La investigación se inició tras relacionar una serie de ciberataques con la información obtenida de los análisis realizados de materiales intervenidos en investigaciones anteriores. En concreto se localizó un canal de Telegram donde se mostraban accesos fraudulentos a varias administraciones públicas de relevancia.

Analizado el contenido de dicho canal, los agentes atribuyeron esos ataques a un ciberdelicuente que actuaba bajo el seudónimo ‘Guardicivilx’ utilizando además otras 14 identidades en su actividad en línea. A partir de ese momento, la investigación se centró en obtener la identidad real de las personas que estaban actuando bajo ese seudónimo, así como el número y puntos de ataques realizados.

El perfil ‘Guardicivilx’ se anunciaba como vendedor de credenciales de acceso a servicios remotos y correos electrónicos corporativos, ofreciendo la venta privada de credenciales de acceso sobre un portal de consultas de vehículos de la Dirección General de Tráfico (DGT) e Itvasa, la inspección de vehículos de Asturias.

Paralelamente se detectaron diferentes cuentas de criptodivisas vinculadas al citado perfil en línea, y se corroboró que gran parte de esas cuentas se dirigían o provenían de distintas casas de cambio de criptomonedas, desde las que se habrían realizado los pagos por la venta de varios paquetes de credenciales de acceso obtenidas ilegalmente.

Identificados varios alias atribuidos al supuesto autor, la Guardia Civil inició la colaboración con otras agencias policiales como el FBI, por el alcance trasnacional de las acciones llevadas a cabo por ‘Guardicivilx’, muchas de ellas sobre instituciones de América Latina. La investigación permitió detener a dos individuos, uno en Sevilla y el otro en Asturias, ambos como responsables directos de los hechos investigados.

UN RASTRO DE ATAQUES

Del material intervenido tras las detenciones, tanto informático como documental, los investigadores han logrado las evidencias necesarias para vincularlos a otros ciberataques a entidades tanto públicas como privadas como los cometidos contra los ayuntamientos de León, Salamanca, Vitoria, Bermeo y Basauri entre otros.

También los ejecutados contra la Universidad Autónoma de Madrid, las Diputaciones de Jaén y Málaga, el Servicio Cántabro de Salud, el Ministerio de Cultura de Argentina, o el Ministerio de Salud de Perú.

Ambos detenidos ejecutaban las acciones delictivas de manera coordinada, y sus acciones afectaron a más de 100 organismos y entidades del sector público y privado tanto a nivel nacional como internacional.

La operación ha sido dirigida por el Juzgado de Primera Instancia e Instrucción nº 2 de Grado (Asturias) y llevada a cabo por el Departamento Contra el Cibercrimen de la Unidad Central Operativa de la Guardia Civil.

Para el éxito de la misma ha sido necesaria la colaboración entre la Autoridad Judicial, la Fiscalía de Criminalidad Informática y el Centro Criptológico Nacional (CCN-CNI) con los investigadores, así como con otras agencias internacionales.