La Generación Z está hackeando España, literalmente: así son los hackers y estafadores adolescentes que atacan con éxito a la DGT o al CGPJ

Durante años, la imagen del hacker ha estado dominada por el estereotipo del genio antisocial encerrado en un sótano oscuro, pulsando teclas con destreza sobre una pantalla llena de líneas verdes. Pero en España, la nueva ola de ciberdelincuentes apenas supera la mayoría de edad, y —por seguir rompiendo estereotipos— el campo de operaciones de estos adolescentes no son solo videojuegos o foros, sino las entrañas digitales de organismos clave del Estado.

Así, la Dirección General de Tráfico, el Consejo General del Poder Judicial, la Agencia Tributaria, la Seguridad Social o incluso cuerpos policiales han sido víctimas de ataques protagonizados por jóvenes —algunos incluso menores de edad— que han demostrado una habilidad sorprendente y una osadía alarmante.

El joven hacker español por excelencia: Alcasec

El nombre de José Luis Huertas, alias Alcasec, ha pasado en pocos años de circular sólo por foros 'underground' a ser pronunciado por los fiscales de la Audiencia Nacional. A los 19 años, Huertas logró lo impensable: accedió al Punto Neutro Judicial del CGPJ, puerta de enlace a múltiples sistemas de la Administración Pública, incluida la Agencia Tributaria, desde donde sustrajo datos bancarios de más de medio millón de españoles.

Imagen vía Club 113 (YouTube)

¿Su objetivo? Comercializar datos robados en plataformas oscuras de compraventa de información, algunas alojadas en servidores rusos y lituanos. Su plataforma de distribución, llamada Usms, llegó a registrar más de 95.000 transacciones y generar casi dos millones de euros en ingresos, cobrados en criptomonedas.

Antecedentes

Desde los 15 años, Alcasec había demostrado una notable destreza en el hacking: su primera incursión notable fue en el sistema de alquiler de bicicletas del Ayuntamiento de Madrid (Bicimad), permitiendo el uso gratuito de bicicletas. Estas acciones le valieron una reputación de "Robin Hood" digital... pero tras eso su trayectoria pronto tomó un camino más oscuro, implicándose en estafas de 'smishing' (uso de SMS maliciosos para robar datos bancarios).

Entre 2021 y 2022, Alcasec protagonizó accesos ilegales a sistemas de bases de datos de instituciones españolas como el Ministerio de Educación, ayuntamientos, y entidades privadas como Telepizza o Glovo. En estos casos, se descargaron datos sensibles de millones de ciudadanos, incluyendo correos electrónicos, contraseñas y datos de contacto.

En Genbeta

Acusan a Alcasec de vender los datos de miles de policías a varias bandas de delincuentes: apuntan a que los usaban para extorsionar

Nueva faceta

En la actualidad, 'Alcasec' se enfrenta a 3 años de prisión por los delitos relacionados con sus actividades de hacking... pero mientras espera a que la Justicia decida, ahora busca redimirse con un proyecto empresarial propio: una startup de ciberseguridad llamada Havenio.

Con ella pretende ofrecer servicios de ciberinteligencia, respuesta ante filtraciones y auditoría preventiva de sistemas. Alcasec justifica su valor diferencial con una frase clara:

"Por mi pasado, sé muy bien dónde se compran y se venden los datos robados".

Para evitar conflictos legales y éticos, todos sus contratos incluirán cláusulas que prohíben el uso de datos obtenidos en su etapa como hacker.

Alcasec asegura que su etapa delictiva quedó atrás, que su paso por prisión preventiva en Alcalá Meco le cambió profundamente y que su motivación ahora es "hacer el bien".

El 'otro Alcasec': un veinteañero murciano que hackeó la DGT durante cuatro años

Otro caso que sorprendió (más por su duración, incluso, que por su impacto) fue el de un joven murciano de 23 años, detenido en febrero de 2024, que durante cuatro años accedió sin levantar sospechas a la base de datos de la Dirección General de Tráfico (DGT), extrayendo más de 40 millones de matrículas y datos personales de conductores.

