Alcasec, el hacker de 19 años que robó datos del Poder Judicial y se jactaba de sus hazañas en un podcast

Esta semana la Policía detuvo a Alcasec, un joven hacker de 19 años, por haber robado al Poder Judicial miles de datos almacenados en sus sistemas. Este “peligroso delincuente informático”, según los agentes, había creado una base de datos con información de diferentes instituciones para después venderla ilegalmente.

Un juez decidió mandarlo a prisión por este ciberataque “perpetrado en octubre de 2022 al Punto Neutro Judicial” del órgano de gobierno de los jueces, como recoge la Agencia Efe. Esta red funciona como un servicio para conectar a los órganos judiciales con diferentes instituciones para tener “acceso directo a aplicaciones y bases de datos” y, precisamente, “aumentar la seguridad” de estas operaciones.

Te explicamos de qué se acusa a Alcasec y quién es exactamente este hacker, que ya había dado bastantes pistas de sus operaciones en el podcast Club 113.

La Policía cree que Alcasec, el joven hacker, robó datos de unos 600.000 contribuyentes en su ciberataque al Poder Judicial

El joven es Jose Luis Huertas, apodado Alcasec. El juez de la Audiencia Nacional José Luis Calama lo envió a prisión, de forma provisional, por un delito de “revelación de secretos”, como explican desde el Consejo General del Poder Judicial. Lo acusan de haber robado datos de 575.186 contribuyentes. Para poder acceder a ellos, “consiguió de forma ilícita credenciales” de funcionarios de la Administración de Justicia.

¿Qué hizo con ellos? En su auto, el juez explica que “fueron transferidos a dos servidores en Lituania” y, posteriormente, vendidos a terceros, como él mismo reconoció. “El detenido (…) llevaba una vida de lujos impropia de alguien de su edad y sin actividad laboral”, lo que incluía, según detalla la Policía, “viajes caros, marcas exclusivas y un vehículo de alta gama”.

Alcasec habría tejido todo un entramado para que sus operaciones no fueran detectadas por las autoridades: “Gran parte de su actividad ilícita la monetizaba a través de una compleja estructura de ocultación del dinero mediante mixers de criptomonedas, impidiendo el rastreo por la ruptura del vínculo entre los fondos y el destinatario”, añaden. La clave de este tipo de servicios es que “dificultan el seguimiento de las transacciones de criptos por parte de terceros, como las fuerzas de seguridad”, por ejemplo, como explican en el portal especializado en tecnología The Verge.

De hecho, es una de las razones por las que el juez lo mantiene en prisión: “Existe riesgo de fuga, ya que el investigado tiene depositadas importantes cantidades de criptomonedas que le permitirían disponer de liquidez suficiente para residir en cualquier parte del mundo, eludiendo la acción de la justicia española”, según el propio auto.

Las pistas que dejaba Alcasec en el podcast ‘Club 113’: aseguraba tener acceso a la información del “90% de España”

El ataque al Poder Judicial no fue el único de Huertas. Según contaba en sus canales de redes sociales, ya habría hackeado empresas e instituciones antes, como la propia Policía Nacional, la cadena de comida rápida Burger King o el servicio madrileño de bicicletas Bicimad.

De hecho, él mismo contó cómo había organizado algunos de sus ciberataques en el podcast Club 113, presentado por los streamers Goorgo, Nil Ojeda y Werlyb. En una de sus apariciones (la última se emitió a finales de febrero), Alcasec aseguraba abiertamente haber configurado “una base de datos durante años, a partir de sistemas privados, en la que está la información del 90% de España”. La llamaba Udyat, en referencia al símbolo egipcio del Ojo de Horus (“el ojo que todo lo ve”, apunta).

Esa base incluiría, según relató él mismo en la entrevista, “DNI, números de teléfono, direcciones, tarjetas, cargos, pedidos, etc”. De hecho, se jacta de haber utilizado esa información para llamar, por ejemplo, al emérito o a Ibai, aunque también reconoce los límites del sistema: “[Saber] el saldo, por ejemplo, es más complicado, falla un poco”. 

El hacker aprovechaba el intercambio de datos que se iban produciendo de una empresa a otra, cuando un usuario se los cedía, para hacerse con ellos por el camino: “¿Sabes qué pasa? Que tus datos vuelan, se los das a Amazon, que se los da a su vez a su empresas de logística, y van de aquí para allá. Y mientras, yo hago pum y me los quedo”.

El hackeo a Mediaset por error con el que después robó dinero para fiestas

Sin embargo, su modus operandi, a veces, no era tan organizado; Alcasec reconoce que llegó a hacer hackeos, supuestamente, por error. En una de sus intervenciones en el programa, este 7 de abril hace justo un año, el joven asegura que, tras emitir una información sobre él, trató de atacar los sistemas informáticos de laSexta a modo de venganza, pero se equivocó de cadena: “Me cabreé y, no sé por qué, pensé que laSexta pertenecía a Mediaset [el grupo propietario de Telecinco]. ¿Cuál fue el siguiente hackeo? Mediaset. Entré hasta su ‘cocina’ y podía hacer lo que quisiera, tenía acceso a todas sus cuentas, pagos, nóminas, transferencias…”.

En el podcast él mismo dice que llegó a “coger dinero”: “Ahí se me fue la mano, era muy tentador. Yo no tenía nada, vi esa cantidad y dije, pues voy a coger un poco, no se van a enterar. Tenía una tarjeta puesta en el móvil y con ella pagaba en todos lados”, asegura. ¿Cómo conseguía que no se diesen cuenta de que era él? “Las transacciones estaban a nombre de Paolo Vasile, el director de Mediaset”.

El día que se conoció su detención, desde el podcast tuitearon una imagen del joven con el texto “you killed the man, but not the idea”, en referencia a las palabras atribuidas al activista norteamericano Medgar Evers, que luchó por los derechos de los negros en Estados Unidos y fue asesinado por un supremacista blanco en la década de los 60.