La Policía Nacional ha detenido en Madrid a un hacker de 16 años con un amplio historial de ciberataques desde finales de 2019 y que, con el estado de alarma por el coronavirus, había conseguido penetrar en una aplicación sanitaria dedicada a la prescripción de pruebas y recetas, robando datos de varios usuarios. También hizo lo mismo en aplicaciones educativas.

La subdirectora de la Policía, Pilar Allúe, resalta que en pocos meses había conseguido quebrantar la seguridad de empresas tanto públicas como privadas en España e internacionales.

El joven buscaba notoriedad de sus «logros» en redes sociales. En el momento de su detención, los agentes lograron abortar un ataque a una empresa de paquetería que estaba hackeando en ese preciso instante. También había hecho lo mismo con anterioridad en plataformas de gestión de educación de varias Consejerías, con datos de carácter personal de alumnos y profesores. En las redes sociales llegó a publicitar datos personales que previamente había hackeado.

La investigación se inició a finales de 2019, tras la denuncia de una plataforma internacional de distribución de contenidos audiovisuales de vídeo bajo demanda. En tan solo tres días se crearon cerca de 141.000 cuentas fraudulentas para acceder al servicio televisivo durante 14 días. Para la creación de esos perfiles se aportaron numeraciones de tarjetas bancarias de origen fraudulento que provocaron un perjuicio económico en la empresa de unos 450.000 euros.

Pocos días después, se recibió una nueva denuncia, ésta de una empresa de alquiler de bicicletas situada en Madrid, y que informaba acerca de que habían sufrido un ataque informático a sus sistemas que les había impedido prestar servicios durante horas.

El presunto autor del ciberataque dejó constancia de su autoría, mediante un mensaje que se podía leer en las pantallas de los propios dispositivos de gestión de alquiler situados en la vía pública.

Los investigadores tuvieron conocimiento de nuevos ataques a una consultoría española, encargada de dar soporte informático a empresas implantadas en el territorio nacional. La intrusión se produjo valiéndose de un poste de auto-venta situado en el interior de un local de una cadena de restaurantes de comida rápida. En este ataque en particular, el hacker pudo tener acceso a bases de datos de varias empresas.

Con escasas jornadas de diferencia, una nueva denuncia aportó a los agentes especializados en la lucha contra la ciberdelincuencia los datos necesarios para ubicar al responsable de los actos ilícitos. A pesar de las meticulosas y extensas medidas de autoprotección que el pirata informático llevaba a cabo para perpetrar cada ataque, finalmente los investigadores pudieron corroborar su identidad y centrar su ubicación en Madrid.

Debido a la situación actual de confinamiento de la población generaba una mayor vulnerabilidad por depender en gran medida de los sistemas de telecomunicación, los policías solicitaron la inmediata autorización judicial para la entrada y registro en el domicilio del investigado.

Durante la puesta en práctica de la diligencia de entrada, el ciberdelincuente fue sorprendido in fraganti realizando una incursión contra las bases de datos de una empresa de mensajería.

En el registro de la vivienda los agentes hallaron numerosas evidencias de los hechos investigados, destacando la existencia de diversas herramientas de software dedicadas a la comisión de ciberataques en todas sus fases.

Igualmente, se descubrieron indicios de numerosos hackeos anteriores a compañías de transporte y logística, a empresas de telecomunicación, plataformas de gestión de educación o corporaciones del ámbito privado y público  tanto autonómicas como locales.

Debido a la enorme cantidad de información contenida en el material intervenido, la Policía no puede descartar que de su análisis se hallen nuevas trazas de ciberataques o de otras conductas delictivas, como la venta de los datos extraídos ilegalmente en mercados clandestinos o en la Dark Web.