De Telegram al sabotaje: los agentes latinoamericanos de un solo uso que operaron en Europa
- Alemania atribuye a Rusia el ataque con drones en Leipzig y pone el foco en los agentes de un solo uso
- Esos agentes desechables pueden ser de cualquier país, como revela la Red de Periodismo de Investigación de la UER
Una sucesión de incendios, intentos de sabotaje y operaciones de reconocimiento que parecían episodios aislados han revelado una misma lógica: personas reclutadas en redes sociales, viajes organizados desde terceros países, pagos por tareas concretas y una cadena de intermediarios que conecta a los ejecutores con personas en Rusia. Polonia, República Checa, Rumanía y Lituania son piezas de esa estructura.
España fue un punto de apoyo, una base logística. En la red hay, sobre todo, colombianos y cubanos, algunos con doble nacionalidad. Unos buscaban trabajo, otros tenían experiencia militar. Son los llamados agentes desechables, utilizados para una operación y sustituidos después o abandonados cuando son detenidos.
Una investigación europea en busca de la trama latina
Los reporteros de la Red de Periodismo de Investigación de los medios públicos europeos, a partir de documentos judiciales, investigaciones policiales, entrevistas con expertos, seguimientos en las redes sociales, han reconstruido el recorrido de una red de agentes desechables, fundamentalmente latinos, que se movían entre Rusia, Colombia, España y varios países europeos.
En Lituania, el 22 de septiembre de 2024, hacia las 6:30 horas, dos hombres llegan a TVC Solutions, una empresa situada en Šiauliai, en el norte del país. Las cámaras de seguridad registran sus movimientos. Visten ropa oscura, llevan capuchas y cubren sus rostros. Uno de ellos intenta provocar un incendio donde se almacenan equipos de análisis del espectro radioeléctrico destinados a Ucrania. Con ellos se pueden detectar drones del enemigo. El fuego llega a iniciarse, pero no produce los daños esperados. Los materiales utilizados no son suficientes.
Los saboteadores eran el ruso Yevgeny Omeichenko Velchenko y el bielorruso Mark Burda. Habían llegado desde Zúrich a Vilna. Desde el aeropuerto habían continuado en taxi hasta su objetivo. Después del intento abandonaron Lituania rumbo a Copenhague. La investigación sostiene que ambos creían que el ataque había tenido éxito. Aquel fuego era solamente el último eslabón. Cinco días antes, el 17 de septiembre, otros dos hombres habían intentado hacer exactamente lo mismo. José López Aguilar, español, y Andrés Felipe Díaz Rivas, colombiano-español, habían llegado a la zona con materiales inflamables. Habían recibido instrucciones sobre qué comprar y dónde hacerlo. Al aproximarse, vieron un coche policial y personas en la calle. No continuaron. Huyeron hacia Riga, la capital letona, donde fueron detenidos y entregados a Lituania.
Al día siguiente del segundo intento, llegó a Lituania Yexenia López Cabrera, ciudadana cubana. Viajó desde Rusia para comprobar qué había ocurrido. Su misión era verificar el resultado del incendio. La policía lituana la detuvo antes de que pudiera abandonar el país. El patrón era revelador: reconocimiento, ejecución y comprobación. Artūras Urbelis, fiscal lituano, asegura que "las tareas e instrucciones eran dadas por personas externas residentes en la Federación Rusa, vinculadas al GRU", el servicio de inteligencia militar ruso. El ataque fue organizado en varias etapas, utilizando diferentes autores o grupos de autores.
La Fiscalía General de Lituania sostiene que los seis acusados, que están siendo juzgados ahora, formaban parte de un grupo terrorista organizado y que los distintos intentos contra TVC Solutions fueron preparados cuidadosamente. Los autores llegaron semanas antes, estudiaron los alrededores, las rutas de escape y los sistemas de seguridad y las operaciones fueron coordinadas desde fuera de Lituania.
El objetivo no era casual. TVC Solutions no era una empresa cualquiera. En sus instalaciones había entre 18 y 19 estaciones móviles capaces de analizar el espectro radioeléctrico. Parte de la producción estaba destinada a las Fuerzas Armadas ucranianas y las unidades almacenadas tenían un valor aproximado de 1,5 millones de euros. Las labores de observación fueron llevadas a cabo por personas distintas de quienes terminaron intentando provocar el incendio.
