MoncloaPolítica Española

La noche del 28 de febrero, un misil balístico iraní de alcance intermedio sorteó los sistemas de defensa aérea israelíes y golpeó un apartamento residencial en el corazón de Tel Aviv. Los medios informaron de la muerte de una cuidadora filipina y la destrucción de un inmueble. Lo que nadie contó entonces —y que hoy revela una exclusiva de SpyTalk— es que a escasos quince metros del impacto se encontraba la Agencia Geodésica Nacional de Israel, el cuartel general de la unidad de inteligencia geoespacial 9900.

Anatomía de un ataque quirúrgico con guía humana

Los datos que manejan los investigadores apuntalan una conclusión incómoda: el misil no golpeó al azar. La Agencia Geodésica, camuflada en un edificio de viviendas del céntrico barrio de Lev Ha’ir, estaba a cincuenta pies de la explosión, dentro del radio de la onda expansiva. Las fuentes de SpyTalk confirman daños estructurales graves en el inmueble donde operaba la unidad 9900. La censura militar impidió entonces mencionar la naturaleza del segundo edificio afectado.

La precisión del ataque apunta a un trabajo previo de inteligencia humana. En los últimos dos años, la contrainteligencia israelí ha desarticulado a más de medio centenar de ciudadanos reclutados por Irán para espiar objetivos militares. Soldados, civiles y hasta empleados de infraestructuras críticas fueron contactados a través de redes sociales y Telegram, pagados en criptomonedas y entrenados para fotografiar enclaves sensibles. La Unidad 9900, que produce mapas tridimensionales para pilotos y fuerzas especiales en Gaza y Líbano, era un blanco natural de esa red.

El misil, un modelo de propulsión líquida con capacidad de maniobra terminal, logró lo que pocos proyectiles enemigos han conseguido desde que Israel desplegó su escudo multicapa: impactar a menos de quince metros de un activo de inteligencia de alto valor. La Cúpula de Hierro, el sistema Arrow y el Honda de David no detectaron o no pudieron interceptar la trayectoria final. Una falla que los mandos de las FDI prefirieron enterrar bajo un manto de silencio.

Unidad 9900: el ojo geoespacial que quedó momentáneamente ciego

La Unidad 9900 es el equivalente israelí de la Agencia Nacional de Inteligencia Geoespacial estadounidense (NGA). Desde satélites y drones, recolecta GEOINT para todas las operaciones de las FDI: cartografía del campo de batalla, análisis de terreno, rastreo de movimientos de tropas, inteligencia de blancos. Sus mapas en tres dimensiones permiten a los soldados entender la distribución de edificios antes de entrar en combate urbano. Golpear su sede central es, en términos de oficio, dar un puñetazo en el ojo de Israel.

El daño en la Agencia Geodésica no fue solo material, sino operativo. Fuentes de inteligencia consultadas por este medio estiman que la unidad pudo haber perdido capacidades de proceso durante días, justo en el arranque de una guerra que enfrenta a Israel y Estados Unidos con Irán desde finales de febrero. La censura funcionó, sí, pero los escombros dejaron una huella fácil de leer para cualquier analista OSINT.

El misil iraní cayó a quince metros del cuartel general de GEOINT. La censura militar prefirió contar que solo había destruido un inmueble residencial.

No fue un caso aislado. Al día siguiente, otro misil impactó en la localidad de Bet Shemesh, matando a nueve personas e hiriendo a más de cuarenta y cinco. Aquel impacto apuntaba a una zona con varias instalaciones militares sensibles, como la base de Tel Azeka y la estación de satélites del valle de Elah. La pauta es clara: Teherán está empleando sus cada vez más precisos misiles para inutilizar nodos de inteligencia enemigos.

Dossier Moncloa: Ojos en la Sombra

El vector de amenaza que dibuja este incidente es de manual: un ataque cinético guiado por HUMINT contra un centro de producción de inteligencia. Irán activó a sus agentes dormidos —o a reclutas frescos captados en redes sociales— para obtener coordenadas exactas de un inmueble sin distintivos militares, camuflado entre apartamentos. Es el tipo de operación que cualquier servicio de contrainteligencia teme: un enemigo que ya no solo espía, sino que señala el blanco para un misil.

Las agencias implicadas son, en primer plano, la inteligencia iraní —con toda probabilidad la Fuerza Quds del IRGC, responsable de operaciones externas— y, en el lado defensor, la Unidad 9900 y el aparato censor de las FDI. Pero hay un tercer actor que observa con inquietud: los servicios occidentales que comparten GEOINT con Israel. Estados Unidos, el Reino Unido y otros aliados del paraguas Five Eyes han estrechado lazos con la inteligencia israelí en los últimos años. Un ataque a la Agencia Geodésica es un ataque a un nodo de la red de inteligencia global. Tampoco pasa inadvertido para el CNI, que opera su propio satélite PAZ con el Instituto Nacional de Técnica Aeroespacial y que intercambia información con Tel Aviv en el marco de la lucha antiterrorista.

