El rastro digital del 30-J: cuentas borradas, ventanas opacas y la carrera de Tardón por reconstruir quién coordinó Ceuta

HALLAZGOS PRINCIPALES

• La Audiencia Nacional ha abierto una línea específica para identificar administradores, dinamizadores, difusores y participantes relevantes en la campaña digital vinculada al 30-J.
• Tardón ha ordenado preparar requerimientos a Meta, WhatsApp, Facebook, Instagram, TikTok, Telegram, Google y Apple para obtener datos del periodo comprendido entre el 1 de julio y el 15 de agosto.
• Fuentes policiales citadas por prensa sostienen que muchas de las cuentas y publicaciones que impulsaron la movilización borraron contenidos o dejaron de ser visibles después de la entrada masiva.
• Los investigadores habrían solicitado previamente a algunas plataformas preservar información antes de la orden judicial formal; el nuevo Reglamento europeo de e-evidence, aplicable desde el 18 de agosto de 2026, refuerza las órdenes de producción y conservación de pruebas electrónicas dentro de la UE.
• Durante varios intervalos de las horas críticas, fuentes de Seguridad del Estado sostienen que desde fuera de Marruecos no fue posible acceder a determinados dispositivos o redes. La interpretación de ese episodio como contrainteligencia estatal es una hipótesis policial publicada, no una atribución técnica independiente cerrada.
• Los mensajes analizados por Policía muestran dos fases: primero movilizar hacia Ceuta mediante redes abiertas; después, una vez dentro, difundir instrucciones para ocultarse y dificultar una devolución, con mayor peso de WhatsApp y Telegram.

La investigación judicial intenta recuperar una red digital que empezó a desaparecer después de la entrada masiva. Fuentes de Seguridad del Estado citadas por prensa sostienen además que durante horas críticas del 30 y 31 de julio se perdió desde el exterior el acceso a determinados dispositivos o redes marroquíes. La desaparición de mensajes está acreditada como problema investigador; la atribución de esas ventanas de opacidad a una operación estatal marroquí no lo está.

REDACCIÓN EL ESTÁNDAR · MADRID / CEUTA · 17 SEP 2026

La investigación ya no persigue solo mensajes: persigue una arquitectura

Durante semanas, la pregunta principal sobre la campaña digital del 30-J fue quién lanzó los llamamientos que precedieron a la mayor entrada irregular registrada en Ceuta. La causa que dirige María Tardón ha entrado ahora en una fase diferente: reconstruir qué cuentas administraban los espacios de movilización, cuáles amplificaban mensajes, qué perfiles actuaban como dinamizadores y si existía coordinación entre ellos.

Ese cambio importa porque una campaña distribuida puede sobrevivir a la desaparición de una cuenta concreta. Para determinar si hubo una estructura organizada no basta con conservar capturas: hacen falta identificadores, metadatos, relaciones entre cuentas, dispositivos, conexiones, horarios y, cuando sea posible, el origen de las comunicaciones.

El Estándar ya documentó que el informe del CENIF deja abierta exactamente esa cuestión: ++quién diseñó y coordinó la campaña digital previa y quién ocupó el nivel superior de dirección estratégica++. La nueva batería de diligencias intenta avanzar sobre ese vacío.

Cuentas que desaparecen después de cumplir su función

Fuentes policiales citadas este jueves por El Periódico y reproducidas por otros medios sostienen que una parte relevante de la actividad que impulsó el movimiento ya no es trazable a simple vista. Mensajes fueron eliminados, perfiles dejaron de mostrar actividad y, en algunos casos, los investigadores disponen solo de capturas realizadas antes de que el contenido desapareciera.

El borrado no demuestra por sí mismo una operación coordinada para destruir pruebas. En redes sociales, usuarios eliminan contenidos por razones muy distintas y las plataformas aplican además sus propias políticas de moderación. Lo que sí produce es un problema probatorio: el rastro público que permitía reconstruir quién publicó qué y en qué momento se reduce a medida que pasa el tiempo.

Por eso la causa judicial se ha desplazado hacia los datos que pueden conservar las propias plataformas incluso cuando un contenido deja de ser visible para otros usuarios.

Meta, TikTok, Telegram, Google y Apple: el segundo campo de batalla

La jueza ha ordenado a los investigadores preparar solicitudes internacionales y órdenes europeas dirigidas a las principales plataformas tecnológicas. El objetivo es abarcar un periodo amplio —del 1 de julio al 15 de agosto— para reconstruir no solo las 48 horas críticas, sino también la preparación y las comunicaciones posteriores.

La petición busca contenidos, identidad de emisores y relaciones entre cuentas. Para los investigadores, los metadatos pueden ser tan importantes como el mensaje: qué dispositivo se utilizó, desde qué red se conectó, cuándo se produjo la actividad y qué otros perfiles aparecen vinculados.

El calendario jurídico introduce además una novedad. El Reglamento europeo de e-evidence es aplicable desde el 18 de agosto de 2026 y crea órdenes europeas específicas de producción y conservación de pruebas electrónicas. No resuelve por sí solo el acceso a datos alojados o controlados desde Marruecos, pero refuerza el marco para requerir información a proveedores sometidos al sistema europeo.

