🌐 Contexte

Publié le 5 novembre 2026 par Golden Owl® sur sa plateforme Noctua™ (Intelligence-as-a-Service), ce rapport d’enquête OSINT de 96 minutes de lecture couvre la période du 20 août au 5 novembre 2026. Il analyse les menaces hybrides pesant sur les élections générales espagnoles du 29 novembre 2026, à partir de 54 737 éléments collectés sur Facebook, Instagram, TikTok, YouTube, X et Telegram, ainsi que 528 documents du dark web.

🕵️ Réseau russe et recrutement de citoyens espagnols

Enrique Arias Gil, politologue espagnol recherché par Europol (mandat d’arrêt de l’Audiencia Nacional depuis le 12 septembre 2025), opère depuis Moscou le canal Telegram “Desinformador Ruso” (@musicarusaesp, 14 542 abonnés). Entre le 21 octobre et le 3 novembre 2026, ce canal a publié :

  • 9 annonces de recrutement pour l’armée russe (2 500–3 000 $/mois + prime de 25 000 $)
  • 3 appels à informateurs ciblant des fonctionnaires espagnols contre rémunération
  • 1 invitation à participer au projet DDoSia (cyberattaques rémunérées en cryptomonnaie)
  • Une campagne de doxxing (“El Purgatorio”) exposant des militaires espagnols en activité

Un anneau de canaux Telegram en langue espagnole (~350 000 abonnés, 8,5 millions de vues en 16 jours) redistribue les narratifs pro-Kremlin : Liu Sivaya, Guerras y Geopolíticas, Ucraniando, Rybar ES, El Informador Global, GEOESTRATEGIA.EU, Lyudmila Z, entre autres.

🇻🇳 Ferme de pages vietnamiennes sur Facebook

12 pages Facebook se présentant comme des médias espagnols sont gérées depuis le Vietnam selon les registres de transparence de Meta. Ensemble, elles totalisent ~270 000 abonnés, acquis via des publicités payantes ciblant les Espagnols âgés. Depuis le 27 octobre, ces pages publient des histoires électorales fabriquées. Un journal de stealer dark web a exposé le poste de travail d’un opérateur vietnamien contenant : Blogbio (plateforme éditoriale, opérée par Metaconex Ltd, Hong Kong BRN 75913165), Facebook Business Manager, AdsConex, générateurs de contenu IA et une marketplace de comptes.

⚡ Opérations sur X : Urda et le script de l’élection volée

  • Catastrophe ferroviaire d’Urda (28 octobre) : des allégations de sabotage sont apparues 36 minutes après la collision. Une fausse citation attribuée à Netanyahu a généré 606 711 vues depuis un compte placé en Argentine. 364 posts de 272 auteurs en 48 heures.
  • Transfert du narratif brésilien : des allégations de fraude électorale ont traversé de l’Amérique latine vers l’Espagne en 29 minutes, adaptées par un compte américain (691 000 abonnés) accusant le gouvernement espagnol de préparer une fraude.
  • Cellule copier-coller : 4 comptes X (@MaraLpe15548762, @RebecaS18628035, @pacoredondo, @CovadongaFernn6) publient des textes identiques sur la fraude postale en moins de 19 minutes, dans un ordre fixe, documenté sur 6 épisodes.

🤖 Médias synthétiques et fermes TikTok

  • 25 comptes TikTok postant depuis les États-Unis, l’Allemagne et la France ont généré 1,39 million de lectures avec des hashtags identiques liés à Ceuta.
  • Un compte (@cne_oficial) a usurpé l’identité d’une autorité électorale pour appeler à ne pas voter.
  • Vague de 140 nouvelles chaînes YouTube créées après le 1er septembre 2026 utilisant des voix IA non divulguées.

🕳️ Couche dark web

Des données personnelles espagnoles disponibles à la vente pendant la campagne :

  • +13 millions de profils complets avec numéro DNI
  • 113 000 combinaisons email/mot de passe
  • Le même persona lié au hub de Moscou commercialise des fichiers de clients bancaires espagnols

Aucune compromission de l’infrastructure électorale (JEC, Correos, Indra) n’a été détectée dans le dark web indexé au 5 novembre 2026.

📊 Évaluation des menaces pour la semaine électorale

Les capacités documentées couvrent : exploitation d’incidents en temps réel, fuites de données de fonctionnaires, cyberattaques DDoS et ICS par NoName057(16)/Z-Pentest, mobilisation post-électorale (Blocus, 30 novembre, 12 villes), et exploitation des données personnelles compromises pour du ciblage ou de l’ingénierie sociale.

📋 Type d’article

Il s’agit d’une publication de recherche OSINT approfondie, produite par une plateforme d’intelligence commerciale, visant à documenter et exposer publiquement les capacités d’influence et d’interférence hybrides actives dans l’environnement informationnel espagnol avant une échéance électorale majeure.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • NoName057(16) (hacktivist) — orkl.eu · Malpedia
  • Z-Pentest Alliance (hacktivist) — orkl.eu · Malpedia
  • TwoNet (hacktivist) —
  • Shadow ClawZ 404 (hacktivist) —
  • Z-Alliance (hacktivist) —
  • Enrique Arias Gil / Desinformador Ruso (state-sponsored) —

TTP

  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1586.001 — Compromise Accounts: Social Media Accounts (Resource Development)
  • T1585.001 — Establish Accounts: Social Media Accounts (Resource Development)
  • T1591 — Gather Victim Org Information (Reconnaissance)
  • T1597 — Search Closed Sources (Reconnaissance)
  • T1498 — Network Denial of Service (Impact)
  • T1565 — Data Manipulation (Impact)
  • T1491.002 — Defacement: External Defacement (Impact)
  • T1560 — Archive Collected Data (Collection)
  • T1589.002 — Gather Victim Identity Information: Email Addresses (Reconnaissance)
  • T1608.006 — Stage Capabilities: SEO Poisoning (Resource Development)
  • T1055 — Process Injection (Defense Evasion)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 10 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • DDoSia (tool)

🟡 Indice de vérification factuelle : 55/100 (moyenne)

  • ⬜ goldenowl.ai — source non référencée (0pts)
  • ✅ 124458 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 11 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ 0/3 IOCs confirmés externellement (0pts)
  • ✅ 12 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : NoName057(16), Z-Pentest Alliance, TwoNet (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://goldenowl.ai/resources/research/The-Invisible-Arsenal-Hybrid-Threats-to-Spain-2026-Elections