La paciencia de Europa con Moscú se ha agotado. En una acción claramente coordinada, la Unión Europea ha señalado directamente al Centro 16 del FSB, también conocido como unidad militar 71330, como máximo responsable de una amplia gama de actividades cibernéticas maliciosas que han afectado a múltiples Estados miembros y socios internacionales durante años.

Según la alta representante para Política Exterior de la UE, Kaja Kallas, en declaraciones realizadas en Bruselas, "los ciberataques rusos están aumentando en magnitud y gravedad. Por primera vez, la UE y el Reino Unido imponen simultáneamente sanciones al ecosistema más amplio que permite estos ataques, incluidos delincuentes, hacktivistas y empresas que operan a instancias de Moscú". Kallas subrayó que se trata de "el mayor paquete de sanciones cibernéticas de la UE jamás adoptado".

La UE ha acusado al Centro 16 del FSB de "controlar" diversos grupos de amenazas cibernéticas, entre ellos el conocido como Turla. Según el comunicado oficial de Bruselas, "durante años, el FSB ha llevado a cabo una amplia gama de actividades cibernéticas maliciosas, cada vez más graves, que han afectado a la UE, a sus Estados miembros y a socios internacionales, en particular a Ucrania", incluyendo "infiltración en redes gubernamentales y el sabotaje de infraestructuras críticas".

Los países más afectados por estas operaciones son Francia, Alemania y Polonia. En Francia, el Centro 16 ha realizado actividades de ciberespionaje contra entidades gubernamentales estratégicas desde 2010 y contra la industria de defensa en 2025. En Alemania, los ataques se han dirigido principalmente contra entidades gubernamentales. En Polonia, el Centro 16 ha llevado a cabo "operaciones de sabotaje disruptivas contra infraestructuras críticas, incluidas centrales de cogeneración". Las actividades ilícitas de este grupo vinculado al FSB también se han rastreado en Chipre, Países Bajos, Austria, Eslovaquia, Rumania y Finlandia.

Kallas ha anunciado que la UE convocará al representante ruso ante la Unión Europea para tratar la campaña cibernética de Moscú. Tres de los países más afectados, Francia, Finlandia y Alemania, han anunciado que convocarán a los respectivos embajadores rusos para pedir explicaciones.

Francia ha anunciado que impondrá sanciones adicionales a ciudadanos y empresas rusas. El ministro de Exteriores francés, Jean-Noël Barrot, declaró al canal de televisión BFM que "hoy condenaremos públicamente una campaña cibernética a gran escala llevada a cabo por Rusia con el objetivo de cometer actos de sabotaje y espionaje contra una docena de países". Berlín, por su parte, ha prometido responder con firmeza y aplicar sanciones adicionales.

El Reino Unido ha impuesto sanciones individuales contra los responsables que hay detrás de Lumma Stealer, un malware operado por una red cibercriminal rusa que permite recopilar información sensible y alterar sistemas a gran escala. Según la Agencia Nacional contra el Crimen del Reino Unido, en los últimos seis meses ha habido al menos 2.100 víctimas del virus Lumma Stealer en todo el país. Rusia ha utilizado las contraseñas y credenciales robadas por esta plataforma para llevar a cabo ciberataques globales de respaldo a los objetivos del Kremlin.

La ministra británica de Asuntos Exteriores, Yvette Cooper, subrayó que "estas sanciones golpean directamente al corazón de las redes cibercriminales que impulsan la agresión del Estado ruso. El Reino Unido y la UE mandan de este modo a Rusia el mensaje claro de que no puede ocultarse detrás de estos grupos subsidiarios". Cooper añadió que "desde las órdenes a criminales o los ataques a empresas, o el sabotaje a la red eléctrica de Polonia en lo más crudo del invierno, Rusia está llegando cada vez a niveles más bajos en su intento de socavar la seguridad de Europa".

Londres también ha impuesto sanciones contra 10 individuos que forman parte de la dirección y el diseño de contenidos de Rybar LLC, la compañía que está detrás de la difusión de informaciones falsas sobre Ucrania y que ha participado en actos de injerencia en los procesos electorales de Moldavia y Armenia.

A escala europea, la UE ha actualizado sus listas negras de sancionados con nueve individuos y cuatro entidades más. Las sanciones de los Veintisiete afectan a oficiales del espionaje del Departamento Central de Inteligencia del ejército ruso (GRU), a ciberdelincuentes autodenominados hacktivistas y a empresas privadas que contribuyen a los esfuerzos de Rusia por desestabilizar a la UE, a sus Estados miembros y a sus socios internacionales.

La OTAN ha respaldado esta acción conjunta y ha instado a Moscú a que "ponga fin a estas actividades desestabilizadoras que incumplen las normas internacionales acordadas sobre el comportamiento responsable de los Estados en el ciberespacio". La Alianza ha advertido que "estamos preparados para utilizar todo nuestro abanico de capacidades con el fin de disuadir, defendernos y contrarrestar todo el espectro de amenazas cibernéticas. Estamos preparados para responder a ellas en el momento y de la forma que decidamos, de conformidad con el derecho internacional".

Esta acción coordinada representa un punto de inflexión en la respuesta occidental a las operaciones cibernéticas rusas. Por primera vez, la UE y el Reino Unido imponen sanciones simultáneamente contra el ecosistema completo que permite estos ataques, reconociendo públicamente el vínculo directo entre los servicios de inteligencia estatales rusos y las redes de ciberdelincuentes que ejecutan las operaciones. Las sanciones buscan no solo castigar a los responsables directos, sino también desmantelar la infraestructura que permite que Rusia continúe llevando a cabo estas actividades de sabotaje y espionaje contra objetivos civiles y militares en toda Europa.