Un hacker de 16 años accedió a datos y archivos del servicio madrileño de salud

La detención del joven, precipitada porque ya había anunciado nuevos e importantes ataques —como a otros «hacker» le gusta alardear de sus «hazañas» en las redes sociales, en la que es muy activo—, ha permitido descubrir a la Policía un abanico de actividades criminales que ni siquiera sospechaba durante las pesquisas . De ahí que se trate de una investigación aún abierta, en la que habrá novedades.

En octubre del año pasado la Policía recibió la denuncia de una plataforma internacional de distribución de contenidos audiovisuales bajo demanda. En sólo tres días se habían creado 141.000 cuentas fraudulentas para acceder al servicio 14 días . Para los perfiles, además, se utilizaron numeraciones de tarjetas bancarias de origen fraudulento. La «broma» costó unos 450.000 euros a la empresa.

Los investigadores detectaron dos perfiles, uno en Twitter y otro en Instagram, cuyo titular se atribuía la «hazaña» y en los que además se jactaba de haber compartido con sus seguidores el beneficio de acceso gratuito a esos contenidos. Sólo en Instagram tenía miles de seguidores.

Pocos días después la Policía recibió una nueva denuncia. La perjudicada era Bicimad , la empresa de alquiler de bicicletas de Madrid. El ataque a su sistema informático les había impedido dar servicio varias horas. Esta vez, el hacker había dejado su sello; un mensaje que se podía leer en las pantallas de los dispositivos de gestión de alquiler situados en la calle.

En fechas posteriores se produjeron más hackeos. Uno de ellos, a una consultoría española que da soporte informático a importantes empresas. La intrusión se hizo a través de un poste de autoventa de una conocida cadena de hamburgueserías , y además el hacker pudo tener acceso a bases de datos de varias sociedades. Fiel a su estilo «Robin Hood» con el que actuaba en ocasiones —en otras lo que le interesaba era el dinero— convocó a sus seguidores a un banquete, gratis total .

Un nuevo ataque en fechas posteriores y la correspondiente denuncia aportaron a los agentes de la Brigada Central de Seguridad Informática los datos necesarios para la identificación del hacker, a pesar de las grandes medidas de autoprotección que adoptaba. Pero por fin le podían poner nombre y apellido y localizar su vivienda, desde la que operaba.

Sin embargo, el estado de alerta decretado por el Gobierno ralentizó un tanto las investigaciones, y al estar plenamente identificado se decidió esperar, por supuesto, sometiéndole a vigilancia. Sin embargo, pronto tuvieron que reactivarlas de urgencia porque el hacker había dado un paso más, muy preocupante: en uno de sus perfiles publicó la imagen de una aplicación sanitaria dedicada a la prescripción de pruebas médicas y recetas y el historial médico de alguna persona, entre ellas un conocido político.

La amenaza era grave porque demostraba que había logrado entrar en el sistema informático Horus de la sanidad madrileña, en un momento como el actual. No solo eso; con esa intrusión podía tener acceso a datos personales confidenciales, pero también modificar los ficheros. Asimismo, había exfiltrado bases de datos de empresas de todo tipo así como plataformas de gestión de educación de varias consejerías que contienen información de profesores y alumnos.

Estaba claro que el hacker no se iba a detener —publicó en sus redes sociales mensajes en los que advertía de nuevos e importantes ataques—, y dado que en este periodo de confinamiento las vulnerabilidades aumentan por la masiva utilización de sistemas había que actuar con rapidez. Los agentes decidieron detenerlo en su domicilio, y hubo dos sorpresas : la primera, que en ese mismo instante se descargaba toda la base de datos de una conocida multinacional de mensajería, una actividad clave en estos momentos; la segunda, que al analizarse sus archivos se han detectado indicios de otros hackeos hechos los meses anteriores a compañías de transporte y logística, empresas de telecomunicación y entidades públicas autonómicas y locales. Además, se encontraron herramientas de software que se utilizan en la comisión de ciberataques en todas sus fases...

«Por ahora solo se puede contar mucho menos de lo que hay», dicen las fuentes consultadas por ABC, que dan una clave: «Cuando una empresa privada o una entidad pública sufren estas instrusiones deben comunicarlo para alertar a todos los organismos encargados de la seguridad en la red; los primeros lo hicieron; algunos de los segundos no, en la mejor de las hipótesis porque no se percataran del hackeo»... Y es que los ataques informáticos no solo dejan daños económicos, sino también reputacionales.