Alcasec 'reventó' Hacienda y ahora cobra por proteger empresas: "La cárcel me cambió"

"Chavales, de aquí se sale a una empresa y no a la cárcel, ¿vale?". Con esta frase cerró recientemente José Luis Huertas, conocido como Alcasec, una charla sobre ciberseguridad a alumnos de la Universidad Francisco Vitoria, un centro privado ubicado en Pozuelo de Alarcón (Madrid). A Huertas, 20 años, le persigue su corto pasado como el hacker más temido por la Policía Nacional y la Guardia Civil. Detenido el pasado marzo como autor del robo de datos de más de 500.000 contribuyentes y el hackeo al Punto Neutro Judicial, uno de los mayores ciberataques a organismos del Estado, aguarda el juicio en la Audiencia Nacional por el que la Fiscalía le pide 3 años de prisión. Mientras espera, intenta redimirse creando una empresa de ciberseguridad con la que, asegura, ahora "va a hacer el bien".

"Odio la palabra reinserción, suena como si fuera un drogadicto y no lo soy, pero es un poco parecido. El nombre y el personaje de Alcasec siempre han estado ligados al mal, quiero darle la vuelta a la tortilla, usarlo a partir de ahora para concienciar, para ayudar a la gente", explica José Luis en conversación con El Confidencial. Es la primera ocasión que accede a hablar en detalle con un medio y a posar sin pasamontañas para las fotografías.

Estamos en el local en el que Alcasec se encierra horas y horas cada día, un bajo de alquiler en el barrio madrileño de Ventas. "En una semana me largo a otro, estaba pagando 1.100 al mes y el listo del dueño me lo quería subir a 2.000 pavos". Alca, como le llaman sus amigos, deja siempre la persiana a medio subir. "Cuando salgo, una vecina aprovecha para estirar el cuello y cotillear a ver qué hacemos", se ríe.

TE PUEDE INTERESAR

Alcasec, el hacker más buscado: infiltrado en la Policía y confidente del pequeño Nicolás

Manuel Ángel Méndez Ilustración: Laura Martín

Dentro, es como si acabaran de recoger de una fiesta la noche anterior: media docena de cachimbas, un futbolín, bolsas de Takis vacías, unos testículos de goma colgando de la pared, relojes tirados por el suelo ("¡anda! Na, es falso, se lo dejó un colega"), un televisor gigantesco y, justo en frente, presidiendo la sala, una mesa con cuatro pantallas y silla de gamer desde donde Alcasec se coló en múltiples compañías y administraciones del Estado.

Su historial ciberdelictivo abruma. Lo que empezó como unas chiquilladas cuando era menor, reventando los sistemas de HBO España, Burger King, la Comunidad de Madrid o Mediaset, acabó en algunos de los mayores hackeos en nuestro país, como el robo de los datos de configuración de 1,6 millones de routers de Telefónica, desvelado por este diario, el acceso a bases de datos policiales, la creación de enormes archivos con información privada de ciudadanos o, el más grave, el acceso a los sistemas de la Agencia Tributaria para vender los datos de contribuyentes por 1,8 millones de euros. Son hechos investigados, probados y, en buena parte, reconocidos por Alcasec en sede judicial.

"Todo eso lo quiero dejar atrás, no es una pose. Estar en Meco [la prisión madrileña de Alcalá Meco], me cambió la mentalidad, fue bastante duro. Los chavales allí se portan bien, pero hay de todo, unos están por asesinato, otros por estafa...". Pasó dos meses en prisión preventiva tras su última detención hace un año, justo a las puertas del local en el que estamos. "Llegué y estaba esto lleno de policías. Eran las siete de la tarde, los vecinos mirando... un show".

El magistrado de la Audiencia Nacional, José Luis Calama, le imputa un delito continuado de revelación de secretos y acceso ilegal a sistemas informáticos por su hackeo al Punto Neutro Judicial y la Agencia Tributaria. La Fiscalía ha remitido hace unos días el escrito de acusación, al que ha tenido acceso parcialmente este diario. Le piden 3 años de cárcel. El juicio, aun sin fecha, debería arrancar antes del verano.