El 2 de septiembre, el colombiano Gonzalo de Jesús Ramos Santos ya había entrado en Lituania desde Kaliningrado. Tenía 21 años y había crecido en San Petersburgo. Ramos visitó TVC Solutions, fotografió las instalaciones, habló por teléfono y al día siguiente regresó para obtener más información. No llevaba materiales incendiarios. Llevaba un teléfono, su función era obtener información y transmitirla.
La documentación judicial colombiana que reproduce la investigación lituana permite seguir con gran precisión parte de aquel desplazamiento. La Corte Suprema de Justicia de Colombia, en documento de extradición, describe las sospechas contra Ramos por su presunta participación en las actividades de un grupo terrorista organizado, el intento de cometer un acto terrorista y su entrada en Lituania con fines terroristas. Ramos fue detenido en Colombia, en julio de 2025, y extraditado a Lituania en junio de 2026.
Su caso es importante porque demuestra que el sabotaje comenzaba mucho antes de que apareciera el fuego. Primero había que saber dónde estaba el objetivo, cómo estaba protegido y cuál era la manera más sencilla de entrar y salir. Después llegó Mayra Eukaris de la Lastra Nistal. Ciudadana cubana y española, entró en Lituania desde Kaliningrado el 8 de septiembre y se desplazó hasta Šiauliai. La investigación sostiene que fotografió y grabó las instalaciones y transmitió la información. Más adelante volvería a aparecer en la operación para comprobar el resultado.
Presunta estructura de la trama en Rusia
Esta jerarquía es una hipótesis analítica que no ha sido demostrada judicialmente
DatosRTVE Fuente: Elaboración propia
Polonia: el primer rastro de la red
Mientras, en Polonia, la policía investigaba una serie de incendios que parecía no tener relación con la misma trama. El 23 de mayo de 2024, ardió un almacén de materiales de construcción en Varsovia. El 30 de mayo, ocurrió lo mismo en Radom. Los daños de Varsovia fueron relativamente pequeños y ninguno de los dos lugares parecía tener un valor militar extraordinario. Pero en el caso del incendio de Radom, cuentas y canales en ruso comenzaron a presentar el lugar como un centro logístico militar donde se almacenaba material para Ucrania. Era falso. El almacén no era un centro militar. La historia se montó tras el incendio. Jacek Dobrzyński, portavoz de los servicios secretos polacos, advierte que "tenemos sabotaje, incendios y algo aún más peligroso: desinformación". Y añade que se trata de "intimidar a polacos y a europeos, confundirlos y, sobre todo, dividirlos. Romper la unidad, enfrentar a polacos contra ucranianos, alemanes y checos".
El hombre que estaba detrás de los incendios era el colombiano Andrés Alfonso de la Hoz de la Cruz. Había llegado a Europa buscando trabajo y entraba en grupos de Facebook de latinoamericanos interesados en encontrar empleo en Polonia. El primer contacto con la red no fue clandestino. Dobrzyński asegura que "los rusos también quieren saber qué saben nuestros servicios polacos, checos y europeos, qué hilos se están moviendo y hasta dónde estamos llegando para alcanzar el origen. Y no podemos darles esa información".
De la Hoz empezó realizando reconocimientos y fotografías. Después recibió tareas más comprometidas. Los investigadores polacos sostienen que sus acciones fueron ordenadas, supervisadas y financiadas por una persona vinculada a los servicios rusos. El mecanismo es progresivo: el reclutado comienza con una tarea que puede parecer inocua. Si la completa, pasa a la siguiente. "Cuando empieza a trabajar dentro de esta red de espionaje, su controlador le asigna primero la tarea de fotografiar varios lugares. Eso todavía no demuestra nada. Si completa la primera tarea, realizará las siguientes por dinero o bajo chantaje", explica el portavoz de los servicios secretos polacos.
De la Hoz terminó en Praga. El 6 de junio de 2024, incendió varios autobuses en un depósito del transporte público. Había recibido 3.000 dólares y utilizaba Telegram. También había buscado otros objetivos. El fiscal checo Martin Bílý explicó que el daño material no era el único elemento relevante. "Si se incendia un autobús, tiene un impacto en la sociedad y esa sociedad puede cambiar sus hábitos de comportamiento", afirma Bílý. De la Hoz fue condenado a ocho años de prisión en la República Checa. El fiscal checo admite que no quedó documentada una conexión directa entre De la Hoz y Rusia.
