¿Qué tienen en común HBO, BiciMAD, Burger King, Sanidad, la Policía Nacional y el Ministerio del Interior? Aunque parezca un acertijo, la respuesta es seria. Todos ellos fueron víctimas de ataques informáticos de José Luis Huertas, alias Alcasec. Cuando él todavía tenía 19 años fue detenido por perpetrar el ciberataque de octubre de 2022 al Consejo General del Poder Judicial (CGPJ), mediante el que accedió a datos bancarios de 575.186 contribuyentes, parte de los cuales habrían sido vendidos a terceros. 

Ahora, a sus 21 años, ha sido detenido de nuevo en el marco de la operación Borraska, en la que también han detenido a Francisco Martínez, quien fuera secretario de Estado con Mariano Rajoy y otras dos personas vinculadas con la trama. Concretamente se les vincula con una red que robó información de millones de ciudadanos.

¿De qué se les acusa?

Según la Comisaría General de Información, unidad de la Policía Nacional que practicó su detención, esta red de alta especialización tecnológica se dedicaba a cometer ciber ataques a organismos públicos y empresas estratégicas, a través de un sofisticado sistema —con identidades falsas, criptomonedas, cifrado extremo y rutas anónimas—, para hacerse  con "información sensible" de millones de ciudadanos, entre los que se incluyen datos personales procedentes de sistemas educativos, el registro civil, abonos de transportes o plataformas de facturación de compañías eléctricas.

La información sustraída se conseguía mediante ciberataques e intrusiones informáticas reiteradas que se planificaban contra sistemas de organismos públicos y privados y que han sido ejecutadas de forma sostenida durante años.

Estos ataques se daban de manera sistemática y sostenida en el tiempo, contra infraestructuras informáticas de organismo públicos, empresas del sector energético, puertos, sistemas de transporte, redes telefónicas y plataformas educativas. 

La presunta organización criminal habría desarrollado una infraestructura tecnológica sofisticada y altamente compartimentada, diseñada para maximizar la extracción, almacenamiento, procesamiento y explotación de los datos que obtenían de forma ilícita, minimizando su exposición jurídica y operativa, según informan la Policía.

El otro gran 'golpe' de Alcasec

El 'gran' ciberataquede Alcasec tuvo lugar el 18 y el 20 de octubre de 2022 gracias a que el joven consiguió de forma ilícita las claves de dos funcionarios de la Administración de Justicia. Con ellas accedió, de acuerdo con el auto del juez, al Punto Neutro Judicial del CGPJ, la red de telecomunicaciones que conecta los órganos judiciales con otras instituciones y que se gestiona desde el CGPJ, que fue el que alertó del ciberataque. Desde ahí entró en la base de datos de 'cuentas ampliadas' de la Agencia Tributaria, de las que obtuvo información bancaria de más de medio millón de contribuyentes. 

Esa información, según reconocía el propio investigado, fue transferida a dos servidores alojados en Lituania, desde los que se vendieron datos personales de múltiples afectados a través de la plataforma uSms. Los pagos por esa información se realizaban en criptomonedas e iban dirigidos a los denominados 'monederos fríos' vinculados a Alcasec y en los que presuntamente recibió ingresos por valor de 553.707 dólares.

'El ojo de Horus'

Las pesquisas comenzaron en noviembre de 2022 cuando los investigadores tuvieron conocimiento, a través de la autoridad judicial, del ciberataque a los sistemas informáticos del CGPJ a través del Punto Neutro Judicial, su red de servicios para acceder a otros organismos de la Administración General del Estado. Como consecuencia de esta intrusión se vieron afectadas otras instituciones públicas, como la Agencia Tributaria, y quedaron expuestos datos personales, números de cuenta y saldos bancarios, entre otros, según explica la Policía Nacional en un comunicado.

