El arsenal invisible: amenazas híbridas para las elecciones españolas de 2026

De un español que recluta para Rusia desde Moscú a las granjas de páginas vietnamitas: una investigación de fuentes abiertas sobre las redes, los mercenarios digitales y las armas de influencia que apuntan a las elecciones generales de España del 29 de noviembre de 2026.

Resumen ejecutivo

España vota el 29 de noviembre de 2026. Antes de las elecciones, Golden Owl® descubrió un diverso arsenal de amenazas híbridas contra la integridad electoral y la seguridad nacional de España. Un politólogo español afincado en Moscú recluta a compatriotas como informantes, cibervoluntarios remunerados en criptomonedas y soldados para el Ejército ruso. Páginas de noticias «españolas» son operadas desde Vietnam. Una cuenta radicada en el extranjero amplificó una narrativa de sabotaje tras el desastre ferroviario de Urda, que superó las 600.000 visualizaciones, mientras que las acusaciones de elecciones robadas pasaron de Brasil al debate político español en menos de media hora. Junto a estos casos, la investigación expone amplificación coordinada, medios sintéticos, identidades engañosas en línea e infraestructura digital clandestina. No se trata necesariamente de componentes de una misma operación, sino de actividades distintas que demuestran la variedad de métodos y actores capaces de influir en el entorno político de España.

La investigación fue realizada por Golden Owl®, un sistema operativo de inteligencia, mediante Noctua™, su plataforma Intelligence-as-a-Service (IaaS). Durante once semanas, del 20 de agosto al 5 de noviembre de 2026, incluido el periodo anterior al anuncio de las elecciones, Golden Owl recopiló 54.737 elementos únicos en Facebook, Instagram, TikTok, YouTube, X y Telegram. Identificó 41.509 elementos relacionados con las elecciones, sometió 28.516 a un análisis detallado y cartografió 10.773 cuentas. La investigación combinó registros de transparencia de las plataformas, análisis de redes y narrativas, patrones de reenvío en Telegram e inteligencia procedente de la dark web. Esto incluyó el examen de 528 documentos de la dark web, complementado con investigaciones específicas que descubrieron anuncios de venta de más de 13 millones de registros de identidad españoles y 113.000 combinaciones de correo electrónico y contraseña, además de infraestructura expuesta vinculada a granjas de contenido operadas desde el extranjero.

Los hallazgos revelan una amenaza para la seguridad nacional que va más allá de la desinformación electoral convencional. La investigación cartografió 3.284 conexiones de red distribuidas en 58 comunidades, documentó actividades de reclutamiento vinculadas a actores extranjeros y dirigidas contra ciudadanos españoles, y rastreó narrativas que cruzaron fronteras y alcanzaron a grandes audiencias en cuestión de minutos. Una narrativa de elecciones robadas llegó desde América Latina en solo 29 minutos, mientras que canales coordinados de Telegram publicaron acusaciones idénticas de fraude electoral en el mismo segundo. Estas operaciones demuestran cómo el reclutamiento, los activos mediáticos controlados desde el extranjero, la infraestructura comercial, los datos personales comprometidos y la amplificación rápida pueden converger para explotar las tensiones políticas y socavar la confianza institucional. Aunque su efecto mensurable en el comportamiento electoral sigue sin determinarse, la evidencia expone un arsenal diversificado de capacidades de influencia e injerencia con implicaciones directas para la seguridad electoral y la resiliencia nacional de España.

En conjunto, estos hallazgos revelan un arsenal diversificado de amenazas híbridas: una red vinculada a Rusia que recluta a españoles, audiencias gestionadas desde el extranjero y creadas mediante engaño de pago, cadenas internacionales de retransmisión consolidadas, narrativas fabricadas capaces de propagarse en cuestión de minutos y datos personales comprometidos disponibles para su explotación. Se trata de operaciones distintas, con actores, objetivos y grados de atribución diferentes, pero sus capacidades pueden reforzarse mutuamente. La preocupación inmediata va más allá de la manipulación ya documentada: redes y narrativas consolidadas están en condiciones de explotar el plazo del voto por correo del 19 de noviembre, la noche electoral y la movilización prevista para el día siguiente. La investigación expone estas capacidades, sus métodos operativos y sus implicaciones para la integridad electoral y la seguridad nacional de España.

Figura 1. Dónde se origina la actividad documentada en este informe, centrada en España. Cada origen se establece mediante un registro de plataforma (país de los administradores de Meta, «cuenta con sede en» de X, país de publicación de TikTok), una fuente de reenvío de Telegram o un índice de la dark web; el grosor de las líneas es proporcional al alcance observado.

Alcance, tratamiento y aviso de publicación

Este informe presenta una evaluación de inteligencia de fuentes abiertas, basada en evidencia, sobre las amenazas híbridas que afectan al entorno electoral y a la seguridad nacional de España antes de las elecciones generales del 29 de noviembre de 2026. Examina actividades de influencia engañosa vinculadas al extranjero, captación, ciberamenazas, amplificación coordinada e infraestructura digital asociada. La investigación abarca del 20 de agosto al 5 de noviembre de 2026, incluida la actividad anterior al anuncio de las elecciones. Se basa en información de acceso público, metadatos publicados por plataformas, fuentes de la web profunda y de la dark web, y análisis de investigación realizados a través de Noctua™, la plataforma de Intelligence-as-a-Service (IaaS) de Golden Owl.

La investigación se centra en identificar a los actores operativos, los intermediarios, las redes, las capacidades y los métodos, en lugar de dar por sentada la identidad de un patrocinador último o de una autoridad encargante. Los hallazgos distinguen entre actividades observadas directamente, registros de plataformas, afirmaciones de terceros, inferencias analíticas e hipótesis de atribución. Las conexiones entre actores o las similitudes de comportamiento no demuestran, por sí solas, que exista un control operativo común. Las evaluaciones de confianza reflejan la solidez de la evidencia disponible y sus limitaciones.

Golden Owl no expresa preferencia por ningún partido político, candidato ni resultado electoral. La competencia política legítima, la crítica, la protesta, la sátira y la defensa de posiciones partidistas no se consideran manipulación. La investigación se centra en indicadores observables como identidades engañosas, información fabricada, comportamiento coordinado no auténtico, instrucciones electorales engañosas e infraestructuras relevantes vinculadas al extranjero, con independencia de la orientación política.

Los nombres de cuentas y los identificadores permiten reconocer activos en línea, pero no necesariamente establecen la identidad legal de quienes los operan. Cuando se habla de personas identificables, el informe distingue entre conductas documentadas, alegaciones y evaluaciones de responsabilidad. La inclusión en la investigación no constituye, por sí misma, una acusación de conducta delictiva ni de dirección por parte de un Estado extranjero. Se omiten o se censuran los datos personales sensibles, las credenciales y las identidades que no guardan relación con los hallazgos de interés público. Los anuncios en la dark web se evalúan como evidencia de que se ofrecen datos, sin presuponer que los conjuntos de datos subyacentes sean auténticos, estén actualizados o se hayan verificado de forma independiente en su totalidad.

La investigación se basó en la recopilación y el análisis no intrusivos de fuentes y registros accesibles, sin acceder sin autorización a sistemas ni cuentas privadas. La evidencia se documentó mediante registros de plataformas fechados, hallazgos de la investigación y capturas de pantalla, y se hicieron constar las limitaciones pertinentes. La información de las plataformas y los contenidos en línea pueden cambiar tras su recopilación; los hallazgos reflejan la evidencia disponible en la instantánea de investigación indicada.

1. La investigación

1.1 Preguntas y escala

La investigación examinó cuatro cuestiones: qué actividades engañosas, coordinadas u hostiles podrían afectar al entorno electoral y a la seguridad nacional de España; qué actores, intermediarios y capacidades digitales están implicados; cómo se propagan las narrativas y las operaciones entre plataformas y fronteras nacionales; y qué riesgos plantean estas actividades antes, durante y después de la votación del 29 de noviembre. El objetivo era identificar redes operativas, métodos y participantes, sin presuponer quién las patrocina en última instancia.

La recopilación se llevó a cabo del 20 de agosto al 5 de noviembre de 2026, antes de que se anunciaran las elecciones, el 5 de octubre. La investigación se desarrolló en dos fases: la primera, hasta el 20 de octubre, examinó Facebook, Instagram, TikTok y YouTube; la segunda incorporó X, Telegram y fuentes de la dark web, y volvió a examinar los activos identificados previamente. Una cronología de referencia, fechada y basada en acontecimientos verificados -entre ellos, el anuncio de las elecciones, las resoluciones judiciales pertinentes, el desastre ferroviario de Urda y las advertencias oficiales sobre injerencias- ayudó a distinguir la cobertura factual de las afirmaciones fabricadas, las interpretaciones engañosas y la manipulación coordinada.

De los 41.509 elementos pertinentes para las elecciones, 28.516 se sometieron a un análisis detallado; la cobertura informativa rutinaria de los principales medios se clasificó sin una evaluación investigativa exhaustiva. El corpus pertinente contiene 10.773 cuentas. Se evaluó la relevancia del contenido para las audiencias españolas, diferenciando los acontecimientos políticos latinoamericanos sin relación con España de las narrativas adaptadas posteriormente o dirigidas a las elecciones españolas.

