De pro-Russische hackgroep NoName057(16) heeft volgens Spaanse media toegang gekregen tot vertrouwelijke gegevens van bijna duizend politieagenten, leden van de Guardia Civil en militairen. Het gaat onder meer om namen, foto’s, telefoonnummers, e-mailadressen, woonadressen en contacten uit adresboeken. De Spaanse autoriteiten onderzoeken de herkomst en omvang van het datalek.
De informatie stond in een document dat door de hackgroep openbaar is gemaakt. Volgens de berichtgeving gaat het om gegevens die zijn buitgemaakt tijdens cyberaanvallen op Spaanse overheidsbronnen. De aanvallen zouden zijn uitgevoerd nadat de regering van premier Pedro Sánchez steun had uitgesproken voor Oekraïne in de oorlog tegen Rusland.
Het onderzoek wordt uitgevoerd door de afdeling voor cyberdreigingen van de Commissariaat-generaal voor Informatie (CGI), een onderdeel van de Spaanse politie. De autoriteiten moeten onder meer vaststellen welke systemen zijn binnengedrongen, hoeveel personen precies zijn getroffen en of de gepubliceerde gegevens afkomstig zijn uit één of meerdere aanvallen.
Gegevens van veiligheidsdiensten
De openbaar gemaakte informatie bevat persoonsgegevens die kunnen worden gebruikt om medewerkers van politie, Guardia Civil en de krijgsmacht rechtstreeks te benaderen. Ook gegevens van personen uit hun adresboeken zouden in het document staan. De Spaanse media die over de zaak berichten, noemen een aantal van bijna duizend betrokkenen.
De aard van de gegevens maakt het lek gevoelig voor verdere misbruikpogingen, zoals gerichte phishing en social engineering. Ook kunnen adressen en telefoonnummers worden ingezet voor intimidatie of het benaderen van familieleden. De Spaanse autoriteiten hebben niet bekendgemaakt of dergelijke incidenten al zijn gemeld.
Volgens El País onderzoekt de politie de toegang van NoName057(16) tot gevoelige gegevens van honderden politieagenten en militairen. De precieze omvang in de berichtgeving verschilt van de omschrijving in het gepubliceerde document; het politieonderzoek moet daarover duidelijkheid geven.
Netwerk sinds 2022 actief
NoName057(16) ontstond in maart 2022, kort na de grootschalige Russische invasie van Oekraïne. De groep voert vooral grootschalige DDoS-aanvallen uit, waarbij websites en online diensten door een grote hoeveelheid verkeer tijdelijk onbereikbaar kunnen worden gemaakt. Daarnaast heeft de groep gegevens gestolen en informatiecampagnes gevoerd.
De aanvallen waren gericht op overheidsinstellingen en onderdelen van de kritieke infrastructuur in landen die lid zijn van de Europese Unie en de NAVO en Oekraïne steunen. De groep heeft daarmee niet alleen websites aangevallen, maar zich ook gericht op het buitmaken en verspreiden van informatie.
De verspreiding van persoonsgegevens via eigen kanalen, media en pro-Russische informatiekanalen geeft zulke aanvallen een extra dimensie. De gegevens kunnen worden gebruikt om de kwetsbaarheid van overheidsinstellingen onder de aandacht te brengen en om druk uit te oefenen op medewerkers van veiligheidsdiensten. Voor Spanje komt daar de directe bescherming van de betrokken personen en hun gezinnen bij.
Europese operatie Eastwood
In juli 2025 voerden opsporingsdiensten uit twaalf Europese landen een gezamenlijke actie uit tegen NoName057(16). De operatie kreeg de naam Eastwood. Tijdens de actie werden in zeven landen huiszoekingen verricht. In Frankrijk, Spanje en Polen werden verdachten aangehouden. Ook werden arrestatiebevelen uitgevaardigd tegen zeven personen.
De autoriteiten schakelden bovendien meer dan honderd servers uit waarop infrastructuur van de groep was ondergebracht. Daarmee werd het botnet dat voor aanvallen wereldwijd werd gebruikt tijdelijk stilgelegd. De nieuwe publicatie van Spaanse persoonsgegevens laat zien dat de groep daarna opnieuw over operationele mogelijkheden beschikte, al is niet vastgesteld hoe de huidige toegang precies tot stand kwam.
Onder de personen die in verband zijn gebracht met het netwerk bevindt zich de Spaanse IT-specialist Enrique Arias Gil. Hij gebruikt het pseudoniem ‘El Desinformador ruso’. Arias Gil wordt door de Spaanse autoriteiten beschuldigd van spionage voor Rusland en heeft in Rusland politiek asiel gekregen.
De Spaanse zaak wordt onderzocht in een bredere Europese context van cyberaanvallen op landen die Oekraïne steunen. De operatie Eastwood was een gezamenlijke actie van politie- en justitiediensten uit meerdere landen, maar de uitschakeling van servers betekende geen definitieve beëindiging van de activiteiten van NoName057(16).
De Spaanse politie heeft nog geen volledige openbare inventarisatie gegeven van de getroffen systemen en personen. Het onderzoek van de afdeling cyberdreigingen van de CGI loopt voort.