"Venderle paraguas a los peces"

"Todo el mundo va a pensar que ahora monto esto solo de cara al juicio, como una estrategia para demostrar que he cambiado. No es solo por eso, lo hago por mi futuro. Si no fuera en serio con esto y me pusiera a vender datos otra vez, quedaría mal lo primero con mis socios, pero también con mi familia y mi pareja. Apenas los veo, llevamos semanas sin parar, de reunión tras reunión, para montar este proyecto", explica Huertas.

"Estar en Meco, me cambió, fue bastante duro. Los chavales allí se portan bien, pero hay de todo, unos están por asesinato, otros por estafa..."

Su pasaporte para el futuro se llama Havenio, una startup de ciberseguridad que está a punto de firmar, asegura, sus cinco primeros contratos. "Le pusimos ese nombre por haven, un sitio seguro, un refugio". Alcasec no revela todavía los nombres de los clientes, pero sí el de algunos de sus socios. Adrián Abad, a quien Huertas conoció en el mundo de la noche, llevará todo el frente comercial. "Es capaz de venderle paraguas a los peces", bromea. Han arrancado con 100.000 euros de financiación, aportados por la compañía Invertec, propiedad de un familiar de Adrián. ¿Qué puede aportar Havenio que no ofrezcan otras firmas de ciberseguridad?

La respuesta es sencilla: Alcasec.

TE PUEDE INTERESAR

El robo desconocido de Alcasec: nuevas pistas le involucran en el mayor hackeo a Telefónica

Manuel Ángel Méndez

"Por mi pasado, sé muy bien dónde se compran y se venden los datos robados. Hay un enorme portal que conecta a los vendedores de esta información. Conozco personalmente a quien los lleva. Nosotros sabemos cómo buscar si los datos están a la venta, los podemos adquirir, retirarlos, alertar al cliente y solucionar sus vulnerabilidades técnicas. Eso es una vez se ha producido una filtración. Antes, igual, ofrecemos servicios de auditoría para evitar que ocurra", explica.

Huertas sabe la pregunta que viene, hace un silencio, mira la punta de sus deportivas Louis Vuitton, y se adelanta. "Es muy importante dejar claro que toda la información y servicios de inteligencia que producimos no se obtienen de ninguna de las bases de datos a las que yo haya podido tener acceso en el pasado. Sería un problema gordo y, obviamente, no me interesa. Todos los contratos que firmemos especificarán esto de forma muy clara", asegura.

Hay otra pregunta insalvable: ¿quién se va a fiar de poner sus datos en manos de un veinteañero al que muchos especialistas del sector califican de genio, pero que tiene pendiente un juicio en la Audiencia Nacional con penas de cárcel en juego por, precisamente, robar y vender datos de decenas de firmas y cientos de miles de ciudadanos?

Una cuestión de confianza

"Está claro que no va a ser fácil, pero lo que nos estamos encontrando es más interés que desconfianza. En el frente legal nos está asesorando Paco Martínez [ex nº 2 de Interior imputado en la 'trama kitchen' junto al exministro Jorge Fernández Díaz. Martínez defendió a Huertas tras sus detenciones cuando era menor]. Su despacho, Next Abogados, es el que nos ayudará con la redacción de los contratos para que los clientes estén tranquilos. Las empresas nos autorizarán a revisar una parte de sus sistemas y nosotros nos centraremos solo ahí. Los datos que extraigamos siempre estarán en poder del cliente, todo irá firmado con contratos de confidencialidad".

"Si su caso se resuelve de forma favorable, hay contratos de confidencialidad firmados y el resto de cláusulas están en orden, yo lo contrataría"

Diversos especialistas en ciberseguridad consultados coinciden en una cosa: Alcasec es una de las mentes más brillantes en el mundo de la ciberseguridad. "Desde luego, técnicamente es muy bueno, tiene algo que muchos de los que venden servicios de este tipo no tienen, y es experiencia real", señala a este diario Javier Rodríguez, exmiembro del Grupo de Delitos Telemáticos de la Unidad Central Operativa (UCO) de la Guardia Civil. "Nadie se cuela en todos estos sistemas como ha hecho él si no es bueno, eso es indiscutible", dice Andrés Tarascó, fundador y CEO de la firma de ciberseguridad Tarlogic. Pero, ¿contratarían los servicios de ciberseguridad de Alcasec? ¿Aconsejarían a otros que lo hicieran?

