Bauman: los documentos filtrados revelan la cantera universitaria de los operadores cibernéticos del GRU

Más de 2.000 documentos internos de la Universidad Técnica Estatal Bauman de Moscú describen un itinerario estructurado para formar personal destinado a la inteligencia militar rusa y a las operaciones cibernéticas. El centro de la investigación, publicada el 3 de septiembre de 2026, es el Department No. 4, una estructura ausente del organigrama público de la universidad, pero operativa dentro de su Military Training Center.

Conocido también como “Special Training”, el departamento habría preparado a unos 250 estudiantes de carrera y reservistas a lo largo de seis años académicos. Se estima que entre 10 y 15 personas al año eran seleccionadas, antes de completar sus estudios, para desempeñar funciones relacionadas con el GRU, la inteligencia militar rusa.

Los archivos permiten reconstruir no solo los cursos, sino también los procesos de evaluación, supervisión y asignación. Algunos graduados aparecen vinculados a unidades asociadas con APT28 y Sandworm/APT44, dos de los grupos rusos más observados por la comunidad internacional de ciberseguridad.

Más de 2.000 archivos revelan una estructura no pública

La documentación incluye registros académicos y administrativos hasta 2025. Fue examinada por un consorcio formado por The Insider, The Guardian, Le Monde, Der Spiegel, Delfi, VSquare y FRONTSTORY.PL, mientras que DomainTools realizó un análisis independiente de los archivos.

Los datos podrían haber sido difundidos en DarkForums por un usuario identificado como “Losyash”. Sin embargo, no se ha podido determinar si esta cuenta sustrajo directamente los documentos o si los obtuvo de otra fuente.

El valor de la filtración reside en el nivel de detalle de la información. Los archivos muestran un mecanismo institucional que comienza en la universidad, continúa con una formación técnica y militar especializada y culmina con la asignación a estructuras del Estado Mayor ruso.

El Department No. 4 habría operado sin aparecer en la representación pública de la universidad. Este elemento, junto con la denominación “Special Training”, apunta a una separación organizativa respecto de los itinerarios académicos convencionales, aunque manteniendo el acceso a las capacidades científicas e ingenieriles de Bauman.

La estructura habría formado a unas 250 personas en tres especialidades militares: inteligencia especial, empleo y contramedidas frente a medios de influencia técnico-informativa, y protección de las tecnologías de la información. Por tanto, no se trataba de un curso universitario convencional de ciberseguridad.

Un plan de estudios que combina ataque, defensa e inteligencia

Las asignaturas reconstruidas a partir de los documentos cubren todo el ciclo de una operación cibernética militar. Incluyen espionaje, operaciones ofensivas, reconocimiento electrónico, protección de sistemas, criptografía, esteganografía, análisis de código y detección de intrusiones.

Una parte del programa estaba dedicada al análisis de malware y a la cyber threat intelligence. Este detalle es significativo porque demuestra la preparación de operadores capaces no solo de desarrollar o emplear herramientas ofensivas, sino también de estudiar las técnicas, infraestructuras y comportamientos de sus adversarios.

La formación también abarcaba el nivel físico y la cadena de suministro. Entre los temas figuraban:

• inspección de hardware y búsqueda de implantes físicos;
• análisis de firmware y sistemas embebidos;
• identificación de funcionalidades no documentadas en los dispositivos;
• verificación y protección de plataformas militares especializadas;
• seguridad y adquisición en la supply chain;
• protección de sistemas destinados a procesar información sensible.

Las actividades de red team y blue team no se organizaban como itinerarios separados. El ataque y la defensa se trataban como componentes de una misma disciplina, con el objetivo de formar personal capaz de comprender ambas perspectivas operativas.

Este enfoque ayuda a interpretar la naturaleza del programa. El operador no se prepara para desempeñar una única función técnica, sino para moverse entre la intrusión, la protección, el análisis y el apoyo a la inteligencia. Es una formación multidisciplinar, concebida para asumir distintas responsabilidades dentro del aparato militar.

La propaganda entra en los ejercicios académicos

El concepto de cyber warfare adoptado por el Department No. 4 no se limitaba a comprometer redes y dispositivos. Los documentos también incluyen actividades prácticas de influencia informativa.