1.2 Cómo se construyó la evidencia

La investigación fue realizada por Golden Owl®, un sistema operativo de inteligencia, mediante Noctua™, su plataforma Intelligence-as-a-Service (IaaS). La metodología combina la recopilación de fuentes abiertas a gran escala, el análisis asistido por IA, la reconstrucción de redes y las investigaciones específicas, con la verificación por analistas de los hallazgos presentados en este informe. Las principales capas analíticas fueron:

Figura 2. Elementos recopilados y elementos pertinentes por plataforma.

Figura 3. La indicación «cuenta ubicada en» de X para los 3.402 autores de la conversación sobre amenazas electorales en X, del 20 de octubre al 4 de noviembre de 2026. España representa el 74 %; Argentina, México, Colombia, Estados Unidos y Perú encabezan el resto.

1.3 Indicadores, niveles y confianza

Las cuentas se evaluaron mediante indicadores agrupados en cinco categorías: origen registrado por la plataforma, identidad e historial, comportamiento, contenido y relaciones de red. Los niveles de riesgo reflejan la combinación de indicadores, no señales aisladas. Su finalidad es identificar y priorizar las cuentas que requieren atención investigativa; por sí solos, no acreditan una intención engañosa, control extranjero ni atribución a un actor concreto.

La investigación distingue tres niveles de evaluación:

Estas evaluaciones son independientes: la sólida evidencia de coordinación no permite necesariamente determinar la identidad del operador o del patrocinador.

Se entiende por manipulación de información e injerencia extranjeras (FIMI, por sus siglas en inglés) la actividad engañosa o manipuladora de actores extranjeros dirigida contra procesos políticos, instituciones o el debate público. La administración de una cuenta desde el extranjero no constituye por sí sola evidencia suficiente de FIMI sin indicadores conductuales o contextuales adicionales.

Un canal repetidor es una cuenta o canal que redistribuye principalmente material de fuentes identificables y que puede alterar la percepción de la audiencia sobre su procedencia. Un acontecimiento fabricado es un contenido que presenta como real una declaración, reunión, decisión o incidente cuando el hecho subyacente no ocurrió. Estas definiciones se aplican de manera sistemática en toda la investigación.

2. El entorno informativo antes del 29N

En el conjunto de la recopilación, 3.994 elementos analizados alegan fraude electoral: fraude genérico (1.483), voto por correo (1.021), votantes fallecidos o falsos en el censo electoral (760), nuevos ciudadanos o extranjeros que votan (397), el recuento o su software (274), compra de votos (46) y las propias encuestas (13). 1.075 elementos describen procedimientos de votación que contradicen los oficiales; 716 son presuntos medios sintéticos; 587 difunden encuestas manipuladas o desactualizadas; 79 suplantan a instituciones, medios de comunicación o figuras públicas. Las técnicas predominantes son la difusión del miedo, las acusaciones de fraude sin evidencia, el cebo de indignación y la polarización.

Figura 4. Volumen diario de las principales narrativas, del 20 de agosto al 4 de noviembre de 2026. El contenido sobre fraude estaba listo el día en que se convocaron las elecciones (5 de octubre) y se disparó en cuestión de horas; las dos semanas anteriores a la instantánea suman tres picos: una polémica sobre medios sintéticos (21-23 de octubre), la transferencia de Brasil (25-26 de octubre) y el accidente de Urda (28-30 de octubre).

La cronología indica que los relatos de fraude electoral ya estaban asentados antes de los principales acontecimientos de campaña y que, posteriormente, se adaptaron para incorporar novedades en cuestión de horas. Este patrón apunta a la existencia de marcos narrativos, audiencias y canales de distribución preexistentes, capaces de aprovechar los acontecimientos con rapidez. El debate político legítimo sobre el voto por correo, el censo electoral y el recuento de votos no es objeto de esta investigación. El informe se centra en la infraestructura subyacente que amplifica y distorsiona esos debates: audiencias creadas en el extranjero, redes de retransmisión que importan relatos extranjeros, acontecimientos inventados y medios sintéticos que magnifican la dimensión aparente de la controversia.

Figura 5. Indicadores de riesgo por plataforma en las publicaciones pertinentes. Las acusaciones de fraude predominan en Facebook e Instagram; TikTok concentra la mayoría de las señales de medios sintéticos y publicaciones extranjeras.

Parte I. La red de Rusia dentro de España

La edición de octubre de esta investigación halló una cadena de canales repetidores de Telegram que lleva Sputnik, TASS y Rybar al espacio en español. Seguir esa cadena hasta el final condujo al hallazgo más grave de toda la investigación, y no tiene que ver con los medios rusos. Tiene que ver con los españoles. En el centro del ecosistema en español favorable al Kremlin se encuentra un canal gestionado desde Moscú por un ciudadano español, bajo la protección del Estado ruso, que dedica la campaña electoral española a reclutar a otros españoles: como cibervoluntarios remunerados en criptomonedas, como informantes contra sus propios funcionarios y como soldados contratados para el Ejército ruso. En torno a él, un anillo de canales en español con medio millón de suscripciones lleva el relato del Kremlin sobre las crisis de España tanto a la extrema derecha como a la extrema izquierda españolas. Lo que sigue está documentado en el registro público de los propios canales, en declaraciones judiciales y policiales españolas y en los medios de comunicación estatales rusos que le dieron una plataforma. Se afirma con confianza alta.

Figura 6. Así opera la red: fuentes rusas (medios estatales, colectivos hacktivistas, instituciones, milblogueros) alimentan un nodo central en Moscú dirigido por un español; el nodo central traduce, recluta e intimida; un círculo de canales en español redistribuye los marcos narrativos en cuestión de minutos; canales políticos españoles con audiencias de seis cifras los hacen llegar a los votantes.

3. El nodo central: un español en Moscú

"Desinformador Ruso" (@musicarusaesp, 14.542 suscriptores el 5 de noviembre de 2026) se describe como «Inteligencia rusa, ciberguerra, guerra cognitiva, guerra memética y agitprop» y ofrece un único contacto: el bot @desdemoscubot («desde Moscú»). Lo dirige Enrique Arias Gil, politólogo madrileño: licenciado por la Universidad Complutense, doctor en Seguridad Internacional por el Instituto Universitario General Gutiérrez Mellado de la UNED (defendió su tesis el 4 de junio de 2019), antiguo profesor en una universidad privada madrileña y miembro de dos think tanks españoles de seguridad. Ha declarado ante las cámaras y en su propio nombre que es un «exciudadano español, exiliado y refugiado en la Federación de Rusia». La policía española lo incluyó en la lista europea de los más buscados el 12 de septiembre de 2025. Describe su trabajo anterior como análisis de inteligencia «siempre en el sector privado y en una universidad privada»: no fue agente del CNI ni del Ministerio de Defensa, y este informe no lo presenta como tal. Lo que sí fue, según su propia descripción, es un hombre formado para infiltrarse en grupos radicales en España. Ahora aplica esa formación en sentido inverso.

Tres aspectos distinguen este nodo central de los canales repetidores descritos más adelante en este informe. En primer lugar, no es anónimo: su operador ha concedido entrevistas a TASS y El Ciudadano con su nombre, y los tribunales españoles lo han identificado. En segundo lugar, no es un proyecto mediático: la actividad principal del canal consiste en traducir al español las reivindicaciones de ataques de NoName057(16), Z-Pentest Alliance, TwoNet y Z-Alliance, y publicarlas junto con las pruebas de check-host de los propios grupos en menos de una hora. También puso en marcha los canales espejo en español de los grupos (@noname05716_esp, 473 miembros; @nnm05716espvers, 260; ambos fueron eliminados y creados de nuevo, tal como promete el propio bot del nodo central: «Telegram elimina a menudo nuestros canales … si los banean, os enviará enlaces actualizados»). En tercer lugar, tiene un objetivo: la propia comunidad de seguridad del Estado español, sobre la que filtra información, a la que amenaza y a cuyos miembros intenta reclutar. En su respuesta al Senado, el Gobierno español calificó de «mínimo» el impacto técnico de la oleada de NoName de octubre de 2025 en los sistemas españoles. El objetivo de la operación nunca fue dejar los sistemas fuera de servicio. Era transmitir a los españoles que sus instituciones están expuestas e invitarlos a contribuir a exponerlas.

Figura 7. Instantáneas del número de suscriptores del canal del nodo central, registradas en rastreos fechados, de junio de 2025 a noviembre de 2026. El canal es pequeño y persistente; cada operación contra España y cada ciclo de noticias en la prensa española sobre su responsable le suman seguidores.

4. Reclutar españoles: voluntarios cibernéticos, informantes y soldados

Entre el 21 de octubre y el 3 de noviembre de 2026, mientras España enterraba a los muertos de Urda y sus ciudades contenían los disturbios de Blocus, el nodo central publicó en español, para el público español, las siguientes ofertas. Todas conducen al mismo bot.

