La Policía investiga si Alcasec también atacó hospitales y empresas

En una lista de objetivos incautada figuraban las direcciones de los portales de empleados de la Comunidad de Madrid, dos hospitales, un servicio de urgencias (el Summa), los ayuntamientos de Fuenlabrada, Marbella, Badajoz y Cuenca, los servicios de Salud de Canarias, Castilla y León y la Costa del Sol, Renault, Mercadona, Cepsa, una firma de asesoramiento fiscal y otra de seguridad privada. Según los investigadores, sus redes pudieron sufrir «manipulaciones informáticas» con un objetivo: el desvío de las nóminas de los trabajadores.

Es la conclusión a la que han llegado tras el análisis de los dispositivos intervenidos a un presunto colaborador de Alcasec, A. M., en la causa abierta en un juzgado de Granada por el hackeo del Ayuntamiento de la ciudad y de la Consejería de Sanidad madrileña.

Se les imputa ya el desvío de cinco nóminas de trabajadores de esas administraciones públicas en noviembre de 2021 por valor de 53.000 euros, pero se presume que los ataques tuvieron mayor dimensión. «Se evidencia que se especializaron en la vulnerabilidad de los servicios informáticos de gestión de nóminas de empleados de Ayuntamientos y servicios autonómicos de salud», expone la Policía en un informe al que ha tenido acceso ABC.

Añade que «se tienen suficientes indicios para considerar que durante el verano de 2021», A.M. y Alcasec, «coincidiendo con sus últimas semanas de minoría de edad, desplegaron distintas intrusiones en Administraciones y Empresas en colaboración con otros miembros de la organización». Cabe recordar que Alcasec, uno de los hackers más conocidos en España por su precocidad, pasó por centros de menores precisamente por otros ciberataques.

En la cuenta de iCloud (un sistema de almacenamiento en la 'nube' de Apple), vinculada al ordenador de su socio, la Policía encontró 28.200 imágenes y vídeos, incluida una decena de fichas de personal del consistorio granadino que le habría enviado Alcasec junto a fotos de cuentas bancarias con apuntes y dos pantallazos de un chat de Telegram en el que el hacker, bajo el alias @sabormangoloco, y A.M. coordinaban sus golpes.

En este canal de mensajería habrían compartido entre el 1 y el 26 de agosto de 2021 una lista de los portales del empleado web de más de una decena de organismos y empresas a los que habían tenido acceso y desde los que pretendían desviar las nóminas de los trabajadores a una cuenta controlada por ellos.

En esa lista figura una veintena de sitios. «Se observan las direcciones de internet del 'Portal del Empleado' de otras Administraciones y Empresas sobre las cuales se debieron practicar manipulaciones informáticas dirigidas a vulnerar las credenciales de acceso con el fin de sustraer las nóminas de sus empleados o/y las bases de datos personales».

Detalla el informe que los investigadores están realizando gestiones tanto con el Ayuntamiento de Fuenlabrada, como con la empresa de vigilancia y seguridad Grupo Control, la Comunidad de Madrid y la Agencia Sanitaria de Costa del Sol para que les faciliten «cuantos datos tengan en su poder sobre los cambios de nóminas fraudulentos que hubo entre agosto y septiembre de 2021».

En estos casos, las direcciones de sus respectivos portales de empleados que aparecen en la lista de objetivos figuran transcritas junto a la expresión entre paréntesis «cambio de IBAN». Para la Policía, esto indicaría el cambio de domiciliación de una o varias nóminas de empleados que hasta ahora no estaban bajo el radar.

Porque ese era el modus operandi. Colarse en la red con las credenciales del trabajador, previamente obtenidas de manera ilícita (y a golpe de ingeniería informática) y cambiar la cuenta de domiciliación a la que la institución o empresa de que se tratara debía enviar la nómina.

El fraude no se detectaba hasta que el trabajador se interesaba en el departamento de Recursos Humanos por el retraso en el cobro de su salario. Para entonces, el dinero había volado. De hecho, entre las miles de imágenes analizadas, la Policía encontró fotos de A.M. tomadas en las mismas fechas de los ataques posando con 18.000 euros en fajos de billetes de 50.

La Policía también está recabando datos sobre intrusiones en el resto de organismos que figuraban en la lista, presumiendo que en todos los casos «eran accesos dirigidos, en principio, a ser vulnerados para el desvío de la nomina de sus empleados».

No obstante, se trabaja para comprobar si se perpetró alguna «exfiltración de bases de datos para fines delictivos», un robo de información personal almacenada en esas administraciones y empresas que luego se puede poner a la venta.

Noticia Relacionada

Miguel Ángel de Castro: «Siendo un hacker ético también se puede ganar dinero»

Adriana Cabezas

«Con el ataque de Alcasec al CGPJ hay lecciones aprendidas, todo el sistema público se está reforzando»

La investigación en la Audiencia Nacional por el robo de datos en el sistema del Poder Judicial afloró la existencia de «El Ojo de Horus», una base de datos de terceros creada por Alcasec y que según llegó a decir él mismo en una entrevista, almacenaba información de hasta el 90% de los españoles fruto de ese tipo de incursiones, de las que acostumbraba a alardear.

Destacan un hackeo del sistema de bicicletas de alquiler del Ayuntamiento de Madrid, del servicio de pedidos de Burger King o la plataforma HBO, donde en sólo tres días habría creado más de 140.000 cuentas de usuario fraudulentas para ver la televisión gratis durante dos semanas. Tenía 15 años cuando lo hizo y regaló las claves en internet.

Alcasec salió del centro de menores en octubre del año pasado, el mismo mes en que perpetró el ataque al Consejo General del Poder Judicial. Fue detenido a principios de abril y se encuentra en prisión provisional por orden del magistrado de la Audiencia Nacional José Luis Calama. En su primera declaración explicó, según fuentes jurídicas consultadas por este diario, que le llevaron a reincidir dos razones que consideró de peso. La primera, la rabia por cómo le había tratado el juez de menores de Granada, que le envió a un centro «en mitad de la nada» en Almería. La segunda, «por dinero».

Ha optado por colaborar con la Justicia, lo que confirmó cuando volvió a la Audiencia Nacional hace dos semanas y autorizó el acceso a sus dispositivos, que están siendo ya analizados. El Juzgado Central de Instrucción se ciñe a la investigación del ataque, ya que sólo es competente para perseguir la revelación de secretos -es como se han calificado de momento los hechos- porque afecta a un poder del Estado, pero los datos afloraron en un mercado digital y consta que hubo compradores. La Policía los está buscando.