En uno de los ejercicios, los estudiantes debían producir un vídeo para redes sociales utilizando técnicas descritas en los materiales didácticos como manipulación, presión y propaganda encubierta. El trabajo se reconocía como parte de la formación académica.

Los cursos definían las “armas técnico-informativas” en términos amplios: herramientas y métodos capaces de alterar, copiar, bloquear, destruir o manipular información. En este marco, un malware, una capacidad de reconocimiento y un contenido propagandístico pueden pertenecer al mismo espacio operativo.

La distinción occidental entre seguridad de redes, guerra electrónica e influencia resulta, por tanto, menos nítida en el programa. Las capacidades se integran para apoyar campañas en las que la recopilación de información, la intrusión técnica y la manipulación de la percepción pueden perseguir objetivos comunes.

Para los defensores, este modelo sugiere que no se debe analizar automáticamente cada actividad como un incidente aislado. Una campaña de espionaje puede preparar una acción destructiva o alimentar una operación de influencia, sin que todas las fases estén a cargo de las mismas personas.

Los vínculos con APT28, Sandworm y la Military Unit 29155

Uno de los nombres más relevantes que aparecen en los archivos es Viktor Netyksho, Major General y antiguo comandante de la Military Unit 26165. Esta unidad del GRU está asociada públicamente con APT28, también conocido como Fancy Bear, Sofacy y STRONTIUM.

Netyksho figura entre los 12 oficiales del GRU acusados formalmente por Estados Unidos en 2018 por las interferencias en las elecciones presidenciales de 2016. La documentación lo sitúa dentro de la estructura docente y de supervisión del Department No. 4 y menciona su anterior cargo en el 85th Main Special Service Center.

Los documentos también indican la asignación de graduados a tres unidades:

• Military Unit 26165, asociada con APT28;
• Military Unit 74455, asociada con Sandworm o APT44;
• Military Unit 29155, vinculada con operaciones de sabotaje y asesinatos en Europa.

La Military Unit 74455, denominada Main Center for Special Technologies, ha sido asociada con el ataque de NotPetya de 2017 y con otras operaciones destructivas contra Ucrania. Entre los graduados aparece Aleksei Kondrashov, quien habría completado el itinerario del Department No. 4 en 2024 y figura vinculado precisamente con la Unit 74455.

Sin embargo, el vínculo documental no demuestra que Kondrashov participara en NotPetya ni en otras actividades concretas. El mismo límite se aplica a todas las personas mencionadas en los registros: una asignación administrativa, una relación de supervisión o la pertenencia a una unidad no demuestran por sí solas la responsabilidad individual en un ataque.

Qué cambia para la atribución de las operaciones rusas

El hallazgo no identifica una nueva vulnerabilidad, un malware desconocido ni una infraestructura de command and control. En cambio, reconstruye el sistema mediante el cual se identifica, forma y dirige a una parte de los operadores hacia estructuras del GRU.

Para la threat intelligence, los documentos aportan contexto organizativo. Permiten relacionar itinerarios universitarios, supervisores militares, especializaciones técnicas y asignaciones posteriores, dibujando una cantera estable en lugar de una serie de procesos de reclutamiento ocasionales.

La presencia, dentro del mismo programa, de capacidades asociadas con APT28 y Sandworm también refuerza una interpretación integrada de las actividades rusas. El espionaje, el sabotaje digital, el reconocimiento militar, la vigilancia técnica y la influencia pueden compartir doctrina, formación y canales de reclutamiento.

No se han publicado indicadores técnicos de compromiso, como direcciones IP, dominios, hashes o muestras de malware. Por tanto, no se dispone de reglas de detección ni de medidas de mitigación que puedan extraerse directamente de los archivos.

No obstante, las organizaciones pueden ajustar su metodología analítica. La monitorización debería correlacionar unidades militares, personas, cargos, competencias formativas y grupos de amenazas, manteniendo una separación rigurosa entre indicios contextuales y pruebas técnicas. Atribuir un incidente requiere telemetría, infraestructuras, malware, procedimientos operativos y otros elementos verificables.

Los documentos aclaran cómo puede llegar el personal a las unidades. No demuestran automáticamente qué hizo cada graduado después de su asignación.