Rumanía: cuando la oferta llega a un antiguo militar colombiano
El caso rumano aportó otra pieza del puzzle. En este caso, Luis Alfonso Murillo Diosa había pertenecido a las Fuerzas Armadas colombianas entre 2009 y 2015. En marzo de 2024, comenzó a participar en grupos de Facebook con personas que querían viajar para combatir en Ucrania. Allí entró en contacto con alguien que utilizaba el nombre de Adrian Zans. Después la comunicación pasó a un grupo privado de Telegram en el que aparecía el alias Dios. Tanto Adrian Zans como Dios eran alias que correspondían a Oemis Romagoza Durruthy, un cubano-ruso que reside ahora en San Petersburgo.
UER
A Murillo le ofrecieron dinero a cambio de viajar a Rumanía, reconocer una instalación y obtener fotografías y vídeos. Los billetes fueron comprados, el alojamiento reservado y los gastos cubiertos. Viajó de Medellín a Madrid, de Madrid a Mykonos y finalmente a Bucarest. Llegó el 28 de julio de 2024. El objetivo estaba en Bragadiru, donde había una planta de reciclaje, instalaciones petrolíferas y una estación de regulación y medición de gas.
La acusación sostiene que recibió mapas y capturas de pantalla con las ubicaciones y rutas de entrada y salida. El 29 de julio, realizó el reconocimiento y al día siguiente regresó de noche. La policía le detectó. Debía recibir 1.500 dólares por las fotografías y vídeos y otros 1.500 por provocar el incendio y documentarlo. El potencial impacto sobre la red de gas era mucho mayor que el valor del encargo: los investigadores calcularon que un ataque podía afectar al suministro de casi 25.000 clientes, incluidos centros educativos. Murillo fue condenado en Rumanía a seis años de prisión, en junio de 2025. El sabotaje no llegó a producirse. Pero, una vez más, apareció la dimensión propagandística: un canal de desinformación difundió una imagen de Google Maps y afirmó falsamente que había ardido un centro logístico de combustible para el ejército ucraniano.
Poco a poco, se iba componiendo con las diferentes piezas el puzzle de la trama y se podia ver cómo funcionaba, a semejanza de otras más que están activas en estos momentos en diversos países europeos, en la sombra, hasta que son detectadas.
Oemis y Pecora: los intermediarios que conectan Rusia con los ejecutores
El nombre de Oemis aparece en varios países y con distintas identidades falsas. Durante años tuvo una vida pública relacionada con la danza. En Petrozavodsk, era profesor de bachata y salsa, relacionado con el estudio Made in Cuba. Pero, en Internet, utilizaba distintos alias: Dios, Dios 111, Adrian Zans, Ismael Zans y Roma Martinelli. Su actividad en redes sociales era intensa. El 15 de marzo de 2024, aparece una cuenta vinculada a él en el grupo de Facebook 'Latinos en Polonia /Trabajo en Polonia'. Al día siguiente, Dios publica en 'Cubanos en Rusia'. El 1 de mayo, Roma Martinelli busca personas para trabajar en Polonia. El 16 de agosto, aparece una oferta dirigida a personas con experiencia militar por 1.500 dólares por tarea. El 30 de agosto, vuelve a aparecer en un grupo de voluntarios para Ucrania. Dos semanas después comienzan los desplazamientos hacia Lituania.
La investigación sostiene que Oemis organizó buena parte de esos desplazamientos. Reservó alojamientos, encargó taxis y gestionó viajes. En el caso de Ramos, el alojamiento y el transporte fueron organizados por él; también aparece relacionado con el alojamiento de Mayra, Díaz y López. Los investigadores rumanos lo describen como instigador o coordinador. La fiscalía polaca le acusa de actuar en nombre de un servicio de inteligencia extranjero, dirigir un grupo organizado destinado a cometer delitos terroristas, incitar a otra persona a provocar un incendio y financiar actividades terroristas. La fiscalía lituana lo sitúa dentro de una red que actuaba en interés de los servicios de inteligencia rusos y estaba vinculada al GRU, el servicio de inteligencia militar de Rusia.