El nivel de clasificación del material comprometido es difícil de precisar sin acceso al interior del edificio, pero estimo que el daño físico a los sistemas de proceso y almacenamiento de datos pudo haber alcanzado información de nivel Top Secret —mapas en 3D de objetivos en Gaza o Líbano, rutas de vuelo de drones, modelos de penetración urbana—. La rapidez con la que los censores militares sellaron la noticia refuerza esa hipótesis. En el oficio, cuando se silencia un ataque, suele ser porque el daño es más grave de lo que se quiere admitir.

Ya advertí en El quinto elemento que la guerra híbrida no respetaría los cuarteles. Aquel misil sobre Tel Aviv es la constatación de que la inteligencia ya no es un campo de batalla separado del campo de batalla cinético. Irán ha dado un salto cualitativo: ha pasado de ejecutar atentados mediante proxies a disparar directamente contra las instalaciones que producen la inteligencia que los combate. No es la primera vez que un servicio sufre un ataque directo —en 2022, misiles rusos dañaron el edificio del SBU en Kiev—, pero sí es la primera en la que un misil iraní perfora las defensas israelíes y se acerca a menos de quince metros de un blanco de GEOINT en el corazón de Tel Aviv.

Las lecciones para Madrid son inmediatas. En Torrejón de Ardoz, en la base aérea de Zaragoza o en las instalaciones del INTA en Robledo de Chavela, el CNI opera estaciones de escucha y enlace satelital que podrían convertirse en blanco si el conflicto escala y los actores hostiles optan por golpear también en suelo europeo. La frontera sur, con la actividad de los servicios marroquíes y las redes yihadistas, ya impone tensión suficiente. Añadir a la ecuación misiles guiados por espías no es una hipótesis de ciencia ficción, sino una variable plausible en un mundo donde la inteligencia se ha vuelto cinética. En eso estamos.

Y a veces, el silencio hiede más que el humo.

Un ingeniero de seguridad de Google ha sido arrestado en Nueva York acusado de utilizar datos confidenciales de la compañía para apostar en el mercado de predicciones Polymarket. Michele Spagnuolo, ciudadano italiano de 36 años residente en Suiza, se embolsó más de 1,2 millones de dólares en beneficios, según el Departamento de Justicia. Le cuento una historia que, aunque no parte de un servicio de inteligencia estatal, pone al desnudo el modus operandi de un insider que explotó información privilegiada con una sofisticación digna de cualquier operación encubierta.

Un acceso privilegiado a las tendencias más buscadas del planeta

El hoy acusado trabajaba desde 2014 como security engineer en Google. Tenía acceso a una herramienta interna que monitorizaba las tendencias anuales de búsqueda, ese Year in Search que la compañía publica cada diciembre y que resume lo que el mundo ha tecleado en el buscador con más datos del planeta. Sobre esa herramienta, según la querella desclasificada el miércoles 27 de mayo, lucía un banner en rojo con la frase «Google Confidential». Spagnuolo había confirmado que conocía las políticas de confidencialidad de la empresa al acceder a ese recurso.

No era el único dato a su alcance. El ingeniero podía ver qué términos despuntaban semanas o meses antes de que Google los revelara al público. Una ventana de ventaja que transformó en apuestas millonarias. Creó una cuenta en Polymarket en mayo de 2024 y, entre finales de ese año y principios de 2025, arriesgó aproximadamente 2,75 millones de dólares en 25 resultados que el mercado consideraba improbables. Apostó por los personajes más buscados de 2025 y acertó. El beneficio neto superó los 1,2 millones.

No me extraña que el investigador del FBI que rastreó los movimientos lo describa como un individuo que «tomó medidas deliberadas para ocultar el uso de información no pública». Lo hizo con un oficio que usted, lector, reconocerá si ha seguido otros casos de cibercrimen o contrainteligencia.

Cryptomonedas, mezcladores y un mapache alfanumérico: anatomía de la ocultación

Spagnuolo usó en Polymarket el alias «AlphaRaccoon». Para financiar sus apuestas recurrió a una cartera de criptomonedas trazada por el FBI hasta una cuenta vinculada a su documento de identidad italiano. Tras obtener las ganancias, movió los fondos a través de un servicio de intercambio de criptomonedas —un swapping service que dificulta el rastreo— y los hizo llegar a otra cuenta a su nombre. Todo el proceso, un juego de capas que recuerda a las cadenas de custodia que usan los agentes en operaciones encubiertas para despistar a los servicios de contrainteligencia.

El detalle más revelador llegó a principios de diciembre de 2025, cuando Google publicó su Year in Search. Varios usuarios de Discord y X (antes Twitter) empezaron a sospechar que la cuenta «AlphaRaccoon» era un insider de la compañía. En ese momento, Spagnuolo cambió su nombre de usuario de Polymarket a una dirección alfanumérica de cartera, una maniobra torpe pero eficaz durante unas semanas. No lo suficiente para burlar al FBI.