La formulación importa. El llamamiento a informantes se dirige al «ciudadano y funcionario español», a personas que ocupan cargos públicos, y solicita «información confidencial» y «datos personales de funcionarios». Promete que el material será «tratado adecuadamente» y que «les daremos lo que merecen a nuestra manera». El anuncio de reclutamiento de soldados es una oferta rusa estándar de alistamiento, traducida para los españoles, con el visado y el vuelo pagados, una prima de incorporación de 25,000 dólares y un pasaporte al final; solo excluye los pasaportes de «países aliados: Cuba, Nicaragua y Venezuela». La oferta cibernética paga en criptomonedas por ataques contra objetivos occidentales. En una sola quincena de una campaña electoral española, un canal en español ofreció a los españoles dinero para atacar, dinero para informar y dinero para combatir, y les dio una única dirección para hacer las tres cosas.

Figura 8. Publicaciones del nodo central sobre reclutamiento, doxing y amenazas durante el periodo de campaña, por día y tipo (el tamaño del marcador equivale a las visualizaciones). La serie comienza el 21 de octubre, día en que se publicó la cifra del Tribunal Supremo sobre la votación de la ley de nietos, y llega hasta los disturbios de Blocus, el accidente de Urda y la dimisión del ministro de Transportes.

4.1 La otra cara del reclutamiento: doxing y amenazas

El reclutamiento y la intimidación son la misma operación vista desde dos perspectivas, y el nodo central gestiona ambas. El 26 de octubre, cuando analistas españoles apuntaron a actores prorrusos como responsables de los disturbios de Barcelona, el canal lo negó y, en esa misma hora, publicó el perfil profesional del analista que lo había afirmado. El 28 de octubre calificó al general retirado que había alertado sobre la guerra híbrida rusa como miembro de una empresa «señalada por nuestro Ministerio de Defensa como objetivo militar legítimo» y escribió que los disturbios de Blocus se habían organizado «con la mano de Israel detrás». El 29 de octubre abrió una sección llamada «El Purgatorio», «donde denunciaremos a las ratas que hay dentro de las fuerzas de seguridad españolas», que empezó con el nombre, la fotografía y el historial de un suboficial en activo del Ejército, y dio las gracias a «nuestros chicos, que están en todos lados, y nos han filtrado la siguiente información». El dosier de 499 páginas de agosto de 2026, las filtraciones de septiembre de 2025 sobre responsables del CNI y de la policía y la lista de «1.400 delincuentes españoles» de julio de 2026 responden a la misma práctica, pero a gran escala. No es posible verificar la afirmación de que cuentan con infiltrados; el efecto sobre las personas nombradas no ofrece dudas.

5. El círculo: quién transmite la voz de Moscú en español

El nodo central no llega por sí solo a los votantes españoles; unas quinientas personas leen su publicación mediana. Su alcance procede de una red de canales en español que la reenvían, publican contenido conjunto con él y le dan espacio. La red se cartografió a partir de las vistas previas públicas de 21 canales entre el 20 de octubre y el 5 de noviembre de 2026: 5.855 publicaciones, 14,3 millones de visualizaciones acumuladas y 493.000 suscripciones antes de eliminar duplicados. El núcleo prorruso de esa red suma unas 350.000 suscripciones y 8,5 millones de visualizaciones en dieciséis días. Tres tipos de evidencia la conectan: los reenvíos (quién republica a quién), los textos idénticos publicados por dos o más canales con pocos minutos de diferencia y sin marca de reenvío, y el material promocional compartido: el anuncio fijo de Rybar ES, el texto de captación de InfoDefense Español publicado por Liu Sivaya, Rybar ES y El Informador Global en un plazo de diez días, y un resumen nocturno de «selección de noticias» que menciona Desinformador Ruso, Ucraniando, Lyudmila Z, Los Sombreros Blancos, Nuevos Paradigmas, En Plena Luz, Líneas Invisibles y ROKOT como un único bloque editorial.

5.1 Los nodos

Figura 9. Visualizaciones acumuladas y suscriptores de la red (rojo) y de los canales políticos españoles que difunden sus marcos (gris), del 20 de octubre al 5 de noviembre de 2026.

5.2 Cómo se manifiesta la conexión

El 30 de octubre a las 22:19:22 UTC, el nodo central publicó «Rusia veta en la ONU la propuesta de Estados Unidos sobre el Sáhara Occidental»; GEOESTRATEGIA.EU publicó el mismo texto a las 22:19:41. Entre las 21:41 y las 00:15 de esa noche aparecieron ocho textos idénticos sobre la crisis constitucional de Polonia en Lyudmila Z, Espía del Telón, Guerras y Geopolíticas, Ucraniando y GEOESTRATEGIA.EU, ninguno marcado como reenvío. El 2 de noviembre, «Héroes del frente invisible: cómo los patriotas rusos hacen temblar a Occidente», del nodo central, ya estaba en Mundo Multipolar menos de un día después; la publicación de Liu Sivaya sobre el «centro de tortura» de Kyiv y las publicaciones de Lyudmila Z sobre Azov siguieron la misma ruta. El 3 y el 5 de noviembre, el nodo central y Liu Sivaya retransmitieron juntos en YouTube. En dieciséis días se contabilizaron 35 grupos de este tipo. No se trata de un conjunto de canales afines que casualmente están de acuerdo, sino de un sistema de distribución con un flujo de contenido compartido.

Dos vínculos institucionales atraviesan el entramado. Rybar ES es una franquicia del milbloguero ruso Rybar y se anuncia como tal; el anuncio aparece en los canales del entramado. Casa Rusa en Madrid, la filial española de Rossotrudnichestvo, la agencia estatal rusa de diplomacia cultural, es la institución cuya beca llevó a Rusia en 2024 al operador del nodo central y cuyo contenido reenvió este el 4 de noviembre de 2026. Son las únicas instituciones estatales rusas directamente visibles en el grafo de reenvíos; el resto del entramado lo componen medios estatales rusos e intermediarios hispanohablantes.

Figura 10. Grafo de reenvíos de los 38 canales (el grosor de las aristas representa los mensajes reenviados). A la izquierda, medios estatales rusos y sus intermediarios en español; a la derecha, los agregadores «patriotas» y el grupo de cuatro canales de un medio español.

5.3 De Sputnik y TASS a los suscriptores españoles

5.4 Los agregadores nacionales que lo siguen difundiendo

El lado derecho del grafo es nacional, pero funciona del mismo modo. Noticias Patriotas (14.400), Q Patriotas y Prensa Patriota son agregadores cuyo contenido consiste en un 74-86 % de reenvíos: una persona influyente conspiracionista con 116.000 suscriptores (176 reenvíos a Q Patriotas, 108 a Prensa Patriota y 105 a Noticias Patriotas), un comentarista de criptomonedas con 579.000 seguidores en X (78 y 49), La Bandera Diario, HerQles y el canal de fans de un político. El 27 de octubre, la persona influyente dijo ante 28.600 espectadores: «después de lo sucedido en Brasil … venga Netanyahu a exigir…», uniendo en una sola frase los marcos de Brasil y Urda. Un medio digital español vuelve a difundirse a través de cuatro canales (308, 296, 107 y 61 reenvíos). Ninguna de las dos estructuras es encubierta; ambas muestran cómo una sola fuente llega a audiencias de seis cifras mientras aparenta ser muchas voces, y ambas propagan las narrativas extranjeras.

5.5 El día después: Blocus y los grupos cerrados

Los canales propios del movimiento Blocus quedaron fuera de nuestro análisis; su convocatoria para el día posterior a la votación circula por ellos y mediante carteles difundidos a través de embudos de códigos QR de WhatsApp y Telegram. La información pública es lo bastante precisa como para planificar: el 25 de octubre, una cuenta de un sindicato policial advirtió de «un llamamiento para un día después de las elecciones»; el 27 de octubre, periódicos regionales informaron de la existencia de carteles para el 30 de noviembre en Zaragoza y Donostia, y una cuenta de X publicó la lista de las doce ciudades (Bilbao, Vitoria, San Sebastián, Madrid, Barcelona, Valencia, Sevilla, Zaragoza, Málaga, A Coruña, Santander, Pamplona); el 2 de noviembre, una concentración de Blocus en Murcia requirió una operación conjunta de seguridad; la Policía Nacional anunció la detención del creador de los canales «Blocus Vlc». En nuestro corpus de Telegram, Blocus aparece en 103 mensajes, principalmente en Leyendas BCN (52.000), Prensa Patriota y TSA Noticias (62.600). Bilbao Hiria informó el 30 de octubre de que «grupos de Telegram ultras y prorrusos» habían difundido fragmentos de las declaraciones de un cargo público vasco sobre Blocus y de que la red Pravda las había difundido en seis idiomas. No existe ninguna cuenta auténtica de los organizadores en Instagram, X, Facebook o YouTube (la cuenta de Instagram @blocus_espana, creada en julio de 2026, tiene 58 seguidores y ninguna publicación). La movilización se organiza desde grupos cerrados y se amplifica a través de los canales abiertos documentados aquí.

Lámina 1. Vistas previas públicas de la cadena de canales repetidores, capturadas el 4 de noviembre de 2026.

6. Qué difundió la red durante la campaña

La red no dice a los españoles cómo votar. De las 5.855 publicaciones del periodo de campaña, el contenido electoral directo es escaso: apenas un puñado de elementos por canal. Lo que hace es establecer el marco desde el que se interpreta cada crisis española, y lo hace más rápido que las redacciones españolas. Cinco marcos abarcan casi toda su producción dirigida a España entre el 20 de octubre y el 5 de noviembre.