Pero toda la documentación pública consultada no permite afirmar que Oemis sea el jefe de toda la red. Sí permite situarlo en una posición central. Pero una posición central no equivale necesariamente a ser quien toma las decisiones estratégicas finales. Junto a él, aparece Alexeis Pecora, otro cubano, que operaba desde San Petersburgo. Pecora interviene en la logística: taxis, códigos de acceso, instrucciones, billetes, recepción de material e imágenes satelitales. En el caso de Díaz Rivas, la investigación sostiene que Pecora pagó los taxis entre Vilna y Šiauliai y proporcionó una imagen satelital con las entradas, salidas y rutas de retirada.
El fiscal lituano, Artūras Urbelis, sostiene que "la evidencia obtenida demostró que oficiales de inteligencia rusos organizaron estas acciones mediante un sofisticado sistema multinivel". Este sistema multinivel explica mejor la estructura que un organigrama tradicional. Una persona puede reservar un hotel; otra, comprar el billete; otra, pagar el taxi; otra, proporcionar la fotografía; otra, recibir el material; otra, ejecutar la acción. No necesariamente existe un único jefe visible. Lo que existe son nodos que conectan niveles diferentes.
España: el país donde la red podía vivir, organizarse y desaparecer
En este entramado, España aparece como un nodo logístico. Carlos Alberto Legarda Devia, colombiano y español, fue detenido por la policía española y posteriormente extraditado a Lituania. Su papel, según la documentación analizada, era distinto del de quienes viajaban a ejecutar las acciones. Él se dedicaba a intermediación, logística, recepción de información y conexión entre personas. En el caso de Díaz Rivas, Legarda le envió la información del vuelo y una imagen satelital de los edificios que debían ser atacados. Después recibió fotografías y vídeos de TVC Solutions. Cuando López llegó a Lituania, Legarda le indicó que comprara gasolina.
"España era una base logística donde vivían estas personas. Y es cierto que también se detectó algún tipo de acto preparatorio, pero no llegaron a progresar, creemos que posiblemente por falta de financiación o de pago de las actividades", explica un inspector jefe de la Comisaría General de Información de la Policía Nacional. La investigación española comenzó desde fuera. Las detenciones practicadas en Letonia proporcionaron una primera pista.
Los investigadores estudiaron perfiles, comunicaciones e interacciones económicas hasta llegar a una persona que residía en España, a la que identificaron como el líder de la célula en nuestro país. Después aparecieron conexiones con Lituania y una orden de detención internacional. "La detección de estas personas en Letonia fue un poco el germen de la investigación, lo que luego permitió desarrollarla con otros servicios extranjeros en el tema de la cooperación internacional", explica el inspector jefe.
En España, fueron detenidas cuatro personas, dos en Barcelona, una en Zaragoza y otra en Alicante. Dos de los detenidos, de nacionalidad colombiana y rusa, fueron extraditados a Lituania. La investigación descubrió además que algunos de los integrantes llevaban años viviendo legalmente en España y que otros habían llegado desde América Latina. "Es multifactorial. Hay actores de distintas nacionalidades que operan en distintos países. Unos operan como base logística, otros como objetivos tácticos. Las instrucciones vienen de un tercer o cuarto país. Te encuentras con personas de una nacionalidad que operan en otro país, que muchas veces residen en un tercer país y que además siguen instrucciones de personas que están en un cuarto país.
Juegas con un rango de cuatro o cinco nacionalidades distintas, con cuatro o cinco ubicaciones diferentes y en la que no hay ningún servicio que tenga toda la información", señala el inspector jefe español, al mismo tiempo que destaca la necesidad de la colaboración internacional. Polonia tenía el rastro de De la Hoz. Chequia tenía la condena por los incendios de Praga. Rumanía había detenido a Murillo. Lituania tenía la operación de TVC Solutions. España tenía los contactos y parte de la logística. Ningún país podía ver el dibujo completo.