La Comisión Europea explica que ++las nuevas reglas permiten órdenes de producción y conservación de evidencia electrónica en procedimientos penales++, precisamente porque los datos digitales pueden desaparecer con facilidad o estar almacenados fuera del país que investiga.

Dos fases: entrar y después esconderse

La reconstrucción policial publicada hasta ahora describe un cambio de función en la campaña. Antes y durante la entrada, Facebook, TikTok y otros espacios abiertos sirvieron para ampliar el alcance de las convocatorias, generar sensación de oportunidad y dirigir la atención hacia la frontera.

Después, cuando miles de personas ya se encontraban dentro de Ceuta, parte de las instrucciones pasó a canales más cerrados. Los mensajes recogidos por los investigadores ya no se centraban únicamente en cómo cruzar, sino en cómo permanecer, ocultarse y dificultar una devolución.

Ese desplazamiento de redes abiertas a mensajería privada es relevante porque complica la reconstrucción posterior. Una publicación pública puede ser archivada por terceros; una conversación en un grupo cerrado depende mucho más de quién estaba dentro, de las capturas conservadas y de la cooperación del proveedor.

Los ++Papeles de Ceuta publicados por El Estándar++ ya mostraron que el 29 de julio el CNI advertía de convocatorias para el día siguiente por mar y por valla y que los grupos monitorizados reunían alrededor de 180.000 seguidores. La nueva línea de investigación intenta saber quién estaba detrás de esa capacidad de difusión.

Las horas en las que Marruecos se volvió opaco desde fuera

El elemento más sensible de la información conocida este jueves es técnico. Fuentes de Seguridad del Estado citadas por prensa sostienen que, durante determinados intervalos del 30 y 31 de julio, observadores situados fuera de Marruecos dejaron de poder acceder a algunos dispositivos o redes marroquíes.

Esas fuentes interpretan el fenómeno como una actuación de contrainteligencia. El Estándar no ha localizado, a la hora de cierre, una medición técnica independiente que permita atribuir con certeza ese comportamiento a una orden del Estado marroquí, identificar al operador responsable o determinar si se trató de un bloqueo deliberado, filtrado selectivo, incidencia de red u otra causa.

La diferencia es fundamental. Que investigadores españoles hayan observado una pérdida de visibilidad durante momentos críticos es una información relevante. Afirmar que Rabat apagó deliberadamente una parte de Internet para ocultar una operación exige una prueba técnica y una cadena de atribución que todavía no está disponible públicamente.

Cloudflare Radar dispone de un ++centro público de interrupciones y anomalías de tráfico++, pero la existencia de esta herramienta no permite por sí sola verificar retrospectivamente la hipótesis publicada sin aislar redes, operadores, intervalos horarios y métricas concretas. Ese contraste técnico sigue siendo una línea abierta.

El cuello de botella marroquí

La cooperación con las plataformas no resuelve todos los problemas. Si una cuenta operó desde un país de la Unión Europea, la justicia dispone de instrumentos europeos de obtención de pruebas. Cuando el operador se encontraba en Marruecos, la investigación puede necesitar cooperación de las autoridades marroquíes.

Fuentes policiales citadas por prensa se muestran escépticas sobre el grado de colaboración que obtendrán en investigaciones de inmigración irregular o narcotráfico, aunque España y Marruecos sí han cooperado históricamente en investigaciones antiterroristas.

Esa dependencia es especialmente sensible en una causa que intenta determinar si actores ubicados en Marruecos actuaron de forma autónoma, comercial, activista, criminal o conectados de algún modo con estructuras superiores.

El 20-S demuestra por qué esta línea importa ahora

La reconstrucción del 30-J no es solo retrospectiva. Las fuerzas españolas monitorizan ya nuevas convocatorias que circulan en el ecosistema digital marroquí. El 20 de septiembre existe como llamamiento documentado, aunque no está probado que vaya a convertirse en una movilización física masiva.

++El Estándar publicó este jueves que Policía, Guardia Civil y CNI vigilan la convocatoria del 20-S++. La lección operativa del 30-J es que una campaña digital puede cambiar de escala con rapidez; la lección probatoria es que reconstruirla después resulta mucho más difícil si sus nodos desaparecen.

La carrera es ahora contra el tiempo

Tardón busca recuperar una estructura que ya no está completamente visible. La investigación tiene que reconstruir relaciones que fueron públicas durante horas o días y que después se fragmentaron entre eliminaciones, cuentas inactivas, grupos privados y jurisdicciones distintas.

El problema no es únicamente saber qué decían las consignas. Es establecer si detrás de la amplificación existían administradores coordinados, redes profesionales de tráfico, activistas, cuentas automatizadas, operadores estatales o una combinación de actores con intereses distintos.

Hasta que esa arquitectura no se reconstruya, la causa podrá demostrar que existió una movilización digital de enorme alcance y que fue funcional para concentrar personas en la frontera. Lo que todavía no puede afirmar con el mismo grado de certeza es quién diseñó el conjunto, quién lo financió y quién tenía capacidad para ordenar sus diferentes capas.

La investigación de ++El Estándar sobre gendarmes, DGST y DGED++ ya situó la participación material de integrantes del aparato de seguridad marroquí dentro del expediente, pero mantuvo abierta la autorización institucional y el mando político. El rastro digital puede convertirse en uno de los puentes capaces de acercar —o separar definitivamente— esas dos capas.