La Unidad Central Operativa (UCO) de la Guardia Civil ha desenmascarado a los dos jóvenes veinteañeros detrás de ‘Guardia Civil X’, detenidos en Sevilla y Asturias, a quienes se atribuye un centenar de ciberataques desde octubre de 2022 contra las ITVs, los ayuntamientos de León y Salamanca, diputaciones de Jaén y Málaga, el Servicio de Salud cántabro o incluso contra ministerios de Perú y Argentina.
La investigación se inició tras relacionar una serie de ciberataques con la información obtenida de los análisis realizados en determinados materiales intervenidos en investigaciones anteriores, localizando un canal de Telegram donde se mostraban accesos fraudulentos a varias administraciones públicas de relevancia, según ha informado la Guardia Civil en una nota de prensa.
Autodidactas con conocimientos complementarios
Fuentes de la investigación consultadas por Europa Press han detallado que los dos veinteañeros detenidos, nacidos en 2001 y 2002, utilizaron diferentes seudónimos, entre ellos ‘Guardia Civil X’, confesando a posteriori que se trataba de una suerte de homenaje al Instituto Armado.
Los especialistas de la Guardia Civil hablan de ellos dos como un «actor» de ámbito nacional, puesto que los ciberataques los articulaban de forma muy sofisticada desde España, aprovechando sus conocimientos complementarios en este tipo de delitos. Eran autodidactas, aunque uno de estudiaba un módulo de Formación Profesional con la intención de conseguir un certificado oficial.
Los agentes de la UCO han necesitado un año para analizar la ingente información que confirma que estos dos jóvenes de Sevilla y Asturias, sin antecedentes policiales, estaban detrás de los ataques firmados con el seudónimo ‘Guardia Civil X’, así como otras 14 identidades como ‘9bands’, ‘banz9’, ‘TheLich’, ‘Crystal_MSF’, ‘OUJA’, ‘unlawz’ o ‘teamfs0ciety’.
Las citadas fuentes han explicado que en diferentes chats y comunidades online se vanagloriaban de ser muy eficaces en el robo de información sensible, que luego vendían por el interés de poder acceder a bases de datos con credenciales de consultas de vehículos de la Dirección General de Tráfico (DGT) e ITVASA, entre otros organismos públicos y también privados.
Solicitaron un pago de 13.000 dólares
Para ello, se llegó a solicitar inicialmente un pago de 13.000 dólares, aunque fueron detenidos el pasado otoño en el momento de proceder a la citada venta. Además, se ha podido comprobar que trataron de vender una base de datos con información de más de 200.000 personas.
Paralelamente se pudieron analizar diferentes cuentas de criptodivisas vinculadas a este «actor nacional», corroborando que gran parte de ellas se dirigían o provenían de distintos exchangers (casa de cambio de criptomonedas), desde donde se habrían materializado los pagos de la venta de varios paquetes con estas credenciales de acceso obtenidas ilegalmente.
Del material intervenido en estas detenciones, tanto informático como documental, los investigadores han logrado las evidencias necesarias para vincular otros ciberataques a entidades tanto públicas como privadas, como es el caso de ITVASA, Ayuntamientos de León, Salamanca, Vitoria, Bermeo y Basauri entre otros, así como a la Universidad Autónoma de Madrid, Diputaciones de Jaén y Málaga, Servicio Cántabro de Salud.
También del Banco Atlántida, Ministerio de Cultura de Argentina, Ministerio de Salud de Perú, Poder Judicial del Estado de Txascala en México, entre muchas otras, destacando también su interés por el robo de información de redes de farmacias. La Guardia Civil contó con la ayuda de otras agencias policiales como el FBI.
La Guardia Civil ha puesto en valor la colaboración entre la Autoridad Judicial, la Fiscalía de Criminalidad Informática y el Centro Criptológico Nacional (CCN-CNI) con los investigadores, así como con otras agencias internacionales, permitiendo todo ello dar una respuesta adecuada al incremento de los delitos en el ámbito del ciber espacio.
Esta operación ‘Oceansx’ ha sido dirigida por el Juzgado de Primera Instancia e Instrucción número 2 de Grado (Asturias) y llevada a cabo por el Departamento Contra el Cibercrimen de la Unidad Central Operativa (UCO) de la Guardia Civil.