6.1 El frente cibernético contra España

Tras las imágenes hay un historial de acciones. Los grupos en cuyo nombre habla el nodo central han atacado objetivos españoles antes y durante la campaña, y han explicado por qué. Su efecto técnico ha sido reducido; la propia evaluación del Gobierno español sobre la oleada de octubre de 2025 la calificó de «mínimo». Su objetivo declarado no es provocar la interrupción del servicio, sino demostrar, en español, que la infraestructura española «sigue estando a nuestro alcance», y reclutar a otros a raíz de esa demostración.

Figura 11. Operaciones del nodo central y sus colectivos aliados dirigidas a España, hitos judiciales y aparición de datos personales españoles en mercados de la dark web, de julio de 2023 a noviembre de 2026. La franja sombreada corresponde a la campaña del 29N.

6.2 Por qué importa de cara al 29 de noviembre

De ello se desprenden cuatro conclusiones, todas con confianza alta. La red existe y está identificada: un ciudadano español bajo protección rusa dirige su nodo central y los tribunales españoles lo han mencionado por su nombre. Está activa ahora, en español y en torno a acontecimientos españoles, con una red de medio millón de suscriptores y canales políticos españoles con cifras de seis dígitos que difunden sus marcos narrativos. Recluta a españoles abiertamente y a cambio de dinero, para actuar como hackers, informantes y soldados, durante la campaña. Y ya ha demostrado la capacidad que utilizaría durante la semana electoral: una supuesta intrusión en un sistema industrial español, anunciada en español para surtir efecto en el ámbito nacional; una filtración de datos de funcionarios españoles sincronizada con un momento político; y un marco narrativo preparado de antemano que atribuye cualquier acontecimiento a Israel, Estados Unidos o Marruecos y dice a los españoles que votar no cambia nada. Nada de esto afecta a la papeleta. Todo ello afecta al votante.

Parte II. La granja de páginas del Sudeste Asiático

7. Una operación de prensa «española» desde Vietnam

Todo empezó con una página. Gentle Echo publicaba indignación política española con una dirección de Madrid, un número de teléfono de EE. UU. y un enlace a currentnews.danhngon.pro. Danh ngôn significa «citas célebres» en vietnamita. Seguir ese dominio condujo a una red de páginas, cuentas publicitarias, dominios hermanos y un operador de plataforma, y a la mayor estructura extranjera del espacio informativo español en la etapa previa a las elecciones.

7.1 Ocho páginas, todos los administradores en Vietnam

El panel de transparencia de la página de Meta indica cuándo se creó una página, si cambió de nombre y el país de las personas que la administran. En ocho páginas que publicaron contenido político en español en octubre de 2026, todos los administradores estaban en Vietnam:

El patrón es coherente y deliberado. Las ocho se crearon en un plazo de once semanas. Se clasifican en categorías que, como noticias, no despiertan sospechas (un restaurante, un establecimiento de comida rápida, una banda de música, una tienda de ropa infantil) y utilizan direcciones españolas que parecen reales: Alcalá, Serrano, la avenida de la Constitución en Sevilla, la calle de Mallorca en Barcelona. Comparten datos de contacto: CosmoWire indica la misma dirección de Madrid que Gentle Echo; El Faro Diario y Horizonte Político comparten el sitio web northwavenews.com, que también es el sitio web de una página francesa de la misma red. El Faro Diario aún muestra la bandera de Colombia en su portada, vestigio de un mercado anterior. El 4 de noviembre de 2026, las ocho páginas estaban activas.

Lámina 2. Transparencia de la página de Meta para las ocho páginas, capturada el 20 de octubre de 2026. En cada panel se lee «El país principal de ubicación de las personas que administran esta página incluye: Vietnam».

Lámina 3. Fachadas de las páginas: las direcciones y sitios web compartidos las vinculan entre sí.

7.2 Comprar una audiencia española: «Si amas España… haz clic aquí»

Una página nueva y sin audiencia no vale nada para un negocio de ingresos publicitarios ni para quien quiera dirigirse más adelante a los votantes españoles. La red resolvió el problema con anuncios de pago para conseguir «Me gusta» en la página. En junio y julio de 2026, pocas semanas después de su creación, Global Horizons publicó diez anuncios y Solstice Harbor, tres, todos con la misma plantilla: «SI AMAS ESPAÑA», sobre la bandera española, la estatua de Pelayo, el palacio de Cibeles o un pasaporte español, y con «HAGA CLIC AQUÍ» al final, junto a una mano señalando.

La transparencia publicitaria de la UE de Meta identifica al anunciante y al pagador de cada anuncio. Aparecen dos personas con nombres vietnamitas. La primera pagó siete anuncios de Global Horizons (del 7 al 16 de junio); la segunda pagó los tres últimos anuncios de Global Horizons (del 16 al 19 de junio) y los tres anuncios de Solstice Harbor (del 24 de junio al 4 de julio). Que una misma persona pagara anuncios en dos páginas constituye un vínculo financiero directo entre ellas. Los anuncios se dirigieron a todo el mundo y a todos los grupos de edad adulta, pero se difundieron donde el cebo surtió efecto: de las 1.031 cuentas de la UE a las que llegó un anuncio de Solstice Harbor, 850 estaban en España y 651 de ellas tenían 65 años o más. Más tarde, Meta inhabilitó la cuenta de anunciante responsable de tres anuncios de Global Horizons por incumplir sus Normas de Publicidad y retiró otro anuncio por «prácticas comerciales inaceptables». Las páginas siguieron activas.

Lámina 4. La campaña de pago para captar audiencia: plantilla, pagadores, segmentación y medidas de Meta.

Así es como páginas registradas como tiendas de ropa y bandas de música alcanzaron entre 13.000 y 40.000 seguidores antes de pasarse a los contenidos electorales. La audiencia que compraron es mayor, patriótica y española: el grupo más expuesto a historias inventadas sobre la Corona y el ejército, y el que más recurre al voto por correo.

7.3 Qué publican las páginas y qué plataforma hay detrás de los enlaces

La fórmula de los titulares consiste en dramatizar la política con afirmaciones inventadas y en mayúsculas: «¡SÁNCHEZ ESTÁ ATERRORIZADO!», «¡PELEA A GRITOS ENTRE FELIPE VI Y PEDRO SÁNCHEZ MIENTRAS LETIZIA SE MOFABA DEL REY!», «Tensión en Ceuta: militares advierten de riesgo de insubordinación», «¡TERREMOTO EN ZARZUELA!». Ninguno de estos hechos ocurrió. Todos terminan con «LEER MÁS» y un enlace a sitios propios de la red. La distribución va más allá de las páginas: los enlaces se siembran en grupos políticos de Facebook de ambos bandos, se publican como spam en los comentarios de páginas grandes y los vuelven a compartir cuentas de TikTok con una identidad española. El sesgo antigubernamental responde a que ahí es donde está la interacción, no a que la red tenga una afinidad política: también siembra contenido en la izquierda.

Los sitios web llevan la marca «Powered by Blogbio», una plataforma de publicación de marca blanca, y utilizan el reproductor publicitario de AdsConex. La propia página legal de Blogbio afirma que la plataforma está «desarrollada y gestionada por Metaconex Ltd»; AdsConex declara que es «propiedad de Metaconex LTD», indica el número de registro mercantil de Hong Kong 75913165 y muestra una insignia de socio de Google Ad Manager. Los directorios empresariales vietnamitas incluyen una empresa tecnológica Metaconex en Đà Nẵng con una oficina de representación de AdsConex. Un segundo dominio que utiliza la misma infraestructura, cafex.biz, es el sitio web de CosmoWire; su archivo ads.txt declara 95 cuentas de vendedores, todas presentes también en el archivo de danhngon.pro. Las estimaciones del tráfico web de danhngon.pro aumentaron de 95.000 visitas en julio a 1,85 millones en septiembre de 2026, el 72% de ellas procedentes de tráfico social de pago: la audiencia comprada, convertida en ingresos publicitarios.

Lámina 5. La capa de plataforma que hay detrás de los enlaces: datos declarados por los operadores, capturados el 21 de octubre de 2026.

8. La granja se vuelca en las elecciones

8.1 Cuatro páginas más, una de ellas financiada por la misma persona

Entre las dos instantáneas, la red no se replegó: se expandió. Otras cuatro páginas publican ahora el mismo material para el público español, y el rastro del dinero de una de ellas conduce directamente a los anuncios de junio:

8.2 Del drama real a «ALERTA MÁXIMA HASTA EL 29-N»

En octubre, el contenido político de la granja era indignación genérica. Desde el 27 de octubre, sus titulares mencionan las elecciones. Global Horizons: «ABASCAL ELEVA LA PRESIÓN SOBRE PEDRO SÁNCHEZ: "ALERTA MÁXIMA" HASTA EL 29-N» (27 de octubre, 338 reacciones). Solstice Harbor: «A tan solo 26 días del 29 de noviembre, Cayetana Álvarez de Toledo pronunció uno de sus discursos más mordaces» (3 de noviembre). Ecos Perdidos: «Cayetana ha entrado en modo combate. A un mes del 29N…». Clave Hispana, tres días después del accidente de Urda: «69 muertos en el accidente de Urda… Jordi Évole, Pedro Almodóvar…», bajo el meme «LINCHAN A LOS «ROJOS SINVERGÜENZAS»». Los discursos, advertencias y reuniones que narran estas publicaciones no ocurrieron. Son acontecimientos inventados y atribuidos a políticos reales, producidos a escala industrial y fechados según el calendario de campaña.