En Xataka

Un joven de 19 años hackeó el iPhone, fue contratado por Apple y terminó despedido por no contestar a un correo

Su técnica era tan ingeniosa como inquietante: usó el certificado digital del DNI de su madre para crear un script automatizado que accedía de forma gradual y silenciosa a los registros: sólo cuando cometió el error de descargar de golpe 80.000 registros fue detectado.

Su objetivo era crear una alternativa económica al servicio oficial de la DGT para consultar datos de vehículos, y ofrecerlo en webs propias o a terceros interesados: aseguradoras, plataformas de compraventa de coches o directamente foros de hackers. En su arresto participó al Centro Criptológico Nacional, normalmente centrado en amenazas de terrorismo, lo que da una idea de la magnitud del daño potencial.

Hackeando a la policía: un menor pone en jaque a los 'Mossos'

Si aún dudabas sobre el hecho de que la edad ya no es un factor limitante en el mundo del cibercrimen, otro ejemplo: en marzo de 2024, un menor fue detenido por vulnerar un buzón corporativo de los 'Mossos d'Esquadra', tras acceder a información privada de más de medio millar de agentes y publicar datos personales de al menos 60 de ellos en canales de Telegram.

La revelación de estos datos no solo supuso una amenaza directa a la seguridad de los agentes, sino también una llamada de atención sobre el nivel de seguridad de los sistemas públicos.

Ciberestafas al por mayor desde un piso familiar

No todos los ciberataques están dirigidos a organismos públicos, claro. Hace unos días salía a la luz cómo un estudiante de informática de 19 años y un compañero suyo, estudiante de criminología (¡y aspirante a policía!), habían montado desde Tarrasa una de las mayores redes de estafas telefónicas del país. Desde la casa de sus padres orquestaron un entramado que incluía suplantación de identidad, phishing, cuentas falsas y blanqueo de capitales.

Utilizaban SMS y correos electrónicos fraudulentos que simulaban estar enviados desde bancos como BBVA o Abanca, y hasta falsas multas de la DGT. Con eso, recolectaban información bancaria de las víctimas para luego canalizar el dinero mediante cuentas abiertas con DNIs ajenos y mulas —jóvenes marginales que retiraban efectivo a cambio de una comisión—. Se estima que blanquearon más de un millón de euros, buena parte a través de bancos digitales y criptomonedas.

En Genbeta

Un hacker adolescente italiano desvió de su ruta a varios petroleros que navegaban por el Mediterráneo. Lo hizo sólo por diversión

¿Qué hay detrás de esta nueva ola de ciberdelincuencia juvenil?

Más allá del morbo que despiertan estos casos, hay elementos estructurales que explican su proliferación:

• Hiperconectividad temprana: Estos jóvenes han crecido en un entorno digital desde la infancia. Para muchos, manipular sistemas informáticos es algo casi 'natural'.
• Accesibilidad tecnológica: Los recursos para hackear, desde tutoriales hasta herramientas de penetración, están más disponibles que nunca. El talento autodidacta encuentra aquí su caldo de cultivo.
• Falta de percepción del riesgo: El anonimato percibido y la rapidez con la que pueden moverse entre servidores, VPNs y criptodivisas genera una (falsa) sensación de impunidad.
• Fallos sistémicos en la Administración española: La deficiente interconexión de organismos y la escasa seguridad en credenciales digitales de los funcionarios remotos hacen que una pequeña brecha sea una puerta de entrada a las interioridades del Estado.

Estos casos no solo suponen una amenaza a la ciberseguridad pública. También plantean un desafío educativo y judicial. ¿Qué hacer con jóvenes con habilidades avanzadas que optan por la ilegalidad? ¿Cómo prevenir que el talento termine en foros de compraventa de datos en vez de en empresas de ciberseguridad? Curiosamente, algunos de los implicados —como el propio Alcasec— buscan ahora redimirse fundando empresas de ciberseguridad.

Imagen | Marcos Merino mediante IA

En Genbeta | Dos adolescentes robaron 24 millones en criptomonedas. Su víctima los rastreó y tuvieron que devolver todo 

-
La noticia La Generación Z está hackeando España, literalmente: así son los hackers y estafadores adolescentes que atacan con éxito a la DGT o al CGPJ fue publicada originalmente en Genbeta por Marcos Merino .