El hacker ‘Alcasec’ se enfrenta a 3 años de cárcel por robar datos

La Fiscalía de la Audiencia Nacional pide tres años de cárcel para José Luis Huertas, el hacker conocido como Alcasec, por el ataque a la web del Punto Neutro Judicial del Consejo General del Poder Judicial (CGPJ), del que extrajo los datos bancarios de más de medio millón de contribuyentes. En su escrito de acusación, al que ha tenido acceso Efe, la fiscal le aplica la atenuante muy cualificada de confesión tardía por lo que solicita para él una pena menor por sendos delitos continuados de acceso ilegal a sistemas informáticos y de descubrimiento y revelación de secretos. Gracias a su colaboración con la Justicia, se le han podido decomisar 863.000 euros de las ganancias que obtuvo de la venta de datos robados.

No sucede lo mismo con los otros dos acusados, el también hacker Daniel Baíllo y Juan Carlos O. Para el primero reclama 4 años y 4 meses de prisión por un delito continuado de acceso ilegal a sistemas informáticos y otro de descubrimiento de secretos, y le considera además cooperador necesario en la revelación de secretos de la que acusa a Alcasec.

Los hechos

Según la fiscal, el 19 de octubre de 2021, Alcasec contrató con la mercantil Cherry Servers, con sede en Lituania, dos sistemas de almacenamiento masivo de datos con una cuenta de gmail que había creado cuando era menor de edad a fin de ocultar su verdadera identidad.

“Actuando con ánimo de ilícito enriquecimiento”, obtuvo de Baíllo, que era usuario de foros rusos especializados en la venta no autorizada de contraseñas de acceso a sistemas de información restringidos, un certificado digital robado, emitido por la Fábrica Nacional de Moneda y Timbre (FNMT) para la Dirección General de Tráfico (DGT). Dicho certificado permitía conectarse de forma remota a los sistemas de la DGT y daba acceso a la red policial.

Con dichas credenciales realizó 876 conexiones desde el 8 de julio de 2022 al portal de Policía Nacional (PN) w6.policia.es, hechos estos, la difusión y venta de los datos policiales extraídos.

Una vez conectado a la intranet de la Dirección General de Policía, Alcasec consiguió otras credenciales de un funcionario de la Policía Nacional y logró navegar a través de la red SARA (Sistema de Aplicaciones y Redes para las Administraciones). Desde ese acceso se hizo con las credenciales de un usuario de un Juzgado de Bilbao, que utilizó para comprobar el funcionamiento del PNJ.

Al ser detectados, el CGPJ bloqueó a los dos usuarios cuyas credenciales habían sido usurpadas, puso los hechos en conocimiento de la Audiencia Nacional y se bloqueó la página simulada.