Lámina 6. La actividad de la granja durante el periodo electoral, junto a la página de comparación gestionada desde Sri Lanka (sección 9).

8.3 Métodos operativos: enlaces en comentarios y textos reutilizados en distintas páginas

Dos cambios metodológicos son relevantes para quienes siguen la red. En primer lugar, las páginas han trasladado el enlace «LEER MÁS» del cuerpo de la publicación a un comentario escrito por la propia página (Horizonte Político, Ecos Perdidos, CosmoWire, Clave Hispana, Global Horizons), de modo que una búsqueda del dominio ya no encuentra la publicación. En segundo lugar, el mismo texto circula entre páginas: «LO IMPENSABLE YA ES REAL: ABASCAL HA LLEGADO A ESTE PUNTO» fue publicado por Clave Hispana a las 11:02 UTC, Gentle Echo a las 14:24 y CosmoWire a las 18:18 del 3 de noviembre, cada uno con una ruta de destino diferente (sufijos como cici, glad, huda, susu, no1 y bebe05 identifican la página que generó el clic). Los sufijos de los enlaces conforman un sistema de atribución integrado: indican al operador qué página generó el tráfico y nos revelan que doce páginas forman parte de una misma operación.

Lámina 7. Transparencia y registros publicitarios de las nuevas páginas de la granja, capturados el 4 de noviembre de 2026 (nombre del pagador oculto).

9. Otras voces «españolas» gestionadas desde el extranjero

La granja vietnamita es la mayor estructura extranjera, pero no la única. De las 27 páginas y perfiles profesionales cuya transparencia de Meta examinamos en octubre, doce estaban gestionados íntegramente desde el extranjero y uno, parcialmente. Ocho pertenecen a la granja. Los demás proceden de Sri Lanka, Indonesia, Pakistán y Argentina, y todos se presentan como voces españolas.

Figura 12. País de gestión de las 27 páginas comprobadas en la transparencia de Meta y países extranjeros implicados.

9.1 La Voz del Pueblo - España: Colombo habla en nombre de Madrid

La página que Meta muestra como gestionada desde Sri Lanka se creó el 15 de septiembre de 2026 y en noviembre tenía 47.000 seguidores. Sus publicaciones son encuestas de reacción a horas fijas, el formato de captación de interacciones propio de las granjas de creadores. El 3 de noviembre publicó: «El PSOE pierde 450.000 votos tras el accidente de Urda, según una nueva encuesta. ¿Te parece justo?», con una clave de reacciones y los hashtags #AccidenteUrda #EncuestaElectoral. La cifra procede de la encuesta de Sigma Dos para El Mundo, que no atribuye la pérdida al accidente; la página añadió esa causa. 1.100 reacciones, 1.597 comentarios. Una página gestionada desde Colombo fijó una afirmación causal sobre una tragedia española en la mente de 47.000 españoles en vísperas de la campaña.

9.2 Coherencia España: «Español de España», gestionada desde Argentina

La página presenta a su autor como un español residente en Madrid. Meta sitúa a los tres administradores en Argentina. Entre el 21 de octubre y el 4 de noviembre, su cuenta de Instagram pasó de 139,974 a 164,353 seguidores, el mayor incremento absoluto de cualquier cuenta que seguimos fuera de los principales medios hiperpartidistas; una comprobación de Noctua constató que el crecimiento coincide con colaboraciones y publicaciones con imágenes ampliamente compartidas, y no con promoción de pago. La combinación de gestión extranjera, una identidad española declarada y el crecimiento orgánico más rápido de la muestra hace que siga clasificada en T2. La vertiente argentina es distinta de las granjas asiáticas: se presenta como la voz de ciudadanos españoles y difunde el marco de las elecciones robadas; también incluye la edición española de un medio argentino que Instagram sitúa en Argentina. No encontramos ningún vínculo entre la vertiente argentina y la red vietnamita.

Lámina 8. Registros de las plataformas sobre las páginas y cuentas gestionadas desde Sri Lanka, Indonesia, Estados Unidos, Pakistán y Argentina.

En todos los casos, el engaño reside en la presentación. Un votante español ve una dirección de Madrid y «Español de España»; la plataforma sabe que la página se gestiona desde Colombo, Yakarta o Buenos Aires y solo se lo muestra a quienes se fijan en ello. Confianza alta en la ubicación de la gestión: son registros de la propia Meta e Instagram.

Parte III. Las operaciones en X

10. «Urda fue un sabotaje»

X quedó fuera de la primera oleada. Se incluyó porque allí comenzaron los tres episodios narrativos decisivos de la campaña. Se recopilaron 9.191 publicaciones de 3.402 autores entre el 20 de octubre y el 4 de noviembre, y se consultó el registro «account based in» de X para cada autor. El 74 % figura en España; el 26 %, en el extranjero, principalmente en Argentina (152), México (135), «Europe» (82), Colombia (81) y Estados Unidos (67). Se crearon 212 autores después del 1 de septiembre de 2025. Nueve publican a un ritmo que ninguna persona podría mantener.

10.1 La primera hora

Dos trenes colisionaron cerca de Urda (Toledo) a las 08:53 CET del 28 de octubre; murieron 69 personas. La cuenta informativa de Renfe publicó su primer aviso a las 08:25:13 UTC. A las 08:28:52 UTC, tres minutos y medio después de ese aviso y treinta y seis minutos después del accidente, @milexcarabanxel (1.507 seguidores, creada en julio de 2020, siete cambios de nombre de usuario, unas 100 publicaciones al día) respondió «Sabotaje Ultraderechista» debajo de la publicación, repitió las mismas palabras debajo de las de Adif, Europa Press, El País y elDiario.es en menos de diez minutos y, a las 10:02, elevó la acusación a «atentado terrorista de Israel y USA en plena campaña electoral». A las 09:32 ya circulaba «sabotaje ruso o israelí»; a las 09:46, «SABOTAJE SIONISTA»; y a las 10:46, «guerra híbrida israelo-marroquí» (26.000 visualizaciones). Antes de que ningún investigador hubiera llegado al lugar del siniestro, la atribución ya estaba decidida.

10.2 El puente, el activo y los amplificadores

A las 11:59:33 UTC, @irlandarra2019 publicó la versión en inglés con un enlace directo a un vídeo de Sprinter Press. La cuenta se creó el 25 de enero de 2026, pese al «2019» de su nombre de usuario, tiene 51.707 seguidores y la marca azul de verificación, se define como «periodista de Belfast», X la ubica en el Reino Unido y publica unas 93 veces al día. A las 15:05, @Antonio27591643 («ARGENTINA HOY», 28.106 seguidores, ubicado por X en Argentina) adjuntó un fragmento de un discurso real de Netanyahu con una atribución falsa: que había amenazado a España con «accidentes de trenes» y apagones. Alcanzó 606.711 visualizaciones y 7.300 reenvíos. Esa atribución es una invención que difundieron por primera vez entre el 18 y el 20 de julio de 2026 @NonNobis10 (ubicado en «Europe»; entonces alcanzó 2,35 millones de visualizaciones) y @TakiLatam0 (creado en noviembre de 2025, ubicado por X en Western Asia), y que EFE Verifica desmintió en su momento; el mismo objeto de vídeo se reutilizó en octubre. Una cuenta con 104.000 seguidores ya había preparado el terreno el día antes del accidente, a las 15:52 del 27 de octubre: «Si Netanyahu cae hoy … España dejará de tener accidentes de trenes». Cuentas ubicadas en North America (87.510 seguidores) y otras con publicaciones que superaban las 100.000 visualizaciones difundieron el mensaje durante la noche; el 29 de octubre aparecieron afirmaciones técnicas sobre «LZB cortados» (en referencia al sistema de control ferroviario); el 2 de noviembre, @MiguelRuizCalv seguía publicando la imagen de Netanyahu con logotipos de partidos superpuestos a la línea de Adif (127.000 visualizaciones). En total: 364 publicaciones, 272 autores, 48 horas.

Figura 13. La conversación «Urda = sabotaje» en X durante las primeras 48 horas tras el accidente, desglosada por hora y por marco narrativo. El marco Israel/Netanyahu aparece en la hora 7 y predomina a partir de la hora 8; el panel inferior distingue entre los autores que X sitúa en España y los que sitúa en el extranjero.

