La UNED no fue la única institución que confió en el talento supuestamente rehabilitado del hacker conocido como Alcasec. También lo hizo el Ayuntamiento de Madrid. Incluso fue más lejos. La universidad firmó un convenio de colaboración que no llegó a activarse. Pero la Oficina de Protección de Datos municipal adjudicó a Havenio Technology SL, la empresa de la que José Luis Huertas Rubio –el verdadero nombre del pirata informático– es administrador, un contrato para que auditara algunas de sus aplicaciones móviles. 

Se trataba de un contrato menor, de sólo 9.196 euros, por unos trabajos que se ejecutaron durante casi tres meses, entre el 27 de septiembre y el 20 de diciembre del año pasado. Según ha informado el Ayuntamiento de Madrid a Público, los técnicos del organismo Informática de Madrid (IAM) han comprobado que, tras el paso del hacker, no se ha producido “ninguna brecha de seguridad”.

Público ha preguntado también al Ayuntamiento si el ex secretario de Estado de Interior Francisco Martínez Vázquez, detenido y en prisión provisional por su “rol central” en la organización criminal de Alcasec, mantuvo algún tipo de conversación o negociación con el consistorio, tal y como han establecido los investigadores. La titular del Juzgado Central de Instrucción número 3 de la Audiencia Nacional, María Tardón, sostiene que el ex número dos del ministro Jorge Fernández Díaz “medió” para que el hacker firmara el convenio de colaboración con la UNED en julio de 2024, además de otros “contratos privados” y éste con el Ayuntamiento madrileño. De hecho, los investigadores lo consideran una “pieza clave en el blindaje jurídico, institucional y funcional” de la organización. En concreto, le atribuyen diversas “iniciativas orientadas a insertar a José Luis Huertas en entornos académicos y profesionales legítimos”, a través de “acuerdos con instituciones educativas, participación en programas de formación y actividades relacionadas con la ciberseguridad”. Según sostienen, estas actividades estaban destinadas a “conferir una apariencia de legalidad” en torno a Alcasec.

El Ayuntamiento no ha contestado si Francisco Martínez intervino en algún momento del proceso de licitación. Tampoco si conocía los antecedentes de la persona que estaba detrás de Havenio Technology SL. El año pasado, José Luis Huertas Rubio había sido detenido dos veces, en mayo y en junio, cada una por un ataque informático distinto. Sí que explica el consistorio que el concurso informático fue una convocatoria “por libre concurrencia” a la que “se invitó” a cinco empresas. Es decir, se trató de un procedimiento negociado, probablemente sin publicidad, porque no aparece en la plataforma de contratación municipal. De los cinco invitados se presentaron finalmente tres y ganó la empresa de Alcasec, que presentó la oferta más económica, asegura el consistorio madrileño.

Empresas pantalla

A tenor de la investigación, abierta en febrero del año pasado a raíz de un ataque a los servicios informáticos de la CNMC, Francisco Martínez no sólo era el abogado de Alcasec y le había ayudado a crear dos empresas, sino que además cumplió un papel fundamental en “el diseño de estructuras societarias” que funcionaban como “fachadas legales” de la actividad ilegal del hacker. Las empresas son la citada Havenio Technology SL y Horus Corp SL, cuyo socio y administrador único es Adrián Molina Urbano, también detenido. La jueza mantiene que ambas sociedades se utilizaron para “canalizar ingresos ilícitos, emitir facturación simulada y aparentar una actividad económica lícita”. Desde Horus Corp, situada en el barrio de Salamanca de Madrid, además, se administró de manera remota el servidor suizo que constituía el núcleo de la infraestructura digital montada por Alcasec. En ese servidor, contratado con criptomonedas, almacenaba el hacker un enorme volumen de datos robados “durante años” tanto a la CNMC como a la Dirección General de Tráfico, el Registro Civil, Puertos del Estado, empresas energéticas y logísticas, y registros mercantiles. Con ellos, añaden los investigadores, la red elaboró “perfiles detallados de personas e instituciones” que luego explotaban y comercializaban de forma “masiva”.

Según la jueza, el ex número dos de Interior también accedió a esos perfiles –a través de un bot de Telegram que le facilitó Alcasec– para “satisfacer sus propias necesidades de información”. Hizo un total de 21 consultas. Finalmente, María Tardón atribuye a Francisco Martínez “actuaciones de obstrucción procesal”, porque asesoró a la madre del hacker para que destruyera pruebas.

“Generalidades y un relato pomposo y artificial”

El ex secretario de Estado ha presentado un recurso contra el auto de la jueza que decretó su ingreso en prisión provisional para evitar que destruyera pruebas, donde reduce su trabajo para Alcasec a la constitución de Havenio Technology SL y Horus Corpus SL. También admite que gestionó la contabilidad de esta última sólo “durante unos meses”. Ambas actividades, en cualquier caso, son meros “actos neutros” propios de un despacho de abogados, alega.

Además, el abogado de Francisco Martínez explica que, en su declaración ante la jueza, el ex número dos de Interior dio “todo lujo de detalles sobre los intentos, reales y/o aparentes de reinsertar en la sociedad” al pirata informático, “reconduciéndole desde el cibercrimen hasta la ciberseguridad”. Con “poco éxito”, a la vista de los resultados. También niega que exista “un solo acto de gestión, administración, dirección o apoderamiento” en Horus Corp y Havenio Technology, o en otras empresas, realizado por Francisco Martínez. Por lo que el abogado rechaza el “blindaje legal y patrimonial” que la jueza aduce para acusarle de los delitos de intrusismo informático, descubrimiento de secretos, organización criminal y blanqueo de capitales. “Ni en el auto recurrido ni en el traslado de los elementos esenciales previo a la vista […] se menciona nada, absolutamente nada, sobre ese ‘rol central en la consolidación de la organización criminal’. Todo son generalidades y un relato tan pomposo como artificial”, critica.

Sin embargo, todas las gestiones que Havenio Technology SL necesitó durante meses para que la UNED aprobara el convenio de colaboración, pensado para “desarrollar acciones de investigación, divulgación y formación” en ciberseguridad, las llevó a cabo personalmente Francisco Martínez. Siempre por correo electrónico, según explicó a Público el profesor que coordinaba el acuerdo.

En el recurso al auto de prisión provisional, el abogado del ex secretario de Estado también niega que éste posea el “alto grado de sofisticación tecnológica” necesario para integrar una red criminal como la de Alcasec, pese a que en el despacho donde prestaba sus servicios se presentaba como experto en ciberseguridad y nuevas tecnologías.