Viena señala al FSB por ciberespionaje

El Ministerio de Exteriores de Austria convocó el 14 de julio al embajador ruso en Viena. La protesta no tenía que ver con el comercio, la energía o Naciones Unidas, sino con una intrusión informática ocurrida en torno al cambio de año de 2019 a 2020 (Kurier/APA). Han pasado cinco años entre el ataque y la acusación pública. Ese retraso no responde a simple lentitud administrativa: refleja el tiempo que necesitan los gobiernos para verificar las pruebas, compartirlas con sus aliados por canales clasificados y decidir, de forma coordinada, que señalar al autor compensa el coste diplomático.

Un ministerio de Exteriores no es una red administrativa más. Guarda telegramas de embajadas, instrucciones de negociación, evaluaciones sobre las intenciones de otros gobiernos y redes de contactos. Un servicio de inteligencia que accede de forma discreta a esos flujos no aprende solo qué ha decidido un Gobierno, sino cómo piensa y dónde están sus divisiones. Al convocar al embajador, Viena convirtió una intrusión oculta en una acusación formal entre Estados.

Los ladrones que copian las llaves

El ataque se atribuye ahora públicamente a Turla, un grupo que investigadores independientes y varios gobiernos vinculan al Centro 16 del FSB ruso (GovCERT Austria). Turla no actúa como una banda de ransomware que bloquea archivos y exige bitcoins. Se parece más a un equipo profesional de ladrones al servicio de una agencia de inteligencia: no rompe una ventana para llevarse la caja registradora, sino que copia las llaves en silencio, vuelve una y otra vez, lee los expedientes, fotografía los cuadernos y deja el menor rastro posible. La investigación de Google Threat Intelligence describe Turla como un ecosistema de obtención de inteligencia diseñado precisamente para mantener ese acceso paciente a objetivos estratégicos (Google Threat Intelligence).

Austria no actuó sola. La convocatoria formó parte de un paquete europeo coordinado de atribución y sanciones en el que la UE, el Reino Unido y varios Estados miembros señalaron públicamente a los mismos grupos de ciberespionaje vinculados al Estado ruso (CyberScoop). Francia fue especialmente directa. París afirmó que su agencia nacional de ciberseguridad, la ANSSI, sus servicios de inteligencia y sus unidades militares de ciberdefensa habían investigado conjuntamente las intrusiones y vinculado la campaña de espionaje al Centro 16 del FSB, también conocido como Unidad 61240 (French Foreign Ministry). Ese nivel de detalle institucional no es habitual: Francia estaba mostrando, en la práctica, la cadena de conocimiento técnico que sostiene su conclusión. Alemania convocó también al embajador ruso por lo que Berlín calificó de «campañas cibernéticas desestabilizadoras» (Tagesschau). Rusia rechazó todas las acusaciones por considerarlas infundadas.

Huellas coincidentes, no una prueba definitiva

Ningún documento publicado demuestra por sí solo el caso. Lo que muestra el registro público es una convergencia: varios gobiernos e investigadores independientes llegan al mismo actor por vías distintas. El proceso se parece a una investigación penal que construye el expediente con pruebas que se solapan, no con una confesión única. Los defensores comparan las «huellas» del código malicioso, es decir, patrones recurrentes propios de un grupo; comprueban si se reutilizaron los mismos servidores y nombres de dominio en distintas operaciones, y observan los horarios de actividad de los atacantes, que en el caso de Turla llevan años coincidiendo con la jornada laboral de Moscú. A eso, los gobiernos añaden inteligencia clasificada, como comunicaciones interceptadas (Google Threat Intelligence, GovCERT Austria).

La cautela necesaria es clara: Austria no ha publicado un informe forense, una cadena completa del malware ni un mapa de la infraestructura utilizada. Un lector externo no puede reconstruir por su cuenta las pruebas. Es lo habitual en atribuciones basadas en inteligencia, pero implica que la confianza en el juicio depende más de la credibilidad institucional que de una demostración pública verificable.

Una presión que se acumula despacio

La respuesta jurídica de la UE es la Decisión (PESC) 2026/1713 del Consejo, que actualiza el marco de sanciones cibernéticas creado en 2019 (EUR-Lex). En la práctica, las personas incluidas en la lista quedan sometidas a prohibiciones de viaje y congelación de activos bajo jurisdicción europea, y las personas y empresas de la UE no pueden poner fondos a su disposición. La alta representante, Kaja Kallas, confirmó que la UE y el Reino Unido imponían sanciones al ecosistema cibernético ruso más amplio y que también se convocaría a un representante ruso ante la UE (EEAS).

Estas herramientas no harán desaparecer a Turla. Buscan encarecer la participación en ese ecosistema y hacerla más visible. La Comisión Europea enmarca esta estrategia más amplia como «ciberdiplomacia»: combinar diálogo diplomático, medidas preventivas y restricciones financieras punitivas (European Commission).

El caso neerlandés muestra por qué el problema va más allá de los ministerios. Los servicios de inteligencia de Países Bajos advirtieron en julio de que actores estatales rusos habían comprometido cámaras conectadas a internet en toda Europa con fines militares (AIVD). Una cámara hackeada cerca de una ruta sensible funciona como unos prismáticos ocultos junto a una vía de suministro. El caso del Ministerio de Exteriores austriaco aplica la misma lógica a la información diplomática: el atacante observa, aprende y reutiliza lo que encuentra.

Lo que ha cambiado no es la amenaza, sino la disposición europea a señalar públicamente al atacante, asumir el coste diplomático y construir una arquitectura de sanciones alrededor de esa decisión. La prueba será si los gobiernos europeos pueden atribuir, coordinar y sancionar con la frecuencia suficiente para que los operadores rusos y quienes los patrocinan paguen un coste visible. La disuasión basada en pruebas clasificadas siempre será difícil de demostrar ante la opinión pública. Pero acumular consecuencias, una convocatoria diplomática y una congelación de activos cada vez, marca una posición distinta al silencio.