EFE Verifica, Newtral y Maldita desmintieron la cita el 29 de octubre; Maldita rastreó copias en cuatro idiomas y en la red Pravda. Según se informó el 27-28 de octubre, los servicios de inteligencia españoles estaban examinando la amplificación rusa de la precampaña, y el ministro de Asuntos Exteriores advirtió el 2 de noviembre de la injerencia extranjera. Nuestros datos aportan los mecanismos que explican esas informaciones: el marco se sembró de antemano, se insertó bajo cuentas oficiales durante la primera hora, se trasladó al inglés mediante una cuenta joven y de alta frecuencia de publicación radicada en el extranjero, recibió su contenido viral de una cuenta radicada en Argentina, fue retransmitido por el anillo de Telegram prorruso descrito en la Parte I y se mantuvo activo durante una semana gracias a cuentas partidistas en España. Se trata de una operación con una división del trabajo. A tenor de esta evidencia, no responde a un único controlador y no la atribuimos a ningún Estado.

Lámina 9. La operación Urda y el traslado a Brasil en X, capturados el 4 de noviembre de 2026.

11. El guion de las elecciones robadas llega desde el extranjero

11.1 Brasil, del 25 al 28 de octubre: 29 minutos

La segunda vuelta de Brasil concluyó el 25 de octubre con una prórroga de dos horas de la votación. Entre las 20:26:20 y las 20:55:42 UTC, La Derecha Diario (ubicada en Argentina, 623.000 seguidores; 88.969 visualizaciones), Eduardo Menoni (El Salvador, 1,18 millones; 157.500 visualizaciones) y OOC La Misa (Argentina) afirmaron que Lula estaba robando las elecciones; Agarra la Pala (Argentina, 318.000) aportó un fragmento de televisión que La Derecha Diario reutilizó 1 h 47 min después; una publicación de La Derecha Diario a las 03:37 UTC alcanzó 352.070 visualizaciones. A las 07:29 UTC del 26 de octubre, el presidente del Gobierno español escribió «Lo que ha pasado en Brasil, pasará en España»; en menos de setenta minutos, la frase se había transformado en una acusación y, a las 08:39, Valentina Gomez (Estados Unidos, 691.000) publicó «Pedro Sánchez se va a robar las elecciones como Lula». El 28 de octubre, UHN Plus (Estados Unidos, 1,22 millones) publicó una acusación de fraude estadístico sobre los colegios electorales brasileños (1,06 millones de visualizaciones) y, siete horas después, un comentarista español con 97.000 seguidores la citó: «Se confirma el pucherazo en Brasil. Sánchez dijo que en España sucedería lo mismo el 29N» (131.811 visualizaciones). 221 publicaciones de 185 autores; entre los primeros en difundirlas, los autores ubicados fuera de España superan en número a los ubicados en España.

Figura 14. La retransmisión del «pucherazo» brasileño en la conversación en España, del 25 al 29 de octubre: cuentas de origen por país acreditado por la plataforma y cuentas españolas que difundieron el mensaje.

La concentración en 29 minutos demuestra una convergencia en torno a un mismo acontecimiento, no que existiera un acuerdo previo; además, la retransmisión se produce en ambos sentidos (una cuenta argentina republicó una publicación de un eurodiputado español). El hallazgo es estructural y novedoso: una capa mediática hiperpartidista latinoamericana y estadounidense, con decenas de millones de seguidores, ya presenta las elecciones españolas como un asunto propio y proporciona a cuentas españolas marcos de fraude antes de que las redacciones españolas puedan verificarlos. Sea cual sea el resultado de la noche electoral en España, se narrará primero desde Buenos Aires, San Salvador y Miami.

11.2 Una cifra judicial se convierte en «tres millones de votos fakes»

El 23 de octubre, la resolución del Tribunal Supremo sobre la votación suspendida de la ley de nietos señalaba que, de los 31.390 expedientes examinados, solo se habían expedido 91 certificados de exilio. A las 11:44 UTC, antes de las primeras publicaciones que citaron esa cifra (12:11 y 13:15), una cuenta con 57.800 seguidores publicó «sólo en AMÉRICA el PSOE ha cocinado TRES MILLONES DE «VOTOS FAKES»»; la cifra circulaba desde el 21 de octubre como «casi 3 millones de posibles votantes extra por el CERA». En cuestión de horas, la proporción judicial y la cifra inventada circulaban juntas: el 24 de octubre, una cuenta ubicada en EE. UU. escribió que «cientos de miles de falsos españoles podrán votar (o el PSOE votará por ellos)»; el 25 de octubre, una cuenta con 579.700 seguidores publicó un largo hilo en torno a las tres cifras (86.923 visualizaciones), aunque admitía: «la intención no la puedo probar». El desplazamiento semántico, desde las solicitudes a las nacionalizaciones, las inscripciones en el censo y los votos fraudulentos, se produce dentro de publicaciones individuales y nunca se justifica. De los tres marcos de fraude que circulan ahora, este es el que más probablemente se rescate la noche electoral, porque tiene una cifra.

12. Motores de retransmisión y células de copia y pega

12.1 Cuentas con alcance y sin audiencia

Nueve cuentas de X publican a un ritmo que las identifica como motores de retransmisión, no como cuentas de lectores. @QueDicenDices (726 seguidores, 639 seguidos, Madrid) acumula 279.136 publicaciones y llegó a republicar hasta 150 contenidos por hora y 216 al día durante el periodo analizado, casi todos de un mismo bloque político. @pepabois (200 seguidores, creada el 5 de septiembre de 2025) republica unos 200 contenidos al día para el otro bloque, con las etiquetas #EjercitoDePedro y #ejercitodelula. @RosaHoldo (ubicada en México, creada en noviembre de 2025, 38.210 publicaciones) mantiene un ritmo de 130 al día. @electonomics, creada el 26 de mayo de 2026, con 63 seguidores y verificación azul, publica unos 90 contenidos originales diarios de «noticias de datos» basadas en plantillas, ha cambiado de nombre de usuario tres veces (la última, el 26 de octubre) y alcanzó 235.000 visualizaciones: el patrón de contenido divulgativo generado por IA, trasladado a X. @adr29250 («Ahora noticias», 60 seguidores, creada el 7 de octubre de 2025, clasificada en una categoría deportiva) alcanzó 49.431 visualizaciones con una sola publicación. @milexcarabanxel e @irlandarra2019 completan el grupo. Ninguna de estas cuentas tiene audiencia; todas tienen alcance, que es el rasgo distintivo de una infraestructura de amplificación.

Figura 15. Publicaciones diarias de las cuentas de X de alta frecuencia durante el periodo, en comparación con las de un usuario activo habitual.

12.2 Cuatro cuentas, un mismo guion

El 2 de noviembre a las 15:57:58 UTC, @MaraLpe15548762 publicó «Van a necesitar varios millones de falsos votos por Correos para darle la vuelta al resultado» sobre una gráfica de Sigma Dos publicada por El Mundo; @RebecaS18628035 publicó el mismo texto a las 15:59:33, @pacoredondo a las 15:59:59 y @CovadongaFernn6 a las 16:16:31. Las cuatro cuentas (entre 19.000 y 26.000 seguidores cada una, creadas entre 2011 y 2021, todas ubicadas por X en España y sin cambios de nombre de usuario) no son un caso aislado: una comprobación independiente de Noctua detectó otros cinco episodios los días 22 y 23 de octubre en los que las cuatro publicaron el mismo bloque de texto, siempre en el mismo orden (Mara, Rebeca, Paco, Covadonga), y dos de ellas promocionaron el mismo canal de Telegram con nueve segundos de diferencia. Los textos, los archivos adjuntos, el orden fijo y los horarios identifican una célula que publica a partir de un guion compartido; el contenido presenta de antemano el fraude en el voto por correo como explicación de cualquier resultado distinto del que predice la encuesta. Confianza alta en la coordinación; no se ha identificado al operador.

Lámina 10. Células de copia y pega y motores de retransmisión en X, capturados el 4 de noviembre de 2026.

Parte IV. Medios sintéticos, granjas de páginas publicadas desde el extranjero y el guion de desmovilización

13. Medios sintéticos y marcas de IA

13.1 La oleada de contenido divulgativo

La convocatoria electoral provocó una oleada de nuevos canales que se presentaban como guías neutrales de la campaña («sin bandos», «con datos», «en 1 minuto»). De los canales de YouTube de nuestro corpus que publican contenido sobre el 29N, 140 se crearon después del 1 de septiembre de 2026; 96 de ellos, durante los primeros veinte días de octubre, frente a una media mensual de entre 7 y 14. Varios declaran utilizar voces sintéticas. Las comprobaciones de los registros de cuentas permiten fechar con precisión los clones multiplataforma: ¿Qué Cambia? abrió en YouTube el 6 de octubre y en TikTok el 7 de octubre a las 10:19 UTC; Programa Claro, en YouTube el 16 de octubre y en TikTok el 17 de octubre a las 00:31 UTC, con una cuenta de Instagram que incluye la etiqueta «perfil generado por IA»; Al Loro, en TikTok el 10 de octubre a las 20:04 UTC, con la biografía «Voz con IA».

Figura 16. Mes de creación de los canales de YouTube que publican contenido sobre el 29N. El repunte de octubre no tiene precedentes en el año anterior.

