Los bots rusos caen un 84 % tras ataques a Yandex, pero se recuperan en días
Los ataques contra los centros de datos de Yandex en Rusia han tenido una consecuencia que va más allá de las aplicaciones que dejaron de funcionar: un grupo de cuentas sospechosas de manipular el debate sobre Ucrania redujo su actividad casi un 84 % en un solo día, según un análisis elaborado por un organismo ucraniano.
La cifra es llamativa, pero conviene entender exactamente qué se midió. El estudio se centró en cuentas concretas de Facebook y Telegram, y la caída duró poco: buena parte de los mensajes regresaron a los niveles anteriores en cuestión de días. Además, un análisis independiente de Cloudflare ofrece una perspectiva bastante distinta sobre el conjunto de los bots alojados en infraestructuras rusas.
Lo que dejan estos datos es una historia interesante sobre la dependencia de la infraestructura digital, la facilidad para trasladar operaciones automatizadas y los límites de medir la desinformación únicamente por el volumen de tráfico.
Tres ataques contra la infraestructura de Yandex en apenas cuatro días
Yandex es uno de los gigantes tecnológicos de Rusia, con servicios de búsqueda, mapas, pagos, transporte y computación en la nube. Su infraestructura no solo sostiene productos propios, sino que también presta capacidad a empresas y desarrolladores que dependen de sus centros de datos para operar.
El 8 de octubre de 2026, un ataque y el incendio posterior provocaron, según fuentes abiertas citadas por el Centro ucraniano para la Lucha contra la Desinformación, la paralización de unas instalaciones de Yandex en Sasovo, en la región de Riazán. El organismo señala que allí estaban alojados dos de los tres superordenadores de la empresa.
El 9 de octubre se registró otro ataque contra infraestructura de Yandex en Kaluga, con daños parciales. Durante la noche del 11 de octubre, una tercera instalación situada en la región de Vladímir también sufrió daños, y el informe ucraniano afirma que dejó de funcionar por completo. Reuters confirmó que Yandex había informado de ataques contra centros de datos durante esa semana.
El impacto de estos golpes se hizo notar en servicios digitales cotidianos, además de poner de relieve una vulnerabilidad de la economía conectada: cuando demasiados servicios dependen de un número reducido de instalaciones, una avería importante puede tener efectos en cadena. Rusia ya había experimentado otros problemas de conectividad, como los apagones de Internet móvil en Moscú que dispararon las ventas de radios y mapas de papel.
De 4.032 mensajes a 660: de dónde sale la caída del 84 %
El informe publicado el 15 de octubre por el Centro para la Lucha contra la Desinformación de Ucrania examinó la actividad entre los días 6 y 12 de octubre. Sus investigadores utilizaron la herramienta Osavul para identificar 5.201 cuentas con indicios de comportamiento no auténtico, relacionadas con 26 temas del entorno informativo ucraniano.
En total, la muestra reunió 22.664 mensajes: 14.058 publicados en Facebook y 8.606 en Telegram. Los investigadores eliminaron duplicados entre temas y contabilizaron como activa cada cuenta que había publicado al menos un mensaje en el día correspondiente. Por tanto, las cifras no describen todas las cuentas rusas ni todo el tráfico automatizado de Internet.
El 8 de octubre, el volumen diario pasó de 4.032 publicaciones a solo 660, una bajada del 83,6 %. El número de cuentas activas descendió al mismo tiempo de 1.526 a 258, equivalente a un 83,1 %. En Telegram la caída de mensajes fue del 90 %, mientras que en Facebook se situó en el 79,5 %.
La coincidencia temporal entre el cierre de Sasovo y el descenso de publicaciones resulta significativa, pero una correlación no demuestra por sí sola que el ataque haya causado todos esos cambios. No se ha acreditado que cada una de las cuentas analizadas funcionara desde Yandex, ni que todas estuvieran coordinadas por una misma organización.
Los mensajes volvieron rápidamente y hubo un segundo bajón
La recuperación comenzó casi de inmediato. El 9 de octubre se registraron 2.231 mensajes, el 10 de octubre fueron 4.585 y el día 11 llegaron a 4.711. Es decir, la actividad no solo se recuperó, sino que superó el nivel previo al primer ataque dentro del periodo analizado.
Ese comportamiento es relevante porque impide interpretar el dato del 84 % como una eliminación permanente de las redes sospechosas. Los operadores pudieron restablecer servicios, reorganizar su infraestructura o recurrir a otros sistemas, aunque el estudio no identifica en cada caso cuál fue el mecanismo concreto de recuperación.
Tras el ataque del 11 de octubre contra el centro de datos de Vladímir se produjo una nueva caída. El día 12, el número de mensajes pasó de 4.711 a 2.704, un descenso del 42,6 %. Las cuentas activas bajaron de 1.976 a 1.166, lo que supone una reducción del 41 %.
