El hacker español José Luis Huertas, conocido en el entorno digital como "Alcasec", aceptó este miércoles una condena de dos años y siete meses de prisión durante un juicio celebrado en la Audiencia Nacional. El procesado, de 22 años de edad, reconoció ser el autor material de la intrusión informática perpetrada en octubre de 2022 contra el Punto Neutro Judicial (PNJ) del Consejo General del Poder Judicial (CGPJ), una maniobra que le permitió apoderarse de los datos bancarios privados de más de medio millón de ciudadanos.
El acuerdo de conformidad alcanzado con el Ministerio Público supuso una reducción de la petición inicial de tres años de cárcel, tras aplicársele la circunstancia atenuante de confesión en los delitos de acceso ilegal a sistemas informáticos y descubrimiento y revelación de secretos.
La resolución judicial también vinculó a los otros dos implicados en la red de ciberdelincuencia, quienes se sumaron al pacto con la Fiscalía tras admitir su participación en los hechos. Daniel B.E. asumió una pena de dos años y dos meses de prisión en calidad de cooperador necesario, mientras que Juan Carlos O.G. aceptó una condena de un año y tres meses de cárcel por el delito de descubrimiento de secretos, viendo ambos reducidas las peticiones fiscales originales que ascendían a más de tres y cuatro años respectivamente.
Asimismo, la conformidad ratificó el comiso definitivo de todos los efectos, soportes informáticos y fondos en dinero físico y virtual que habían sido intervenidos por las fuerzas de seguridad durante los registros en Madrid, Murcia y Sevilla.
La Fiscalía General del Estado explicó ante el tribunal que la rebaja en las solicitudes de pena estuvo fundamentada en la colaboración directa que prestaron los acusados a lo largo de la instrucción del caso, al haber facilitado de manera voluntaria sus claves y contraseñas de encriptación para agilizar la investigación tecnológica.
A pesar de la resolución de este proceso, "Alcasec" continuará en situación de prisión provisional, medida cautelar en la que se encuentra desde hace un año por una causa judicial independiente. En dicho expediente separado, las autoridades lo señalan como el presunto cabecilla de una red de ciberataques a gran escala que logró vulnerar bases de datos sensibles de millones de ciudadanos españoles.
El historial delictivo del informático detalla que su arresto definitivo en mayo del año pasado se produjo cuando disfrutaba de libertad provisional, tras haber cumplido un mes y medio de internamiento preventivo a raíz de su detención inicial en marzo de 2023 por el propio ataque al CGPJ.
De acuerdo con el relato de hechos probado de la Fiscalía, la operación criminal comenzó a fraguarse en octubre de 2021, cuando Huertas contrató servicios de almacenamiento masivo en Lituania utilizando identidades falsas para ocultar su rastro. Posteriormente, obtuvo de Daniel B.E. (quien frecuentaba foros rusos de venta de credenciales de seguridad) un certificado digital robado perteneciente a la Dirección General de Tráfico (DGT).
Mediante este certificado, "Alcasec" logró navegar por la red interna SARA de las administraciones públicas, acceder al Punto Neutro Judicial y replicar la interfaz de la plataforma para realizar una campaña de falsificación de identidad (phishing) que engañó a dos funcionarios judiciales, obteniendo así las claves definitivas de acceso.
Una vez dentro del sistema, el hacker realizó un total de 438.099 peticiones de consulta a las bases de datos de cuentas bancarias ampliadas de la Agencia Tributaria. Para dar salida comercial a la información recolectada, que incluía expedientes de personalidades públicas, Huertas dispuso del portal web restringido "uSms", donde cargó un total de 574.908 registros financieros para su venta mediante pasarelas de pago operadas con criptomonedas.
El principal cliente de esta red fue el tercer condenado, Juan Carlos O., quien invirtió 109.876 euros en la compra de datos con fines de lucro personal y a quien las autoridades le intervinieron diversas armas de fuego en su residencia de Dos Hermanas, Sevilla.
(Con información de El Mundo y 20 Minutos)
