¿Qué tienen en común HBO, BiciMAD, Burger King, Sanidad, la Policía Nacional y el Ministerio del Interior? Aunque parezca un acertijo, la respuesta es seria. Todos ellos han sido víctimas de ataques informáticos del hacker José Luis Huertas, alias Alcasec. Ahora, este joven de 19 años ha sido detenido y se enfrenta a una pena de más de cinco como presunto autor del ciberataque perpetrado en octubre de 2022 al Consejo General del Poder Judicial (CGPJ), mediante el que accedió a datos bancarios de 575.186 contribuyentes, parte de los cuales habrían sido vendidos a terceros.  

El ciberataque tuvo lugar el 18 y el 20 de octubre de 2022 gracias a que el joven consiguió de forma ilícita las claves de dos funcionarios de la Administración de Justicia. Con ellas accedió, de acuerdo con el auto del juez, al Punto Neutro Judicial del CGPJ, la red de telecomunicaciones que conecta los órganos judiciales con otras instituciones y que se gestiona desde el CGPJ, que fue el que alertó del ciberataque. Desde ahí entró en la base de datos de 'cuentas ampliadas' de la Agencia Tributaria, de las que obtuvo presuntamente información bancaria de más de medio millón de contribuyentes. 

Esa información, según ha reconocido el propio investigado, fue transferida a dos servidores alojados en Lituania, desde los que supuestamente se vendieron datos personales de múltiples afectados a través de la plataforma uSms. Los pagos por esa información se realizaban en criptomonedas e iban dirigidos a los denominados 'monederos fríos' vinculados a Alcasec y en los que presuntamente recibió ingresos por valor de 553.707 dólares.

'El ojo de Horus'

Las pesquisas comenzaron el pasado noviembre cuando los investigadores tuvieron conocimiento, a través de la autoridad judicial, del ciberataque a los sistemas informáticos del CGPJ a través del Punto Neutro Judicial, su red de servicios para acceder a otros organismos de la Administración General del Estado. Como consecuencia de esta intrusión se vieron afectadas otras instituciones públicas, como la Agencia Tributaria, y quedaron expuestos datos personales, números de cuenta y saldos bancarios, entre otros, según explica la Policía Nacional en un comunicado.

A prisión el supuesto hacker del CGPJ que accedió a casi 600.000 cuentas bancarias y vendió la información a terceros

El detenido presuntamente utilizó los ataques y los accesos ilegítimos para crear una base de datos concebida como un servicio de consultas y venta de información ilícita a terceros. Además, desarrolló una plataforma a la que bautizó como Udyat, 'El ojo de Horus'. Con este nombre, establecía un paralelismo entre este símbolo egipcio y la capacidad de esta arquitectura de obtener detalles personales y sensibles. En una entrevista en Youtube, había llegado a jactarse de su acceso a los datos "del 90% de los ciudadanos españoles".

Prisión provisional

Ahora, el juez José Luis Calama ha decretado para Huertas prisión provisional, comunicada e incondicional por delito continuado de revelación de secretos. Uno de los motivos para adoptar esta decisión es el riesgo de fuga. El auto sostiene que el investigado se enfrenta a penas de cárcel de más de cinco años y dispone de 'monederos fríos' con "importantes cantidades de criptomonedas que le permitirían disponer de liquidez suficiente para residir en cualquier parte del mundo", por lo que puede intentar huir.

Con la prisión provisional, se trata de impedir que el investigado dañe los elementos de prueba existentes contra él

"Igualmente, con la prisión provisional, se trata de impedir que el investigado dañe los elementos de prueba existentes contra él, manipulando los repositorios informáticos donde tiene depositados los datos objeto de su actividad delictiva", apunta el juez. Además, Calama habla también del peligro de reincidencia.

Actividad anterior

Sin embargo, este no ha sido el primer ataque de Huertas. Comenzó su actividad delictiva con 15 años, cuando hackeó HBO y creó más de 150.000 cuentas con dos meses de suscripción gratuita que regaló por Instagram, tal y como él mismo contó en Club 113. Poco después, su víctima fue Bicimad, el servicio de alquiler de bicicletas de Madrid, en cuyos postes hizo aparecer el texto "Hacked by Alcasec". En Burger King, logró que las comandas fueran gratis después de manipular la pantalla de las máquinas de pedido. No obstante, sus objetivos no solo han sido empresas, sino que también subió "de coña" a redes sociales la ficha médica "censurada" de Santiago Abascal.

Tal Hanan, el exespía israelí y líder del 'Grupo Jorge' que ha manipulado elecciones en todo el mundo, también en España

Tras un registro y una detención, permaneció un tiempo "calmado", pero después retomó su actividad y arremetió contra Mediaset. Lo hizo realmente por "un error", ya que quería cargar contra laSexta y se confundió de grupo audiovisual. Allí, empezó a "coger dinero y comprar en distintos sitios" con una tarjeta digital que guardó "en el móvil", hasta que la compañía se dio cuenta. Todas estas transacciones las realizó, además, a nombre de Paolo Vasile y de allí se llevó, según El Mundo, 300.000 euros.

A continuación, se coló en las bases de datos de la Policía Nacional y del Ministerio del Interior. También accedió a información del Ayuntamiento de Granada y de Fuenlabrada, de donde desvió 53.000 euros a dos cuentas bancarias, y expidió carnés de conducir al hackear la Dirección General de Tráfico (DGT), de acuerdo con ese diario. Como consecuencia de todos estos delitos, ha sido objeto de varias detenciones y ha ingresado en dos centros de menores, según recoge El Confidencial. 

Una vida de lujos

El joven llevaba, según la Policía, una vida de lujos impropia de su edad y sin actividad laboral: realizaba viajes caros, vestía marcas exclusivas, frecuentaba lugares de ocio y restauración de moda e incluso conducía un vehículo de alta gama. De hecho, se hacía selfies conduciendo este tipo de vehículos por la M-30, y uno de sus subordinados tenía un Porsche valorado en 200.000 euros en el jardín de su casa, de acuerdo con El Mundo.

Un grupo prorruso piratea la web de la Asamblea Nacional francesa

También las relaciones personales de Alcasec eran llamativas. De acuerdo con dicho periódico, el hacker solía salir con Francisco Nicolás Gómez Iglesias, el pequeño Nicolás, y presuntamente le proporcionaba datos y acceso a las bases robadas. Además, el pirata informático fue representado en detenciones anteriores por Francisco Martínez, ex secretario de Estado de Seguridad con Jorge Fernández Díaz y procesado por la operación Kitchen.

Durante la operación, los agentes registraron el domicilio y un local del detenido, donde intervinieron una gran cantidad de dinero en efectivo, numerosa documentación y efectos y soportes informáticos que están siendo analizados por los investigadores. Además, encontraron una motocicleta y un vehículo de alta gama.