- La actividad del grupo se disparó desde septiembre de 2024 con campañas de reclutamiento y acciones contra “dominios relevantes”, según la investigación.
- Los investigadores intervinieron perfiles en X y YouTube y se cerró el canal de Telegram usado para difusión y coordinación.
La Guardia Civil ha detenido a los cuatro principales integrantes de un grupo hacktivista español que operaba bajo el nombre de ‘Anonymous Fénix’, al que atribuye ciberataques contra páginas de organismos públicos, partidos políticos e instituciones. La operación se ha desarrollado en dos fases: una primera, en mayo de 2025, con arrestos en Alcalá de Henares y Oviedo; y una segunda, a mediados de este mes, con detenciones en Ibiza y Móstoles.
Según la información difundida por el instituto armado, los detenidos se presentaban en redes sociales como parte del movimiento internacional ‘Anonymous’ y centraban sus acciones en ataques de denegación distribuida de servicio (DDoS). Este tipo de ataque busca colapsar una web o un servicio digital mediante un volumen anormal de solicitudes, de modo que el sistema deja de responder con normalidad y los usuarios legítimos no pueden acceder durante un tiempo.
La investigación sitúa el origen del grupo en abril de 2023, con una presencia especialmente intensa en X y en Telegram. En esos canales, el colectivo difundía mensajes y contenidos críticos con instituciones españolas y también de distintos países de Sudamérica, una vertiente que, de acuerdo con los investigadores, formaba parte del relato con el que buscaban atraer apoyos y proyectar influencia más allá del ámbito local.
El salto de actividad llegó a partir de septiembre de 2024, cuando, siempre según la Guardia Civil, el grupo lanzó una campaña de reclutamiento de voluntarios para ejecutar ataques contra dominios considerados “relevantes”. Ese impulso derivó en su etapa de mayor visibilidad tras la DANA de octubre de 2024 en la Comunitat Valenciana, una tragedia que dejó centenares de víctimas mortales y un fuerte impacto social y político. En ese contexto, el grupo justificó sus ataques culpando a responsables públicos de lo ocurrido.
Los ataques DDoS se han convertido en una herramienta habitual en el repertorio del hacktivismo porque permiten causar interrupciones sin necesidad de acceder a bases de datos ni robar información. Su efecto suele ser temporal, pero puede provocar cortes de servicio en momentos sensibles, afectar a la atención al ciudadano y generar un coste adicional en mitigación y refuerzo de infraestructuras, además del desgaste reputacional asociado a la caída de páginas institucionales.
La Guardia Civil atribuye a las dos primeras detenciones —las realizadas en mayo de 2025— un papel clave para avanzar en la identificación del resto del grupo. El análisis del material intervenido en esa fase habría permitido localizar a otros dos miembros, descritos como los más activos, que han sido arrestados este mes. Con esas cuatro detenciones, el instituto armado da por desarticulada la cúpula del colectivo.
En paralelo a los arrestos, se han intervenido judicialmente cuentas vinculadas al grupo en redes sociales, entre ellas su perfil en X y su cuenta de YouTube. Además, el canal de Telegram en el que difundían mensajes y coordinaban acciones ha sido cerrado, una medida que busca cortar vías de comunicación y frenar eventuales intentos de reorganización bajo otras denominaciones.
La investigación ha contado con la colaboración del Centro Criptológico Nacional, organismo técnico de referencia en el ámbito de la ciberseguridad en el sector público. La coordinación judicial, según la información oficial, ha recaído en la Fiscalía de Sala de Criminalidad Informática, la Fiscalía de Madrid y un juzgado de instrucción del Tribunal de Instancia de Madrid.