Una recién formada alianza de hackers rusos conocida como Russian Legion ha lanzado una campaña coordinada de ciberataques contra Dinamarca, amenazando infraestructuras críticas y servicios gubernamentales.

La alianza, que incluye a Cardinal, The White Pulse, Russian Partizan y Inteid, anunció públicamente su formación el 27 de enero de 2026, marcando una escalada significativa en las operaciones de hacktivismo alineadas con el Estado ruso y dirigidas contra naciones occidentales.

El grupo inició la “OpDenmark” con una serie de ataques de denegación de servicio distribuido (DDoS) destinados a interrumpir organizaciones danesas y presionar al gobierno por su apoyo militar a Ucrania.

La campaña comenzó cuando Russian Legion emitió un ultimátum el 28 de enero de 2026, exigiendo que Dinamarca retirara su paquete de ayuda militar planificado de 1.500 millones de coronas danesas a Ucrania en un plazo de 48 horas.

El grupo advirtió que los ataques DDoS eran solo acciones preliminares, afirmando que seguirían operaciones cibernéticas más graves si sus demandas eran ignoradas.

Poco después de que venciera el plazo, múltiples empresas danesas y organizaciones del sector público reportaron interrupciones en sus servicios, con el sector energético experimentando ataques repetidos.

Analistas de Truesec identificaron a Russian Legion como un actor de amenazas alineado con el Estado, pero no financiado por este, que opera de manera independiente mientras apoya los objetivos geopolíticos rusos.

La alianza representa un esfuerzo coordinado por parte de grupos hacktivistas establecidos para amplificar su impacto operativo a través de campañas conjuntas.

Investigadores de Truesec señalaron que este patrón sigue un precedente histórico, donde grupos cibernéticos vinculados a Rusia intensifican su actividad durante conflictos internacionales para crear presión psicológica y disrupción operativa.

Los ataques se han centrado principalmente en saturar sistemas objetivo mediante técnicas de DDoS, dejando temporalmente inaccesibles sitios web y servicios en línea.

Según las declaraciones públicas de los actores de la amenaza, el ataque principal estaba programado para comenzar a las 4 PM hora danesa, dirigiéndose tanto a empresas privadas como a infraestructuras gubernamentales.

Inteid, uno de los miembros de la alianza, ya había realizado ataques preliminares contra sundhed.dk a principios de la semana, demostrando la capacidad del grupo para interrumpir servicios de salud.

Metodología de ataque y enfoque táctico

Russian Legion emplea una estrategia multicapa que combina la disrupción técnica con operaciones psicológicas.

El grupo utiliza servicios de DDoS por encargo para generar volúmenes masivos de tráfico, saturando redes objetivo y agotando recursos defensivos.

Su enfoque comienza con amenazas públicas difundidas a través de canales de Telegram, seguidas de ataques de bajo impacto que sirven como demostración de capacidad.

Los actores de la amenaza luego publican capturas de pantalla de sitios web afectados para amplificar el miedo y atraer la atención mediática, incluso cuando el daño real sigue siendo limitado.

Este componente psicológico busca generar incertidumbre entre los ciudadanos daneses y presionar a los responsables de la toma de decisiones, aunque los datos históricos sugieren que estas campañas rara vez escalan a resultados catastróficos cuando las organizaciones implementan medidas defensivas adecuadas, como limitación de tasas, bloqueo geográfico y servicios especializados de protección contra DDoS.