Guardia Civil desmantela operación de ciberdelincuencia en España

Dos jóvenes autodidactas, de 19 y 27 años, vecinos de Sevilla y Asturias respectivamente, han sido detenidos en una compleja operación llevada a cabo por el Departamento contra el Cibercrimen de la Unidad Central Operativa de la Guardia Civil. La operación ha desentrañado cerca de 200 ciberataques a organismos públicos y entidades privadas españolas y latinoamericanas, incluyendo bancos.

Estos individuos, provenientes de familias de clase media y poco dados a hacer ostentaciones, se destacan por ser altamente especializados en sus áreas de actuar. Uno de ellos sobresale en programación mientras que el otro es experto en técnicas de vulneración de sistemas. Las fuentes de la investigación consultadas por ABC informan que, al actuar conjuntamente, la gravedad y complejidad de sus ataques iban en aumento. «Su objetivo era solo sacar dinero, monetizar sus ‘hazañas’; no hay una ideología detrás», afirma el teniente coronel Juan Sotomayor, director del Departamento de Cibercrimen.

Los hackers se conocieron a través de las redes sociales y mantenían contacto permanente, incluso llegaron a mantener reuniones físicas. La investigación se inició tras vincular una serie de ciberataques con la información obtenida de los análisis realizados en ciertos materiales intervenidos en investigaciones previas. Se identificó un canal de Telegram donde se mostraban accesos fraudulentos a varias administraciones públicas de importancia.

Ciberataques: un negocio lucrativo

Tras analizar el contenido del mencionado canal con técnicas de investigación tecnológica avanzada y búsquedas en fuentes abiertas, los agentes atribuyeron estos ataques a un actor nacional del ámbito de la ciberdelincuencia, que operaba bajo el seudónimo ‘GUARDIACIVILX’ y otras 14 identidades como ‘9bands’, ‘banz9’, ‘TheLich’, ‘Crystal_MSF’, ‘OUJA’, ‘unlawz’ y ‘teamfs0ciety’.

La investigación se enfocó en identificar a los individuos detrás de estos seudónimos y el número de ataques realizados. ‘GUARDIACIVILX’ se publicitaba como un vendedor de credenciales de acceso a servicios remotos y correos electrónicos corporativos, y ofrecía la venta privada de estos datos sobre un portal de consultas de vehículos de la Dirección General de Tráfico (DGT) e ITV Asturias. Inicialmente, solicitaban un pago de 13.000 dólares por estos datos.

Las detenciones se llevaron a cabo cuando se negociaba la venta de este paquete de datos. El chico de 19 años, que aprovechaba sus clases de Formación Profesional de grado superior para mantener estos contactos, fue detenido en ese momento.

Simultáneamente, los investigadores analizaron diferentes cuentas de criptomonedas vinculadas a este actor nacional, corroborando que gran parte de estas provenían de distintos ‘exchangers’ (casas de cambio de criptomonedas), desde donde se habrían hecho efectivos los pagos de la venta de varios paquetes con estas credenciales de acceso obtenidas ilegalmente.

Las detenciones se realizaron en octubre en Sevilla y Asturias y los implicados ingresaron en prisión. Sin embargo, pocos meses después, una vez garantizado que no podrían destruir pruebas, fueron puestos en libertad con cargos.

Las investigaciones, que contaron con la colaboración del FBI y el Centro Criptológico Nacional, dependiente del CNI, determinaron que los ciberataques no solo se habían dirigido a entidades públicas y privadas españolas, sino que también afectaron a organismos de países del continente americano, especialmente de países de habla hispana. Los implicados no trabajaban por encargo, sino que realizaban las intrusiones y luego ofertaban la información obtenida en Telegram.

Del material intervenido en estas detenciones, tanto informático como documental, los investigadores han logrado las evidencias necesarias para vincular a los implicados con ciberataques a entidades tanto públicas como privadas, como los ayuntamientos de León, Salamanca, Vitoria, Bermeo y Basauri, entre otros, y a la Universidad Autónoma de Madrid, diputaciones de Jaén y Málaga, Servicio Cántabro de Salud, Banco Atlántida, Ministerio de Cultura de Argentina, Ministerio de Salud de Perú y Poder Judicial del Estado de Txascala en México, entre muchas otras. También mostraron interés por el robo de información de redes de farmacias e intentaron vender una base de datos de una de ellas con información de más de 200.000 personas.

El teniente coronel Sotomayor asegura que «llegar hasta estos dos jóvenes ha sido una carrera de resistencia», en la que se tuvieron que unir múltiples indicios. «Y cuando se producen las detenciones llega el esprint, para asegurar las pruebas y evitar que se borren». De momento no se sabe si los implicados han retomado su actividad, aunque el jefe del Departamento de Cibercrimen sabe que «ya han aprendido de los errores que cometieron y que nos han permitido llegar hasta ellos».