La marca líder está abiertamente en venta. El correo electrónico de contacto de ¿Qué Cambia? está alojado en fullbleedstudio.com; la página de cursos del estudio afirma: «Te enseño en una hora el método con el que hago ¿Qué Cambia?», describe la marca como «una cuenta nueva sobre las elecciones del 29 de noviembre», con «una voz generada con IA», y utiliza su crecimiento como argumento de venta (49 €). La cuenta de Instagram del propio estudio se creó en abril de 2026 e Instagram la sitúa en India; sus cuentas de TikTok y YouTube se abrieron en agosto. ¿Qué Cambia? pasó de 78.800 a 94.600 seguidores en Instagram en la quincena anterior a la instantánea; su reel sobre el sorteo de mesas electorales alcanzó 213.266 reproducciones en Instagram y 114.214 en Facebook, y su biografía ofrece ahora una «Guía gratis para el 29-N», junto a «Aprende a hacer vídeos así en 1 hora». Su mensaje seguía siendo «sin bandos»; no encontramos ningún giro partidista. El riesgo está en lo que construye esta oleada: voces sintéticas no declaradas, reutilización de cuentas antiguas (un canal de YouTube de 2008, borrado y rebautizado como «CASCANDO», que desapareció entre nuestras instantáneas) y una infraestructura de distribución lista para alquilarse en la recta final de una campaña.

Lámina 11. La oleada de contenido divulgativo: producción comercial, voces sintéticas y canales reutilizados.

13.2 Escenas fabricadas, sondeos falsos y desastres generados con IA

Las piezas sintéticas más relevantes no son deepfakes de candidatos, sino escenas fabricadas que difunden acusaciones de fraude: un empleado de Correos triturando papeletas y metiéndolas en un saco con el logotipo de un partido, y el presidente del Gobierno frente a un edificio de Indra con papeletas volando. Ambas llevan etiquetas de IA de la plataforma; ninguno de los pies de foto lo indica, y la sátira etiquetada se convierte en desinformación en cuanto se vuelve a compartir sin la etiqueta. Maldita documentó más de diez vídeos de este tipo en los dos días posteriores a la convocatoria electoral. Las encuestas fabricadas o desfasadas se concentran en unas pocas fuentes y alcanzan su punto álgido en torno a cada sondeo real; el 27 de octubre, una cuenta de Instagram publicó «Le pedí a la IA que simulara las elecciones del 29-N 10.000 veces» con una proyección de escaños cuyos propios números no cuadran (69.955 reproducciones), la plantilla de las gráficas de encuestas fabricadas que aparecieron después en TikTok. Tras Urda, una reconstrucción con IA de la colisión alcanzó 3.052.779 reproducciones con una advertencia, mientras que la gráfica «PSOE pierde 450.000 votos» circuló sin ella.

Lámina 12. Marcas divulgativas sobre IA en Instagram, capturadas el 4 de noviembre de 2026.

14. TikTok: una granja que publica desde tres países y una falsa autoridad electoral

TikTok registra el país desde el que se publicó cada vídeo. 158 cuentas del corpus pertinente publicaron al menos un vídeo electoral desde fuera de España; la mayoría son emigrantes o medios extranjeros. Una estructura destaca.

Figura 17. País de publicación de las publicaciones de TikTok sobre el 29N realizadas fuera de España.

Veinticinco cuentas publicaron la cadena idéntica #ceuta #migracion #emergencianacional #marruecos #noticiastiktok 112 veces entre el 1 y el 15 de octubre, con 1,39 millones de reproducciones. Las publicaciones procedían de Estados Unidos (80), Alemania (17) y Francia (9). Catorce cuentas se crearon entre junio y septiembre de 2026, 20 de las 25 cambiaron su nombre visible y los nombres son cadenas aleatorias de teclado o categorías genéricas (gxhhjvkk, xdvyq.vktxv, "PlotChronicles", "AI video"). Los seguidores se concentran entre 10.045 y 23.553, justo por encima de los 10.000 que TikTok exige para monetizar como creador. Muchos vídeos son fragmentos de películas o imágenes de archivo sin relación con Ceuta, acompañados de los hashtags de Ceuta. La granja aprovecha un tema de tendencia para generar ingresos y, al hacerlo, difunde el marco de «emergencia nacional» sobre Ceuta entre un público español amplio que desconoce el origen de las publicaciones. La actividad quedó inactiva tras el estallido de publicaciones sobre Ceuta y seguía activa el 4 de noviembre.

Otra cuenta es relevante por un motivo distinto. @cne_oficial (apodo «CNE», creada en abril de 2026) publicó «No votes este 29N en España» y, ese mismo día, una imagen del Congreso de los Diputados en llamas con el texto «¡QUE ARDA MÁS!». Su alcance fue mínimo; aun así, un usuario que imitaba el nombre de una autoridad electoral y combinaba llamamientos a la abstención con imágenes que incitaban a la violencia fue el caso más claro de suplantación institucional del corpus. TikTok la retiró entre nuestras instantáneas. Su mensaje no desapareció con ella.

15. El guion de desmovilización

Todas las estructuras analizadas en este informe convergen en un mensaje con tres variantes: no votes por correo, el censo está amañado, robarán el resultado. El mensaje es de origen nacional y se propaga por sí solo; lo que aportan las capas extranjeras y encubiertas es alcance, volumen y un modelo extranjero. En las dos semanas anteriores a la instantánea, 266 piezas analizadas denunciaban fraude en el voto por correo y 528, fraude en el censo electoral o con votantes extranjeros; 220 exponían procedimientos de votación que contradicen los oficiales.

La mecánica se aprecia a nivel de cuenta. Una marca hiperpartidista con 152.500 seguidores en Facebook publicó en todas las plataformas un vídeo titulado «SOCIALISTAS Y EL "VOTO POR CORREO": "AQUÍ VOTAN HASTA LOS MV3RTOS"… NO VOTÉIS POR CORREO», con esa grafía de leetspeak elegida para eludir la moderación por palabras clave; después, cuentas individuales copiaron el texto literalmente. Una cuenta de TikTok con 36.000 seguidores vuelve a publicar clips de medios generalistas con el texto copiado y pegado «CORREOS LO CONTROLA TOTALMENTE EL PSOE … NO VOTES POR CORREO», que aparece también en otras tres cuentas y en perfiles de Facebook. Una cuenta de Instagram con 91.000 seguidores fija un cartel que dice «29 NOVIEMBRE SE VOTA PRESENCIALMENTE · ESPAÑOLES NO VOTÉIS POR CORREO POR NADA DEL MUNDO». Una página de Facebook con 125.000 seguidores publica «ELECCIONES: FRAUDE SEGURO. NO VOTES POR CORREO» y es la segunda fuente más importante de encuestas falsas del corpus. La coordinación que puede demostrarse a este nivel es reducida: un operador con varias cuentas, copias literales y la célula de la sección 12. El alcance procede de marcas consolidadas; los canales repetidores extranjeros aportan los marcos narrativos.

Lámina 13. La cadena de desmovilización en seis capturas: siembra, blanqueo de marca, imágenes sintéticas y cuentas de copia y pega.

Parte V. Bajo la superficie

16. La capa de la dark web

Todo lo descrito hasta ahora se encontró en plataformas abiertas. La última capa de la investigación examinó lo que había debajo: servicios Tor, foros de hackers, mercados de registros de stealer, intermediarios de datos y los canales de Telegram indexados junto a ellos. La pregunta era sencilla: ¿dejan los actores de este informe rastros en lugares donde no esperan que se les lea, y hay algo allí que afecte a la propia votación?

16.1 El taller de la granja, capturado por malware

La granja de páginas vietnamita descrita en la Parte II no tiene presencia propia en la dark web; es un negocio publicitario que opera a la vista de todos. Sin embargo, la plataforma que da servicio a sus sitios «españoles», Blogbio, aparece en un registro de stealer ofrecido por diez dólares en un mercado en ruso: las credenciales guardadas de un ordenador infectado en el norte de Vietnam. Junto al panel de Blogbio aparecen Facebook Business Manager, un panel de tráfico, una tienda que vende cuentas de Facebook estadounidenses antiguas, un servicio vietnamita de voz con IA, un generador de imágenes con IA, un proveedor de proxies y una herramienta para vendedores. Ese es el puesto de trabajo de un operador de una granja de páginas, fotografiado por el malware que lo infectó, y coincide punto por punto con el proceso deducido en la Parte II a partir de los registros de Meta: operadores vietnamitas, publicación de marca blanca, audiencias compradas y vídeos generados con IA. Vendedores vietnamitas de Telegram indexados en la misma capa anuncian la cadena de suministro que utilizan estas granjas: cuentas de Facebook antiguas de Europa, páginas de fans antiguas con miembros «cambiados de nombre en un segundo», siembra de interacciones, publicación de anuncios en Facebook, Instagram y TikTok, y «eliminación permanente de páginas de la competencia» como servicio.

16.2 Datos personales españoles, a la venta durante la campaña

España es un producto constante en los mercados de datos, y las semanas de campaña trajeron nuevas existencias. Ninguna corresponde a datos electorales. Todo es lo que necesitaría una campaña de mensajería masiva dirigida a los votantes españoles: nombres, números de DNI, teléfonos, correos electrónicos, fechas de nacimiento e identificadores bancarios.

