Rusia es uno de los actores más agresivos del ciberespacio, y lo que distingue a su hacking estatal es la voluntad de sabotear e influir, no solo espiar. Detrás operan varios servicios de inteligencia, cada uno con sus grupos.
Quiénes son. Al servicio de inteligencia militar (GRU) se le atribuyen APT28 ("Fancy Bear") y, sobre todo, Sandworm, el grupo más destructivo. Al servicio de inteligencia exterior (SVR) se le atribuye APT29 ("Cozy Bear"), especialista en espionaje sigiloso. Y al FSB, grupos como Turla, muy sofisticados en el espionaje de largo recorrido.
Qué hacen y dónde impactan. Su actividad combina espionaje a gobiernos y OTAN, operaciones de influencia (como la intrusión y filtración durante las elecciones de EE. UU. en 2016, atribuida a APT28) y, la más grave, el sabotaje de infraestructuras. Ucrania ha sido su laboratorio: apagones provocados por ciberataques a la red eléctrica en 2015 y 2016, atribuidos a Sandworm. Y el ataque NotPetya (2017), un malware destructivo lanzado contra Ucrania que se propagó por todo el mundo causando miles de millones en daños — uno de los ciberataques más costosos de la historia.
Técnicas que siguen. A alto nivel y de dominio público: correos de spear-phishing muy dirigidos, robo de credenciales, ataques a la cadena de suministro (el caso SolarWinds de 2020, atribuido a APT29, comprometió a miles de organizaciones a través de una actualización de software legítima), uso de malware destructivo (wipers como NotPetya), y "vivir de la tierra" (usar herramientas legítimas del sistema para no ser detectados). APT29 destaca por su paciencia y sigilo; Sandworm, por su capacidad de destrucción.
Por qué te interesa. Entender el modo de operar ruso es entender el peor escenario defensivo: un adversario que no quiere robarte, sino paralizarte. Estudiar sus campañas es una clase magistral de por qué importan la segmentación de redes, la seguridad de la cadena de suministro y la detección temprana.