Los investigadores no observaron un bajón equivalente tras los daños parciales registrados en Kaluga el 9 de octubre. Su hipótesis es que la gravedad de las interrupciones podría influir en el comportamiento de las cuentas investigadas, aunque para demostrar una relación causal directa harían falta más datos técnicos sobre la infraestructura empleada.
Qué publicaban las cuentas sospechosas de desinformación
Además de estudiar el volumen general de mensajes, el organismo ucraniano seleccionó 98 cuentas que habían difundido contenidos que justificaban la invasión rusa, promovían teorías conspirativas o incitaban a la hostilidad y la violencia. Esas cuentas generaron 1.349 publicaciones durante la semana observada.
El informe describe mensajes que presentaban a las autoridades ucranianas como ilegítimas, atribuían a Ucrania la responsabilidad de ataques rusos o difundían explicaciones engañosas sobre los cortes de electricidad. También aparecieron textos casi idénticos publicados desde perfiles diferentes, un indicio que puede resultar compatible con una actividad coordinada.
En ese grupo reducido, las publicaciones descendieron de 198 a 44 el 8 de octubre, una caída del 77,8 %. Después aumentaron a 120 el día 9, 241 el día 10 y 313 el día 11. El 12 de octubre volvieron a bajar, esta vez a 159 mensajes, un 49,2 % menos que la jornada anterior.
Hay un matiz importante: el organismo contó todos los mensajes de esas 98 cuentas, incluidos los que tenían contenido neutral. Esto permite estudiar los cambios en su ritmo de publicación, pero no significa que cada mensaje contabilizado fuese desinformación ni que cada perfil fuera necesariamente un bot plenamente automatizado.
Cloudflare cuestiona que los ataques hayan silenciado a los bots rusos
El 14 de octubre, Cloudflare publicó su propio análisis del tráfico procedente de Yandex y de otras redes rusas. Su conclusión fue muy diferente de la lectura más espectacular de los gráficos virales: los ataques no demostraban una paralización general de la manipulación en redes sociales ni de los bots maliciosos.
La compañía hizo una distinción fundamental. Buena parte de las peticiones automatizadas asociadas a la red del buscador Yandex procedían de rastreadores legítimos que indexan páginas para los resultados de búsqueda. Que desaparezcan esas peticiones no equivale a que miles de cuentas dedicadas a propaganda hayan dejado de publicar.
En el caso de Yandex.Cloud sí se detectaron descensos de actividad automatizada potencialmente maliciosa, incluidos escaneos de vulnerabilidades. Sin embargo, Cloudflare identificó tráfico con características técnicas equivalentes que empezó a llegar desde otros proveedores rusos, como Radist y Selectel. En uno de sus conjuntos de clientes del sector de los juegos de azar, las solicitudes automatizadas de origen ruso incluso aumentaron un 1,4 %, de 167,7 a 170,1 millones.
Cloudflare también examinó solicitudes relacionadas con publicar, responder y dar «me gusta» en una plataforma social no identificada. El tráfico automatizado procedente de direcciones IP rusas cayó un 5,7 % en ese conjunto, una variación que la empresa no consideró anómala. Sus datos no refutan necesariamente la caída observada en las 5.201 cuentas del estudio ucraniano: ambos informes analizan muestras, métodos y fenómenos distintos, y ninguno ofrece una radiografía completa de toda la desinformación rusa.
La lección: interrumpir servidores es más fácil que acabar con una red de bots
La principal conclusión tecnológica es que los centros de datos son infraestructuras físicas vulnerables, pero las operaciones de software pueden ser mucho más móviles. Cuando un proveedor falla, muchas aplicaciones y tareas automatizadas se pueden trasladar a otra red o a otra instalación, siempre que los operadores tengan recursos y acceso a alternativas.
Los datos del organismo ucraniano sugieren interrupciones intensas, pero de corta duración, en un grupo delimitado de cuentas sospechosas. El análisis de Cloudflare, en cambio, muestra que una parte relevante de la automatización maliciosa siguió funcionando o reapareció desde otras redes. Son dos observaciones que pueden coexistir sin que una invalide automáticamente a la otra.
Conviene recordar también que la palabra «bot» abarca realidades muy diferentes. El rastreador de un buscador, una herramienta de monitorización, un programa que busca fallos de seguridad y una cuenta que intenta manipular una conversación pública pueden ser automatizados, pero sus funciones, riesgos y formas de identificarlos son completamente distintos. No sorprende que Cloudflare lleve tiempo alertando del crecimiento del tráfico de bots en Internet.
Por eso, el titular más preciso no es que Rusia haya perdido el 84 % de sus bots, sino que una muestra de cuentas con comportamiento sospechoso redujo sus publicaciones un 83,6 % durante un día tras uno de los ataques. El fenómeno merece atención, pero la propia recuperación observada y los datos externos invitan a evitar conclusiones más amplias de las que permiten las pruebas disponibles.