El reclutamiento: una oferta de trabajo que acaba en sabotaje
Uno de los hallazgos más relevantes de la investigación es que el reclutamiento no parece comenzar como una operación de espionaje. Empieza como una oferta. Un anuncio en Facebook. Una conversación privada. Una pequeña cantidad de dinero. Una fotografía. Un desplazamiento. La persona que acepta la primera tarea todavía puede no saber quién está detrás. "Son campañas que lanzan de forma masiva. Mucha gente acude a ellas, la mayoría motivada por cuestiones económicas, ya que son como una especie de ofertas de trabajo en las que se ofrecen 100, 200, 300 euros por desplazarse a una infraestructura, hacer unas fotos. La gente, que atiende esas demandas, pasa a chats más restringidos, en los que ya se dan instrucciones más concretas", explica el inspector jefe de la Policía Nacional al cargo de la investigación en España.
El paso de Facebook a Telegram no es solamente tecnológico. Es también psicológico. El primer contacto se produce en un espacio abierto y aparentemente normal. Después se traslada a un canal privado. Las tareas se concretan. El reclutado empieza a recibir dinero y a depender de quien le proporciona las siguientes misiones. Empiezan en redes sociales abiertas, luego pasan a canales más privados, normalmente en Telegram, y en el caso de la red en España había una interacción muy personal.
Las cantidades cambian según la misión. En la documentación aparecen 100, 200 y 300 euros para tareas iniciales, 1.500 dólares, en el caso rumano, 3.000, en el caso de Praga y otras cantidades superiores. Para quien organiza una operación de inteligencia son importes pequeños. Para quien está buscando trabajo o atraviesa una situación económica difícil pueden ser suficientes para aceptar. Daniela Richterova, experta checa en inteligencia y operaciones encubiertas, señala que la vulnerabilidad económica aparece repetidamente en estos procesos de captación.
La documentación sobre Murillo recoge que buscaba dinero y atravesaba una situación financiera crítica. Y De la Hoz buscaba trabajo en Europa. "Rusia no hace distinciones sobre a quién utiliza. Si alguien de un tercer país puede hacer el trabajo de forma eficaz y barata, hay pocas razones para que Rusia no lo utilice", explica Keir Giles, escritor y experto en Rusia de Chatam House. Lo que importa es encontrar a alguien disponible, que pueda viajar, que hable el idioma, que pueda ser localizado en Internet y que acepte la tarea. Los colombianos aparecen con frecuencia porque existe una importante comunidad en España y porque tienen facilidad para desplazarse dentro del espacio europeo.
Estructura por capas: cuanto menos sabe el ejecutor, mejor protegido el que manda
El concepto de agente desechable no describe únicamente a una persona que puede ser reemplazada. Describe una estructura. En la parte inferior están los ejecutores; por encima, quienes reclutan, pagan, organizan los desplazamientos, reciben las imágenes y transmiten las instrucciones. Más arriba, según la investigación lituana, se encuentran personas residentes en Rusia relacionadas con los servicios de inteligencia.
"Nosotros aquí hemos detectado que era un colector de entidades que coordinaba desde Rusia con los actores materiales en España", explica el inspector jefe de la Policía Nacional. "Estos grupos operan como proxies de servicios hostiles que por un sistema de capas al final diluye esa autoría intelectual que es muy difícil de probar judicialmente, aunque más o menos tú puedas tener claro cuál es el origen", añade.
El sistema tiene una ventaja evidente. Si cae un ejecutor, la comunicación puede cortarse y buscarse otro. Si fracasa una misión, se cambia de persona. Si una persona empieza a hacer demasiadas preguntas, se la abandona. Quien está arriba no necesita conocer personalmente al último eslabón. Los reclutados no tienen por qué saber que trabajan para un servicio de inteligencia. Precisamente la eficacia del sistema consiste en que algunos pueden no saberlo. Un ejecutor puede saber que está cometiendo un delito, pero desconocer quién lo ha contratado.
Otro puede saber que el dinero procede de Rusia. Otro puede creer que se trata de una operación de fraude. Otro puede pensar que está realizando un trabajo clandestino. Y otros pueden conocer perfectamente la finalidad. La red puede convivir con todos esos niveles de conocimiento.
Otra característica puesta de manifiesto en la investigación es que los autores reciben instrucciones para documentar sus propias acciones. Un almacén de materiales de construcción puede convertirse en un supuesto centro logístico militar. Un incendio local puede presentarse como una agresión ucraniana. El sabotaje produce una imagen y la propaganda decide qué significa. "En muchos casos hemos visto que se pedía a los autores que grabaran vídeos de los actos que habían llevado a cabo y los enviaran a sus controladores. Después, los controladores utilizaban esas imágenes para amplificar el impacto de las operaciones", señala Daniela Richterova. "El sabotaje no es una herramienta que funcione por sí sola. Es parte de una campaña de influencia más amplia", concluye.