Los mismos mercados están conectados con la red rusa de la Parte I a través de las personas. La persona a la que el nodo central de Moscú atribuyó la filtración de septiembre de 2025 de datos de políticos, policías y personal del CNI españoles también vende comercialmente archivos de clientes de bancos españoles y datos de identidad; la filtración se volvió a subir a un foro de hackers en enero de 2026, junto con una nota según la cual dos menores habían sido detenidos en España a raíz de su difusión. El hacktivismo contra España y el comercio de datos de españoles comparten personal.

16.3 Qué no muestra la dark web

Las búsquedas sobre las instituciones electorales de España, el censo electoral, Correos, la Junta Electoral Central, el Ministerio del Interior y la empresa encargada del recuento solo arrojaron rastreos antiguos y enumeraciones genéricas de credenciales. A fecha de 5 de noviembre de 2026, no hay en la dark web indexada ningún listado, filtración ni denuncia de intrusión contra el proceso electoral. La amenaza que se aprecia bajo la superficie es la misma que se ve a simple vista: narrativas, ataques de baja intensidad, datos personales para la segmentación y captación de españoles. No es la papeleta.

16.4 Siembra de contenidos observada en tiempo real

El índice de la dark web también registra la capa pública de Telegram con marcas de tiempo con precisión de segundos, lo que permite observar cómo se difunde el guion fraudulento en tiempo real. A las 13:50:13 UTC del 4 de noviembre, una imagen y un texto -«El Gobierno coló en el BOE en pleno luto de Urda la recuperación del DNI digital para votar el 29-N … maniobrando sobre las dos llaves del voto: quién entra en el censo y cómo acredita su identidad»-, publicados por un canal, aparecieron en el mismo segundo en otros cuatro, dos de ellos nodos centrales del grupo patriota de la sección 5. En los espejos de X indexados junto a ellos, el hilo «EL ASALTO ELECTORAL / EL PUCHERAZO» exponía, en una misma secuencia, las afirmaciones sobre el CERA en Argentina, la ley de nietos, el DNI digital y la custodia de Correos. El guion de las elecciones robadas cuenta ahora con dos «llaves», el censo y la verificación de identidad, y una distribución de copia y pega que se activa de forma simultánea.

17. La visión de conjunto de la red

Las comunidades se calcularon únicamente entre cuentas independientes, tras eliminar medios de comunicación, cuentas gemelas de una misma marca, grupos de Facebook y cuentas descartadas. El grafo contiene 3.284 vínculos tipificados, de los cuales 1.458 enlazan cuentas independientes, que forman 58 comunidades de tres o más cuentas (las mayores: 56, 48, 26, 25 y 25 cuentas). Las capas de X y Telegram añaden sus propias estructuras, derivadas de citas, textos idénticos y reenvíos.

Figura 18. Las comunidades más grandes de cuentas independientes, coloreadas según su nivel. La red vietnamita forma un núcleo denso en torno a enlaces y textos compartidos.

En conjunto, estas estructuras describen una división del trabajo que funciona con independencia de que alguien la haya diseñado. Un nodo central en Moscú gestionado por un español traduce, recluta e intimida; un anillo en español con medio millón de suscripciones redistribuye sus marcos en cuestión de minutos y los hace llegar a canales políticos españoles. Páginas gestionadas desde el extranjero retienen audiencias captadas mediante engaños pagados. Cuentas de X radicadas en el extranjero aportan marcos y contenidos virales en cuestión de horas tras un suceso. Motores de retransmisión españoles y células de copia y pega los introducen en las cronologías nacionales. Marcas divulgativas basadas en IA e imágenes sintéticas normalizan los formatos sintéticos. El anillo ruso es el grupo con una dirección más clara; las dos operaciones comerciales, la granja vietnamita y la granja de TikTok, son las más densas; la capa de retransmisión de X es la más rápida.

Figura 19. El panorama completo, centrado en España: todos los orígenes establecidos en este informe mediante registros de plataformas, fuentes de reenvíos o índices de la dark web, con el grosor de las líneas proporcional al alcance observado. Rojo: medios estatales rusos, colectivos hacktivistas y el nodo central de Moscú. Dorado: granjas comerciales y páginas «españolas» gestionadas desde el extranjero. Azul: canales repetidores hiperpartidistas y activos virales ubicados en el extranjero.

18. Evaluación de la amenaza para la semana electoral

Esta evaluación describe las capacidades observadas durante la investigación y las fechas en que es más probable que resulten pertinentes. Distingue entre capacidades documentadas e intención confirmada, amenazas anunciadas y revelaciones confirmadas, e intentos de reclutamiento documentados y grado de participación desconocido. Está dirigida a quienes son responsables de la integridad de la votación y del orden público.

Indicadores anticipatorios que deben vigilarse

Los siguientes indicadores señalarían que se está utilizando alguna de las capacidades anteriores. Son observables en fuentes abiertas y pueden comprobarse a diario hasta que se proclamen los resultados.

Por qué esto constituye un problema de seguridad y no solo un problema mediático: las actividades documentadas aquí son distintas, tienen operadores diferentes y distintos niveles de atribución, pero actúan sobre el mismo entorno. Un ciudadano español bajo protección rusa gestiona un nodo central en español que recluta a otros españoles a cambio de dinero; las audiencias de la granja de páginas se crearon mediante engaños pagados y las administra desde el extranjero un operador comercial; los nodos más rápidos del bulo más trascendente de la campaña están situados fuera de España y se crearon o prepararon con antelación, sin que se haya identificado a quién los controla; los canales repetidores que difunden medios estatales rusos en español están automatizados y se están expandiendo a X; y los relatos fraudulentos ahora incluyen cifras, lo que les ayuda a resistir las refutaciones. Un resultado disputado el 29 de noviembre se encontraría con un entorno informativo en el que actores nacionales y extranjeros han preparado de antemano el rechazo, se ha fijado una fecha de movilización, la amplificación extranjera está en marcha y una red hostil ha anunciado de antemano que atribuirá lo que ocurra a Israel, Estados Unidos o Marruecos.

19. Conclusión: a qué se enfrenta España

Esta investigación revela que el entorno electoral español está expuesto a un arsenal diversificado de amenazas híbridas que operan simultáneamente en los ámbitos de la información, la captación, la actividad cibernética y la delincuencia. Aunque las actividades documentadas en este informe no constituyen una única operación coordinada, en conjunto demuestran cómo los actores vinculados al extranjero, la infraestructura de manipulación comercial, las redes ideológicas y los datos personales comprometidos pueden converger para explotar las tensiones políticas y debilitar la confianza institucional.

El hallazgo más grave se refiere al reclutamiento de ciudadanos españoles por parte de un español afincado en Moscú al que busca Europol. Las ofertas documentadas de dinero, visados y ciudadanía a cambio del servicio militar, de actividades como informantes y de la participación en operaciones cibernéticas van más allá de las actividades de influencia y entran en el ámbito de la seguridad nacional. Estos esfuerzos de reclutamiento, junto con el doxing de miembros de las fuerzas de seguridad españolas y la difusión de información sensible relacionada con la seguridad, apuntan a un intento hostil de movilizar a ciudadanos españoles contra las instituciones de su propio país.

Igualmente significativa es la industrialización de la influencia engañosa. Las granjas de páginas gestionadas desde el extranjero, las redes de contenido del Sudeste Asiático, el material generado por IA y los sistemas de amplificación coordinada han creado una infraestructura capaz de fabricar desde el extranjero una aparente opinión pública española. Estos recursos se crearon mediante la captación de audiencias de pago y ahora se utilizan para introducir acontecimientos políticos fabricados y desconfianza electoral en el ecosistema informativo español.

La investigación también demuestra la rapidez con la que pueden propagarse las narrativas desestabilizadoras. Las acusaciones de sabotaje en Urda aparecieron 36 minutos después del desastre; la narrativa de las elecciones robadas cruzó de América Latina a España en 29 minutos; y canales coordinados de Telegram publicaron acusaciones de fraude idénticas en el mismo segundo. Estos ejemplos muestran un entorno en el que las explicaciones fabricadas y las acusaciones que socavan la legitimidad pueden llegar a grandes audiencias más rápido de lo que las instituciones, los medios de comunicación o los verificadores pueden responder.

La disponibilidad de millones de identidades y credenciales españolas comprometidas añade otra dimensión de riesgo. Aunque esos datos procedan de filtraciones anteriores, su circulación continuada ofrece posibles herramientas para la suplantación de identidad, la ingeniería social, la mensajería dirigida y las operaciones cibernéticas durante un periodo político delicado.

Golden Owl no considera que se haya comprometido la infraestructura electoral de España ni concluye que las actividades documentadas hayan determinado el comportamiento de los votantes. La amenaza identificada en esta investigación es distinta y, en ciertos aspectos, más compleja: un ecosistema resiliente de actores, capacidades y narrativas preparado para explotar vulnerabilidades antes, durante y después de la votación. El proceso democrático de España dependerá no solo de la seguridad de las urnas, sino también de la capacidad de sus instituciones, medios de comunicación y ciudadanos para reconocer y contrarrestar el arsenal invisible que opera ya en su espacio informativo. La evidencia de este informe se recopiló y verificó con Noctua; el material que no pudo publicarse se ha puesto a disposición de las autoridades competentes.

End of Document - El arsenal invisible: amenazas híbridas para las elecciones españolas de 2026