El detenido utilizó los ataques y los accesos ilegítimos para crear una base de datos concebida como un servicio de consultas y venta de información ilícita a terceros. Además, desarrolló una plataforma a la que bautizó como Udyat, 'El ojo de Horus'. Con este nombre, establecía un paralelismo entre este símbolo egipcio y la capacidad de esta arquitectura de obtener detalles personales y sensibles. En una entrevista en Youtube, había llegado a jactarse de su acceso a los datos "del 90% de los ciudadanos españoles".

Otros ataques

Sin embargo, ese no era el primer ataque de Huertas. Comenzó su actividad delictiva con 15 años, cuando hackeó HBO y creó más de 150.000 cuentas con dos meses de suscripción gratuita que regaló por Instagram, tal y como él mismo contó en Club 113. Poco después, su víctima fue Bicimad, el servicio de alquiler de bicicletas de Madrid, en cuyos postes hizo aparecer el texto "Hacked by Alcasec". En Burger King, logró que las comandas fueran gratis después de manipular la pantalla de las máquinas de pedido. No obstante, sus objetivos no solo han sido empresas, sino que también subió "de coña" a redes sociales la ficha médica "censurada" de Santiago Abascal.

Tras un registro y una detención, permaneció un tiempo "calmado", pero después retomó su actividad y arremetió contra Mediaset. Lo hizo realmente por "un error", ya que quería cargar contra laSexta y se confundió de grupo audiovisual. Allí, empezó a "coger dinero y comprar en distintos sitios" con una tarjeta digital que guardó "en el móvil", hasta que la compañía se dio cuenta. Todas estas transacciones las realizó, además, a nombre de Paolo Vasile y de allí se llevó, según El Mundo, 300.000 euros.

A continuación, se coló en las bases de datos de la Policía Nacional y del Ministerio del Interior. También accedió a información del Ayuntamiento de Granada y de Fuenlabrada, de donde desvió 53.000 euros a dos cuentas bancarias, y expidió carnés de conducir al hackear la Dirección General de Tráfico (DGT), de acuerdo con ese diario. Como consecuencia de todos estos delitos, ha sido objeto de varias detenciones y ha ingresado en dos centros de menores, según recoge El Confidencial. 

Ese mismo año, también llevó a cabo un ciberataque contra la compañía eléctrica Holaluz, en el que robó los datos de 37.000 clientes con la intención de venderlos. Además, se le vincula con el hackeo masivo a los sistemas informáticos del Ayuntamiento de Granada —aunque él niega su implicación— y a una consejería de la Comunidad de Madrid. En este último caso, habría manipulado varias nóminas para desviar pagos hacia dos cuentas bancarias, con el objetivo de convertir ese dinero en criptomonedas.

Una vida de lujos

El joven llevaba, cuando fue detenido en 2022, según la Policía, una vida de lujos impropia de su edad y sin actividad laboral: realizaba viajes caros, vestía marcas exclusivas, frecuentaba lugares de ocio y restauración de moda e incluso conducía un vehículo de alta gama. De hecho, se hacía selfies conduciendo este tipo de vehículos por la M-30, y uno de sus subordinados tenía un Porsche valorado en 200.000 euros en el jardín de su casa, de acuerdo con El Mundo.

También las relaciones personales de Alcasec eran llamativas. De acuerdo con dicho periódico, el hacker solía salir con Francisco Nicolás Gómez Iglesias, el pequeño Nicolás, y presuntamente le proporcionaba datos y acceso a las bases robadas. Además, el pirata informático fue representado en detenciones anteriores por Francisco Martínez, ex secretario de Estado de Seguridad con Jorge Fernández Díaz y procesado por la operación Kitchen.

Durante la operación, los agentes registraron el domicilio y un local del detenido, donde intervinieron una gran cantidad de dinero en efectivo, numerosa documentación y efectos y soportes informáticos que están siendo analizados por los investigadores. Además, encontraron una motocicleta y un vehículo de alta gama.

Operación Borraska

Origen y desarrollo

 Estructura de la red

 Detenciones clave

Impacto y consecuencias