Voy a ser claro: lo que hizo Spagnuolo es un delito financiero, pero la técnica es idéntica a la que emplearía un empleado infiltrado para extraer información sensible de una infraestructura crítica. Y en España, con 8.000 infraestructuras críticas identificadas, el riesgo de un insider que sepa borrar sus huellas es real.

El caso Spagnuolo no es un asunto de Wall Street; es un manual de instrucciones sobre cómo un acceso privilegiado se convierte en dinero negro saltándose todos los controles internos.

Dossier Moncloa: Ojos en la Sombra

El vector de amenaza es claro: un empleado con conocimiento profundo de los sistemas de monitorización interna y con acceso a datos confidenciales que decide explotarlos para beneficio personal. No hablamos de un hackeo externo, sino de una filtración desde dentro, el talón de Aquiles de cualquier organización que maneje grandes volúmenes de información, ya sea una tecnológica, un ministerio o un servicio de inteligencia. El tradecraft empleado —criptomonedas, mezcladores, alias cambiantes— es el mismo que documentamos en operaciones de exfiltración de datos por parte de grupos APT.

Las agencias implicadas en este episodio no son el CNI ni el Mossad, pero la estructura es extrapolable. En el lado defensor, Google cuenta con sus propios equipos de seguridad y políticas de confidencialidad; la víctima directa es la integridad del mercado de predicciones Polymarket y, por extensión, la confianza en que los datos internos de una corporación no se usarán para manipular apuestas. El atacante es un insider solitario, pero el Tercero Interesado bien podría ser cualquier servicio de inteligencia extranjero que hubiera reclutado a un perfil similar: piense en la utilidad de conocer las tendencias de búsqueda de un país semanas antes de que se hagan públicas, para campañas de desinformación o para anticipar movimientos sociales.

Estimo que el nivel de clasificación del material manejado por Spagnuolo era Confidencial —el propio banner lo indicaba—, lo que en el argot del oficio equivale a un riesgo de daño para la compañía si se divulgara. La lectura confidencial es que este caso subraya la necesidad de que las grandes tecnológicas, que manejan datos casi tan sensibles como los de un gobierno, refuercen los controles de acceso y monitoricen comportamientos anómalos. En España, el CCN-CERT ya advierte en sus guías de protección sobre la amenaza del insider; esto es un ejemplo de manual.

El caso me trae a la memoria —salvando las distancias— el de Robert Hanssen, el agente del FBI que durante décadas vendió secretos a los soviéticos y a Rusia. Hanssen conocía los sistemas de contrainteligencia y los burló durante años. Spagnuolo conocía los sistemas de Google y los burló el tiempo suficiente para ganar 1,2 millones. La diferencia es que él no quiso vender secretos de Estado, sino apostar en un mercado de predicciones. Pero el camino recorrido es el mismo: acceso, ocultación y beneficio ilícito.

Le queda ahora a Google la difícil tarea de revisar sus protocolos de acceso a las herramientas de marketing intelligence, y a la industria del cumplimiento normativo, un nuevo dolor de cabeza: los mercados de predicción descentralizados son un terreno casi virgen para la regulación. Ya lo escribí en El quinto elemento: el próximo 11S empezará con un clic. Y ese clic bien podría darlo un empleado infiltrado que sepa exactamente qué información vale millones.

No me malinterprete: no estoy equiparando el delito de Spagnuolo con un acto de terrorismo, sino señalando la fragilidad de los sistemas que creemos seguros. Un solo ingeniero fue capaz de burlar los controles de una de las compañías más vigiladas del mundo. Si él pudo, ¿qué impediría a un agente durmiente del GRU o del MSS hacer lo mismo en otro entorno?

El precio de la avaricia y el futuro de los mercados de predicción

Spagnuolo se enfrenta a cargos por violación de la Ley de Intercambio de Materias Primas, fraude electrónico y blanqueo de capitales, con penas máximas que suman hasta 50 años de prisión. La Comisión de Comercio de Futuros de Materias Primas (CFTC) también ha presentado una demanda civil contra él. La respuesta de Google ha sido tajante: lo ha suspendido de empleo y colabora con la investigación. En un comunicado, la compañía ha calificado el acceso a material confidencial para apostar como una «grave violación de nuestras políticas».

Mientras tanto, los mercados de predicción como Polymarket, que operan con criptomonedas y a menudo al margen de la regulación tradicional, quedan expuestos a escándalos de este tipo. La SEC y la CFTC llevan meses estudiando cómo regular estos espacios, y el caso Spagnuolo les dará munición para argumentar que sin normas claras, la integridad del mercado es una quimera. En lo personal, creo que la tentación de usar información privilegiada en plataformas con un anonimato a medias es demasiado alta como para que no veamos más casos en los próximos meses.

El FBI ha demostrado que, incluso con criptomonedas y servicios de mezcla, la trazabilidad es posible cuando el investigador sigue el dinero hasta llegar a un documento de identidad. Spagnuolo cometió un error básico: vincular su cartera a su DNI italiano. Verá usted que, en el espionaje, ese tipo de descuidos son los que acaban con carreras enteras.