente con una unidad identificada oficialmente. Se trata, ante todo, de un conjunto de actividades cibernéticas lo suficientemente coherentes como para ser agrupadas bajo una misma denominación.

APT28: el modus operandi asociado a la inteligencia militar rusa

APT28 designa un modus operandi de ataque activo desde al menos 2004. Según los editores de ciberseguridad, también se conoce con los nombres de Fancy Bear, Sofacy o Pawn Storm.

Las autoridades francesas atribuyen las actividades asociadas a APT28 al GRU, la Dirección Principal de Inteligencia del Estado Mayor ruso.

El GRU es el servicio de inteligencia militar de Rusia. Recopila información en el extranjero y respalda los intereses militares y estratégicos del país.

Las campañas atribuidas a APT28 suelen tener como objetivo gobiernos, ministerios, ejércitos, partidos políticos, medios de comunicación, empresas de defensa, organismos de investigación o incluso infraestructuras críticas.

Aunque la recopilación de información sigue siendo su objetivo principal, estas operaciones también pueden formar parte de campañas de influencia, de desestabilización o de preparación de acciones más ofensivas.

Turla: una actividad de ciberespionaje atribuida al FSB

Turla es también un modus operandi activo desde al menos 2004.

Las autoridades francesas atribuyen las actividades asociadas a Turla al 16.º Centro del FSB, el Servicio Federal de Seguridad de la Federación de Rusia.

El FSB es uno de los principales servicios de inteligencia rusos. Interviene principalmente en los ámbitos de la seguridad interior, el contraespionaje y la inteligencia, al tiempo que dispone también de capacidades ofensivas en el ciberespacio.

Las campañas atribuidas a Turla se dirigen principalmente a organizaciones de interés estratégico: administraciones, embajadas, organismos de defensa, instituciones judiciales, empresas tecnológicas, centros de investigación o incluso personas que poseen información sensible.

A diferencia de los grupos de ciberdelincuentes que buscan un beneficio económico inmediato, el objetivo no suele ser cifrar los datos ni exigir un rescate, sino mantener un acceso discreto al sistema de información para recabar información de forma continuada.

Para lograrlo, los operadores de Turla recurren, entre otras cosas, a campañas de phishing dirigidas, al aprovechamiento de vulnerabilidades, al compromiso de servidores de correo electrónico o incluso a software falso que imita aplicaciones legítimas.

También pueden comprometer una primera organización sin intentar robarle información directamente. Su infraestructura se convierte entonces en un relé que permite ocultar un ataque dirigido contra otro objetivo.

Dos actores diferentes, con objetivos a veces similares

Aunque ambos están vinculados a los servicios de inteligencia rusos, Turla y APT28 corresponden a dos conjuntos de actividades distintos.

El primero se atribuye al FSB, mientras que el segundo está vinculado al GRU. Sus objetivos pueden coincidir en ocasiones, sobre todo cuando se trata de recabar información diplomática, militar o tecnológica, pero sus equipos, sus herramientas y sus cadenas de mando se consideran distintos.

Esta distinción es importante. Hablar simplemente de «hackers rusos» oculta la diversidad de los actores implicados, así como las misiones específicas de cada uno de los servicios de inteligencia rusos.

Una amenaza discreta y duradera

Las actividades de Turla y APT28 demuestran que el ciberespionaje estatal no siempre adopta la forma de un ataque espectacular. El objetivo suele ser infiltrarse discretamente en un sistema de información, recopilar mensajes, documentos o credenciales, y luego mantener ese acceso durante varios meses, o incluso varios años.

Las filtraciones mencionadas por las autoridades francesas afectan, en particular, a ministerios, representaciones diplomáticas, organismos judiciales o incluso empresas que desarrollan tecnologías sensibles.

Técnicas conocidas, utilizadas con método

La sofisticación de grupos como Turla o APT28 no se basa únicamente en herramientas complejas. También aprovechan técnicas ampliamente conocidas: campañas de phishing, robo de credenciales, vulnerabilidades sin corregir, sitios web de inicio de sesión falsos o equipos expuestos a Internet y con una supervisión insuficiente.

Su verdadera fuerza reside en su capacidad para combinar estos métodos, adaptarlos a sus objetivos y aprovechar infraestructuras perfectamente legítimas —proveedores de alojamiento en la nube, VPN, plataformas gratuitas o servidores ya comprometidos— con el fin de que sus actividades resulten mucho más difíciles de detectar.

La atribución, un ejercicio especialmente complejo

Atribuir un ciberataque consiste en identificar a su verdadero autor.

Esta tarea resulta especialmente delicada, ya que los atacantes utilizan identidades falsas, infraestructuras repartidas por varios países, equipos que pertenecen a víctimas intermedias y, en ocasiones, incluso herramientas ya empleadas por otros grupos.

Por lo tanto, una simple dirección IP localizada en Rusia no permite, evidentemente, concluir que el Estado ruso esté implicado.

Por el contrario, la atribución se basa en un conjunto de indicios: las herramientas empleadas, las infraestructuras utilizadas, las técnicas de ataque, la elección de las víctimas, los hábitos operativos de los atacantes, ciertos errores que pueden cometer, así como la información procedente de los servicios de inteligencia.

En Francia, esta labor se lleva a cabo, en particular, en el seno del Centro de Coordinación de Crisis Cibernéticas (C4), que reúne a la ANSSI, el COMCYBER, la DGA, la DGSE y la DGSI, así como, en su vertiente estratégica, al Ministerio de Europa y de Asuntos Exteriores.

Esta organización permite combinar los análisis técnicos, la experiencia militar y la información recopilada por los distintos servicios del Estado.

Del análisis técnico al mensaje diplomático

Una atribución pública no es únicamente una conclusión técnica.

Incluso cuando los expertos disponen de pruebas especialmente sólidas, la decisión de señalar oficialmente a un Estado es también una decisión política.

La publicación del nombre de Turla, del FSB y de su 16.º Centro ilustra así la voluntad francesa de transformar los resultados del análisis técnico en un mensaje diplomático dirigido a Rusia.

Este enfoque puede analizarse como una forma de disuasión a través de la transparencia: demostrar que las operaciones ofensivas se detectan, se comprenden y, finalmente, se atribuyen a sus responsables.

Aunque es evidente que esta estrategia no hace desaparecer la amenaza, reduce progresivamente la ventaja que proporciona el anonimato en el ciberespacio y facilita la coordinación de las respuestas europeas.

¿Qué lecciones pueden extraer las empresas?

Estas campañas nos recuerdan que una organización puede ser objeto de un ataque no por la información que posee, sino por el acceso que tiene a un cliente, un socio o una administración. También puede verse comprometida para que sus servidores sirvan de relé en un ataque dirigido a otra víctima.

Por lo tanto, la ciberseguridad debe concebirse a escala de toda la cadena de confianza: subcontratistas, proveedores de alojamiento, proveedores de servicios informáticos, editores de software, proveedores de servicios en la nube o socios.

Por último, estas operaciones nos recuerdan que la prevención no basta. Las empresas también deben ser capaces de detectar comportamientos anómalos, conservar registros técnicos útiles y llevar a cabo investigaciones rápidas cuando se sospeche de una intrusión.

Más allá de la mera protección técnica, los casos de Turla y APT28 ilustran una realidad que se ha vuelto ineludible: comprender un ciberataque ya no consiste únicamente en analizar un malware o una vulnerabilidad, sino también en identificar los intereses estratégicos que se persiguen, los actores implicados y el lugar que ocupa cada organización en una cadena de ataque mucho más amplia.