Detenido un adolescente en Alicante acusado de liderar un grupo que lanzó un millar de ciberataques

La Guardia Civil y los Mossos d’Esquadra han participado en una operación policial internacional que ha permitido desmantelar KillSec, un grupo de piratas informáticos que ha lanzado en los dos últimos años cientos de ciberataques contra empresas y organismos públicos a los que posteriormente exigían el pago de rescate a cambio de permitirles recuperar la información que les había bloqueado o sustraído. En España, solo consta la denuncia de la empresa pública de construcción de la Generalitat, Infraestructuras de la Generalitat, a quien pidieron 15 millones de dólares (13,3 millones de euros) en criptomonedas de rescate. Los investigadores sitúan como principal administrador del grupo a un adolescente de 16 años y origen rumano que residía en La Romana (Alicante, 2.700 habitantes) y que fue detenido el pasado miércoles acusado de revelación de secretos y daños informáticos, según informan ambos cuerpos. Su madre ha sido imputada por su presunta implicación en las actividades de menor.

“Era el principal administrador de la web, que tenían en la darkweb [parte oculta de internet que no aparece en los buscadores tradicionales] un desarrollador que controlaba la infraestructura informática. Además de sus propios ataques, también alquilaban la plataforma a terceros”, explican fuentes de la División de Investigación Criminal (DIC) de los Mossos d’Esquadra. Un pequeño error en el ataque a la empresa pública catalana permitió a los investigadores dar con una dirección IP que les llevó hasta el domicilio del menor de edad en Alicante, en el que vivía con su madre. Paralelamente, la Unidad Central Operativa (UCO) de la Guardia Civil también corroboró la identidad del presunto líder del grupo a través de la fotografía de una motocicleta con llamativos colores que aparecía en un perfil y que se pudo vincular con un número de teléfono español ligado a una cuenta de WhatsApp. La pista de la imagen la facilitó el FBI, que tenía en el punto de mira al grupo de ciberdelincuentes por ataques que habían perpetrado en Puerto Rico.

Los investigadores consideran que el joven de 16 años es el máximo responsable de la organización de piratas informáticos. “Es totalmente autodidacta”, inciden fuentes de la investigación. Ya a los 12 se inició en el terreno de la ciberdelincuencia, coinciden en señalar fuentes policiales; a los 16 es ya un auténtico experto, añaden. Sin asistir a la escuela, desde la casa en la que vivía con su madre en el interior de la provincia de Alicante gestionaba la plataforma a través de la que cometían ataques por todo el mundo. Aunque pasaba buena parte del día delante del ordenador, en su vida social mostraba un nivel adquisitivo muy por encima del habitual para una joven de su edad. “Presumía ante sus amigos de móviles, de relojes, sobre todo, de motocicletas”, añaden fuentes de la investigación.

Al grupo KillSec se le considera autor de más de un millar de ciberataques en todo el mundo, de los que al menos la mitad tuvieron éxito, con más de 280 víctimas. Formado presuntamente por los tres detenidos en la operación internacional, su especialidad era encontrar vulnerabilidades en los sistemas informáticos de las entidades para poder sustraer los datos que estas almacenaban en la nube. En el caso de la empresa pública catalana, los sospechosos llevaron a cabo un ataque con un programa malicioso de tipo ransomware creado por ellos con el que bloqueaban el acceso al sistema para pedir posteriormente un rescate. El bloqueo duró dos días, y la Generalitat calculó que supuso unas pérdidas de un millón de euros. Además, les sustrajeron datos, que luego fueron localizados por policías alemanes en servidores que estaban investigando, aunque nunca llegaron a difundirse. La empresa pública de la Generalitat no pagó por recuperar sus datos pese a la amenaza de los cibercriminales. En Bélgica, en cambio, una compañía les entregó 800.000 euros en criptomonedas, explican fuentes policiales. “No hay que pagar nunca, porque además no es garantía de que vayan a desbloquear el sistema”, insisten fuentes de la policía catalana.

Además del adolescente detenido en Alicante, hay otros dos arrestados ―uno en Reino Unido y el segundo en Rumanía― y se han realizado ocho registros en Grecia, Rumanía, Reino Unido y España, donde Guardia Civil y Mossos entraron en una vivienda y en las oficinas de un establecimiento hotelero. En el operativo también han participado expertos policiales de otros cinco países europeos y de EE UU, junto a la Agencia de la Unión Europea para la Cooperación Policial (Europol), la de cooperación judicial penal (Eurojust) y dos empresas privadas de ciberseguridad. La operación ha sido dirigida por la Oficina de Policía Criminal del Estado de Hamburgo (Alemania).

Según la investigación, el grupo, activo al menos desde 2024, utilizaba la inteligencia artificial (IA) para identificar posibles víctimas y mejorar sus programas maliciosos. Una vez accedían a estos repositorios de empresas y organismos públicos, copiaban los datos y los transferían a infraestructuras bajo su control. Posteriormente, contactaban a través de sistemas de mensajería encriptados con las víctimas, a las que amenazaban con hacer accesibles estos datos a través de páginas web controladas por ellos si no pagaban elevadas cantidades de dinero.

Durante la investigación, cinco servidores con los que KillSec gestionaba las actividades del grupo y almacenaba cerca de 110 terabytes de datos sustraídos han sido puestos bajo control policial. También ha sido intervenidas las webs operadas por el grupo en los que difundían los datos de las empresas que no pagaban o presumían de sus ataques ante otros piratas. Ahora, quien intenta entrar en estas páginas son redirigidos automáticamente a un aviso en el que se les alerta que estas han sido confiscadas por orden judicial. En los registros se han intervenido abundante material informático, teléfonos móviles y monederos de criptoactivos, así como sistemas de anonimización y cifraje de información utilizados por la trama en sus actividades delictivas.

La fuerzas de seguridad insiste en la necesidad de actualizar siempre los programas, que suelen corregir errores de seguridad. También insisten en la necesidad de tener copias de seguridad de los datos que se consideran importantes, y hacerlo fuera del sistema, precisamente por si es víctima de algún ciberataque.