Los primeros titulares hablan de «brecha» y de «ciberataque ruso». Se equivocan en cuanto al vector. No se equivocan, sin embargo, en que el archivo es real y está circulando.
¿Quién lo elaboró?
Las fuentes ya apuntan a Enrique Arias Gil, de 38 años, un profesor de español fugado, uno de los más buscados por Europol, alias «Desinformador Ruso». La Razón lo identifica el día 16. Al día siguiente, *El País* también tiene el expediente y encarga el caso a la Unidad de Ciberamenazas de la Comisaría General de Información. El SUP escribe al director general, Francisco Pardo, sobre el riesgo para los agentes y sus familias.
Arias publicó el PDF recopilado en su propio canal de Telegram el 27 de julio y luego cerró el chat. El 16 de agosto no es la fecha de la filtración. Es el día en que un periódico nacional saca a la luz las 499 páginas y el dossier comienza a circular por las redacciones y los sindicatos.
Lo que esto no es
No se trata de un hackeo del Ministerio del Interior. No es una filtración de una base de datos policial. No se trata de un «zero-day». Tres días después, el 19 de agosto, fuentes de CGI informan a El País de que el material procede de OSINT: Instagram —especialmente fotos de agentes jóvenes vestidos de uniforme— y un grupo público de Telegram donde los agentes alquilan pisos cuando se trasladan. Algunas fichas son antiguas. Otras son erróneas. Se mezclan datos de la Policía Nacional y de la Guardia Civil. El Español hablará de más de 600 archivos y de un «hacker a sueldo de Moscú». CGI habla de unos 2.000 y de una venganza personal, no de un plan de campaña de NoName057(16).
NoName057 realiza ataques DDoS. Su herramienta es DDoSia. España ha sufrido esas oleadas desde que el Gobierno apoyó a Ucrania: el Ministerio del Interior el 23 de julio de 2023, Moncloa, el INE, Renfe, la Junta Electoral y la Casa Real. Eastwood, en julio de 2025, derribó más de 100 servidores; España, con el CCN y el CNI, se llevó 42. El grupo tardó ocho días en recuperarse. Ese es el grupo. Este dossier es un PDF de huellas públicas con un encabezado ruso, recopilado por un hombre que busca prestigio en esa red. La amenaza para las personas que aparecen en el archivo es real. El vector no es un exploit.
No hay ninguna filtración del Ministerio del Interior. No hay ningún registro ministerial, ni ninguna solicitud de personal filtrada. Hay una recopilación de 499 páginas de lo que la gente dejó a la vista, y una primera jornada mediática en la que se calificó de «hackeo» porque un PDF en ruso se vende mejor así. El artículo del CGI del 19 de agosto es la rectificación. Este artículo es la difusión.
