Conclusiones del Documento de Opinión IEEE 55/2025 “La desinformación rusa y el ciber-terrorismo de falsa bandera: el caso del ciber-califato” de Manuel R. Torres Soriano, catedrático de Ciencia Política de la Universidad Pablo de Olavide de Sevilla @mrtorsor. enlace web IEEE (Instituto Español de Estudios Estratégicos), dependiente del Ministerio de Defensa
Se analiza cómo el Estado ruso ha instrumentalizado el terrorismo yihadista como parte de su estrategia de desinformación, utilizando el caso del ciber-Califato como ejemplo paradigmático. A lo largo de 2015, se atribuyeron a este grupo varios ciber-ataques, entre ellos la intrusión a TV5Monde y amenazas personalizadas a familias de militares estadounidenses. Aunque inicialmente se creyó que eran obra del grupo terrorista Estado Islámico, investigaciones posteriores demostraron que eran operaciones de falsa bandera coordinadas por la inteligencia militar rusa (APT28).
Esta campaña aprovechó el miedo occidental al terrorismo para desviar la atención, provocar reacciones políticas desproporcionadas y legitimar la narrativa del Kremlin. Este tipo de acciones erosionan la confianza pública, contaminan el análisis de amenazas y distorsionan la respuesta política. Se destaca la necesidad de estrategias eficaces de atribución y coordinación entre agencias de seguridad para contrarrestar futuras operaciones híbridas.
El despliegue de la falsa bandera del ciber-terrorismo tuvo la intención de desviar la atención de las propias actividades de Rusia en Ucrania a lo largo de 2014 y reforzar su narrativa de lucha contra el “terrorismo” en Siria, incluyendo el uso indiscriminado de la violencia contra todo tipo de opositores al régimen de Basar Al-Assad.
El precedente del Ciber-Califato debe ser entendido como un ensayo general de tácticas que hoy día se han convertido en una manifestación habitual de la guerra híbrida. La combinación de ciberataques, desinformación y manipulación de amenazas terroristas falsas anticipa el tipo de conflictos asimétricos que protagonizarán los próximos años.
El Kremlin sigue anclado en esta doble necesidad: desviar la atención internacional frente a sus transgresiones del orden internacional y legitimar su acción exterior, lo que nos debería llevar a contemplar la posibilidad de una campaña similar pueda reeditarse.
Una lección fundamental es que el éxito de este tipo de operaciones de desinformación se sustenta en la verosimilitud de la amenaza que parasitan. El lapso entre el ataque y una correcta identificación resulta crítico. La atribución de los ciberataques es intrínsecamente difícil, y cuando un Estado intenta activamente trasferir su responsabilidad a un tercero, el reto se agrava. Durante ese tiempo, la narrativa inicial, aunque falsa, puede consolidarse en la opinión pública, haciendo posible que se adopten decisiones basadas en premisas erróneas.
Las operaciones de falsa bandera pueden ser muy eficaces a corto plazo ya que corregir unos hechos adulterados es un proceso lento. Una vez establecida una narrativa que culpa a los terroristas, volver a atribuir la culpa a un actor estatal implica explicaciones técnicas que pueden no captar la atención del público de forma tan dramática.
Prueba de ello es que una década después todavía es posible encontrar informes profesionales, artículos periodísticos y presentaciones en el ámbito de la ciber-seguridad que siguen empleando de manera inconsciente el material elaborado por esta APT rusa como si se tratase de contenido yihadista.
Las agencias de seguridad deben invertir no sólo en capacidades técnicas de atribución, sino también en estrategias de comunicación pública que gestionen la incertidumbre de forma transparente y eficaz, evitando caer en las trampas tendidas por los desinformadores.
Los promotores de estas campañas intentarán obstruir el proceso de atribución para que los investigadores malgasten sus recursos limitados persiguiendo pistas falsas o cometan errores transfiriendo la culpabilidad a otros actores.
Para ello los gobiernos deben actualizar sus estrategias antiterroristas para reconocer que los regímenes autocráticos no tienen problema en instrumentalizar la amenaza terrorista. Esto implica una coordinación más estrecha entre los organismos que luchan contra esta violencia y los que rastrean las operaciones cibernéticas patrocinadas por los estados.
Cuando se produce un incidente cibernético con una aparente identidad terrorista, los mecanismos de intercambio de información entre ambos sectores de la seguridad pública deberían estar lo suficientemente engrasados como para hacer posible una evaluación inmediata de la situación sin tener que improvisar mecanismos de coordinación entre dos mundos que no pueden permitirse el lujo de estar desconectados entre sí.