"No. Nunca. Jamás", dice tajante Tarascó. "No me transmite ninguna seguridad ni tranquilidad, y menos manejando información sensible. Por un lado, hay un tema regulatorio. En muchos sectores no puedes trabajar con personas con antecedentes penales. Por otro, este negocio se basa en la confianza. Cualquier empresa de ciberseguridad seria huye de posibles relaciones con actividades ilegales, aunque solo haya sospechas", explica.

Rodríguez no lo ve tan claro. "Es algo muy común que antiguos ciberdelincuentes acaben reconvertidos en empresarios. Hay muchos ejemplos, Kevin Mitnick era quizás el más conocido. Es verdad que el caso de Alcasec es diferente, hay un procedimiento judicial pendiente, pero si eso se resuelve más o menos de forma favorable, hay contratos de confidencialidad firmados y el resto de cláusulas están en orden, yo lo contrataría. Me empezaría a preocupar si veo que las prácticas de la compañía son dudosas".

"Menudo cabrón, miente más que habla. Fran tendrá que explicar qué hizo con las bases de datos que me pidió"

Huertas reconoce que vive una situación de incertidumbre respecto al juicio pendiente con la Audiencia Nacional. Su obsesión es intentar que la pena de prisión no le impida sacar adelante el nuevo proyecto. En su escrito de acusación, la Fiscalía no ha pedido el mayor castigo, que podía haber llegado a los 10 años de prisión. Se ha quedado en tres, después la negociación entre las partes y la labor del abogado de Huertas, Javier Iglesias (defendió, entre otros, al dictador Augusto Pinochet, al exdirector del CESID, el antiguo CNI, Javier Calderón, o al PP en las tramas de la 'Caja B' y la 'Kitchen'].

La gran duda ahora es si Alcasec e Iglesias aceptarán o no la petición de 3 años de la Fiscalía en un posible acuerdo de conformidad. Fuentes judiciales consultadas señalan que "hay posibilidad de que se muestren conformes con la pena", sobre todo si se abre la puerta a cumplir parte de la misma sin pisar una celda, bien acudiendo solo a dormir o yendo a un Centro de Inserción Social (CIS) en lugar de a una prisión.

"Ahora no puedo hablar de eso. Veremos. Soy optimista, espero que salga bien. Confío en que no voy a tener que entrar o que, si entro, será lo mínimo, pero hay que esperar", dice Huertas. Se queda mudo unos segundos, pero salta al instante. "¿Has visto el documental de Netflix del Pequeño Nicolás?". Le confieso que lo tengo pendiente. "Habla de mí, solo he visto esa parte. Espera". Coge el mando y pone (P)ícaro, la miniserie sobre la vida y andanzas de Francisco Nicolás Gómez.

Ambos se hicieron muy amigos, llegaron incluso a irse juntos de vacaciones a Marbella y Sotogrande, como reveló este diario. "Siempre le decía que creara una empresa de ciberseguridad, que ahí estaba el dinero, y no en lo otro. Estuve llevando a su madre en coche casi todos los sábados a visitarle al centro de menores. Llegué a poner dinero de mi bolsillo para ayudarle a salir de allí. Pero al final la cosa acabó mal. No hizo caso y siguió en contacto con ciberdelincuentes", explicó Francisco Nicolás a este diario en 2022.

"¿Tú tienes carnet de conducir?", le preguntan los guionistas de Netflix al Pequeño Nicolás. "Hostia. A ver. Yo me enteré de que tengo carnet de conducir hace un mes o así. Una persona, sin mi autorización y mi conocimiento, hackeó la DGT. Yo imagino que sé quién es, pero no lo puedo decir al 100%. Pondría la mano en el fuego a que es uno que se llama Alcasec". Huertas para el vídeo, se recuesta en el sofá y niega incrédulo con la cabeza mientras se ríe. "Menudo cabrón, miente más que habla. Lo de la DGT está por ver, es una causa aparte. Pero Fran tendrá que explicar algún día qué hizo con la base de datos que le pasé", desliza mientras apaga el televisor. Netflix ya tiene otro filón.