UER
La campaña puede perseguir varios objetivos a la vez: intimidar, dividir a la población, desacreditar a los gobiernos u obligar a los servicios europeos a dedicar recursos a investigar incidentes aparentemente pequeños. Cada incendio requiere policías, fiscales, inteligencia, cooperación internacional y tiempo. "También puede tratarse de extender el caos y la paranoia. Esto se dirige también a la población, que puede empezar a preguntarse si sus gobiernos y sus fuerzas de seguridad están preparados para mantenerla a salvo.
Es un juego a largo plazo", asegura Richterova. Keir Giles añade que algunos ataques pueden funcionar como ruido y recopilación de información. Rusia puede aprender cómo responde un país después de cada incidente, cuánto tarda en identificar a los autores, qué capacidad tiene para cooperar con otros Estados y qué contramedidas adopta. "No deberíamos reducirlo todo a una sola explicación. Obviamente, es un ejercicio de recopilación de información porque Rusia aprende de cada uno de estos ataques", advierte Giles. "Si consigues que incendie una tienda y lo hace con éxito, sabes que probablemente puedas utilizarlo para otras tareas.
Si no lo hace, sabes que ese agente es menos utilizable", explica Matthias Uhl, historiador y experto en los servicios secretos rusos. La operación pequeña puede ser una prueba. Una prueba de obediencia, de capacidad o de vulnerabilidad. Si la persona cumple, puede recibir otra misión. Si falla, se sustituye. En ese modelo, el coste de perder a un ejecutor es pequeño.
La misma tecnología que permitió reclutar a los agentes terminó siendo una de las principales fuentes de pruebas. Telegram, WhatsApp y Facebook dejaron conversaciones, contactos y horarios. Las transferencias permitieron seguir el dinero. Los billetes de avión situaron a las personas en determinadas ciudades. Las reservas de hotel demostraron que alguien había organizado un viaje, antes de que el supuesto ejecutor llegara.
Los taxis mostraron quién pagaba los desplazamientos. La estructura intentaba evitar el contacto físico, pero había dejado una huella digital. En lugar de aparecer un organigrama completo, aparecieron fragmentos: una conversación, una transferencia, un viaje, una fotografía, un alias. La investigación consistió en relacionarlos. Ese método de reconstrucción explica también por qué la cooperación internacional resulta imprescindible. Ningún país tiene todas las comunicaciones ni todos los movimientos.
Lituania: seis acusados y una investigación que todavía no ha terminado
En enero de 2026, la Fiscalía General de Lituania anunció que seis personas habían sido acusadas y que el caso había sido enviado al Tribunal Regional de Šiauliai. Los seis son un español, un colombiano-español, un ruso, una cubana, un colombiano y un bielorruso. La Fiscalía sostiene que participaron en una organización terrorista y que hubo varios intentos de atacar TVC Solutions. El juicio se celebra a puerta cerrada por la existencia de información sensible y testigos anónimos.
Entre los nombres en esa investigación más amplia figuraban Oemis, Pecora y Mayra. Esta última fue detenida en Panamá, en julio de 2026, a petición de las autoridades lituanas. Oemis y Pecora siguen siendo dos de los nombres más relevantes que aparecen en el núcleo de coordinación y están en San Petersburgo, con orden de busca y captura dictada por Lituania.
La investigación ha conseguido reconstruir buena parte de la cadena inferior. Sabemos quién viajó, quién fotografió, quién reservó algunos alojamientos, quién compró billetes, quién pagó taxis, quién recibió fotografías y quién intentó provocar incendios. Sabemos que los investigadores lituanos vinculan la coordinación a personas residentes en Rusia y relacionadas, según la fiscalía, con el GRU, "probablemente el servicio secreto ruso más poderoso en este momento, ya que es capaz de llevar a cabo operaciones prácticamente militares en el extranjero, pero también operaciones de sabotaje, sobre todo en Europa Occidental", asegura Uhl.
Sabemos que varios de los reclutados fueron captados en redes sociales y que algunos recibieron dinero por tareas aparentemente sencillas que después se volvieron más comprometidas. Pero no sabemos quién era el último responsable de toda la operación. No sabemos si Oemis y Pecora ocupaban exactamente el mismo nivel. No sabemos qué relación tenía cada intermediario con las personas que los investigadores sitúan en Rusia. No sabemos quién decidió estratégicamente cada objetivo. Y tampoco podemos atribuir a todos los ejecutores el mismo grado de conocimiento sobre la estructura.
La arquitectura que aparece en los documentos puede resumirse como dos mundos conectados por una cadena de intermediarios. En uno están las personas que los investigadores sitúan en Rusia y que, según la fiscalía lituana, tienen relación con la inteligencia militar rusa. En el otro están quienes viajan, fotografían, compran combustible, reservan hoteles, conducen, incendian y graban. Entre ambos, hay teléfonos, transferencias, billetes de avión, taxis y redes sociales.
España ocupa un lugar singular, no es escenario de sabotajes o incendios, pero aparece en las residencias, los itinerarios, los contactos, la logística y las detenciones. Para los investigadores españoles, era una base logística. Para la red, ofrecía algo muy valioso: personas que podían vivir allí y desplazarse a otros países europeos. "Los objetivos tácticos eran sabotajes, pero los objetivos intelectuales eran cosas mucho más amplias", explica el inspector jefe español.
Agentes de un solo uso
El término que mejor resume esta investigación no describe una profesión. Los agentes de un solo uso no son espías profesionales. Pueden ser utilizados para una tarea concreta y después ser abandonados. Pueden no saber quién está arriba, ni conocer a los demás. Pueden no volver a recibir una misión. Y si son detenidos, la estructura puede continuar buscando a otra persona. Son agentes desechables. Si una persona no progresa o deja de ser útil, la comunicación puede cortarse porque no existe contacto físico con quienes ocupan las capas superiores.
Eso también explica por qué las primeras tareas son tan importantes. Una fotografía no es solamente una fotografía. Puede ser una prueba de obediencia. Un desplazamiento no es solamente un viaje. Puede ser una prueba de disponibilidad. Una pequeña cantidad de dinero puede ser una inversión para comprobar quién acepta. Y un incendio puede ser la siguiente fase de un reclutamiento que empezó semanas antes.
En Lituania, la secuencia es casi perfecta: Ramos mira; Mayra comprueba; Díaz reconoce; López prepara materiales; Burda y Omeichenko intentan incendiar; Yexenia vuelve para verificar el resultado. En Polonia y Praga, De la Hoz pasa de las fotografías a los incendios. En Rumanía, Murillo recibe una misión que comienza con el reconocimiento y debe terminar con el fuego. En España, los intermediarios organizan parte de los desplazamientos. No todos hacen lo mismo. Precisamente por eso el sistema puede funcionar.
La investigación europea ha necesitado meses para hacer una composición a partir de fragmentos. Un incendio en Varsovia llevó hasta un colombiano. El colombiano apareció después en Praga. En Rumanía, apareció otro colombiano que había sido reclutado a través de Facebook y Telegram. En Lituania, había colombianos, cubanos, rusos, bielorrusos y españoles. En España, intermediarios y personas que vivían legalmente aquí. En Rusia, están Oemis y Pecora.
Cada país tenía una parte. Ninguno, la imagen completa. Los teléfonos aportaron conversaciones. Los documentos judiciales, movimientos. Las investigaciones financieras, pagos. Los registros de viajes permitieron comprobar desplazamientos. Y las cámaras de seguridad sitúan a los ejecutores en los objetivos. Pero todavía falta la pieza que está más arriba. Quién tomó las decisiones estratégicas. Quién seleccionó cada objetivo. Quién decidió cuánto pagar. Quién determinó qué persona debía viajar. Y quién recibió la información una vez completadas las misiones. La Fiscalía lituana sostiene que el rastro conduce hacia Rusia y hacia personas vinculadas al GRU.
La investigación internacional ha encontrado una estructura que, según sus responsables, responde a esa lógica. Pero el organigrama completo sigue sin conocerse. La investigación europea muestra cómo puede funcionar una parte de la guerra híbrida en Europa sin necesidad de desplegar agentes profesionales para cada misión. La frontera entre delincuencia y espionaje se vuelve deliberadamente difusa. La persona que toma la decisión final puede encontrarse a miles de kilómetros. El modelo tiene una ventaja para quien lo dirige: cada paso reduce el número de personas que conocen el conjunto. Y las personas pueden ser reemplazadas. Las redes sociales son muy importantes.
No sustituyen a los métodos clásicos de inteligencia; permiten abaratar y ampliar la fase de captación. Un anuncio puede alcanzar a cientos de personas. La mayoría no responderá. De quienes respondan, algunos harán una fotografía por unos cientos de euros. Y de esos, una parte puede aceptar desplazarse, comprar materiales o intentar provocar un incendio por cantidades mayores. La organización no necesita que todos lleguen hasta el final.
Necesita encontrar a unos pocos que estén dispuestos a seguir avanzando. Los casos investigados permiten observar esa progresión en personas concretas. La red tampoco necesita explicar el objetivo estratégico completo. Puede bastar con transmitir una instrucción. Cuanto más fragmentada está la información, más difícil resulta para el ejecutor saber qué hay detrás de su tarea y, para los investigadores, demostrar la cadena de mando completa.
La propia estructura por capas crea zonas de incertidumbre. Los documentos públicos permiten situar a Oemis, Pecora y Legarda en posiciones relevantes, pero no permiten construir un organigrama definitivo ni identificar públicamente al último responsable de toda la operación. En el caso de Oemis, además, las autoridades de distintos países le atribuyen funciones diferentes: reclutamiento, coordinación, logística e instigación. Eso permite situarlo en el núcleo de la red, pero no a presentarlo como el jefe absoluto.
La aparente debilidad de los ejecutores es, al mismo tiempo, una de las fortalezas del sistema. Muchos no son espías profesionales. Algunos son inexpertos. Otros cometen errores. Algunos abandonan una misión al ver a la policía o a peatones. Otros provocan un incendio que apenas causa daños. Desde el punto de vista tradicional, todo eso parecería una operación mal ejecutada. Pero si el objetivo incluye generar ruido, probar una vulnerabilidad, obligar a movilizar recursos policiales o alimentar una campaña de desinformación, el resultado es distinto.
Keir Giles advierte de que incluso una persona incompetente puede producir el efecto buscado si lo que se pretende es ruido, distracción o aleatoriedad. Y Matthias Uhl señala otra posibilidad: una operación pequeña puede servir para comprobar si alguien es utilizable para tareas posteriores. Eso convierte el fracaso en una categoría ambigua. En Šiauliai, el primer equipo abandonó la operación y el segundo provocó un fuego sin daños importantes. Ninguno consiguió destruir el objetivo. Para una estructura clandestina, pudo producir también información sobre lo que funcionaba y lo que no.
La detención de Mayra Eukaris de la Lastra Nistal en Panamá, en julio de 2026, demuestra que la persecución continúa más allá de los países donde se produjeron los incendios. Otros nombres centrales, como Oemis y Pecora, siguen siendo esenciales para entender qué había detrás de los ejecutores y qué nivel ocupaba cada intermediario. La pregunta que queda al final no es quién incendió cada fuego. La pregunta es quién podía ordenar una cadena que empieza con un anuncio en Facebook y termina con una persona viajando miles de kilómetros para fotografiar una instalación o intentar incendiarla.
La investigación de los medios públicos europeos no solo reconstruye una serie de sabotajes, sino también una trama. Muestra cómo una operación de inteligencia puede aprovechar comunidades digitales, diferencias económicas, la movilidad dentro de Europa y una arquitectura de intermediarios para convertir a personas corrientes en instrumentos de una guerra que, oficialmente, no ha llegado a sus países.
En un extremo están los hombres y mujeres que viajan, fotografían, compran combustible, reservan un taxi o encienden una cerilla. En el otro, quienes pueden permanecer lejos, detrás de teléfonos, alias y fronteras. Entre ambos hay una red diseñada para que la distancia sea la mejor protección. Los agentes pueden ser de un solo uso. La pregunta que permanece es quién decide cuándo y dónde utilizarlos.
Una investigación de la Red de Periodismo de Investigación de la UER. Mathias Bölinger (DW); Julett Pineda (DW); Anna Chaika (DW); Pilar Requena (RTVE); Belén López Garrido (EBU); Indrė Makaraitytė (LRT); Adéla Paclíková (CT).
