Según el informe policial, con aquella identidad no sólo abrieron la cuenta que recibió la nómina del policía de Fuenlabrada. También pidieron y consiguieron dos créditos de Cetelem y otro de Money Go por importe de 26.000 euros cada uno. Esa persona existía y no sabía nada del tema. Había presentado dos denuncias por usurpación de identidad: estaba endeudado sin haber dado su consentimiento.

En la cuenta de Evo la Policía detectó otros ingresos de nóminas ajenas. Allí entró el sueldo mensual de un funcionario del Summa que ascendía a 1.875 euros, y los 1.445 del empleado de una empresa de seguridad. Ahora los esfuerzos se centran en averiguar hasta qué punto fueron las infiltraciones porque, tal y como reveló este diario, intercambiaron unos pantallazos con un listado de portales de empleado de una veintena de administraciones públicas y empresas. Se sospecha que todos fueron objeto de «manipulaciones informáticas» y se analiza con qué resultado.

La investigación arrancó en un juzgado de Granada por el desvío de las nóminas de cuatro funcionarios del ayuntamiento de esa ciudad, así como el sueldo de un trabajador de la Consejería de Sanidad de Madrid. A Alcasec y otra decena de jóvenes se les atribuye el desvío de al menos 53.000 euros en salarios ajenos, aunque la Policía ya se ha topado con más víctimas y así, con un importe defraudado que va en aumento.

Cuando se tuvo conocimiento de los ataques, se comunicó la participación de Alcasec en los hechos a la Fiscalía de menores, ya que en las fechas en las que se perpetraron todavía tenía 17 años de edad. Tiene historial, en este sentido. Ha pasado por dos centros de menores, aunque el último ingreso lo fue porque le salpicó otro asunto y el juez, considerando que era una reincidencia, ordenó el reingreso. 

Un tribunal le acabó dando la razón y, al poco de salir en libertad, se coló en el sistema informático del Consejo General del Poder Judicial, sustrajo un millón y medio de datos de más de 500.000 contribuyentes y los puso a la venta, como él mismo reconoció el mes pasado, tras ser detenido, en la Audiencia Nacional. Por el camino, fue citado para responder por el caso nóminas, en el que está imputado.

En cuanto a su supuesto socio, A.M., es un melillense al que constan nueve detenciones. En su historial hay referencias por estafa y usurpación de identidad. Era ya adulto cuando se produjo el desvío de nóminas que ahora se investiga, de acuerdo al informe, y la Policía le sitúa en una posición de liderazgo del supuesto grupo criminal.

 En cuanto a las víctimas, como ya desveló ABC hay policías locales de Madrid y Granada, pero también un letrado de este consistorio, un bombero y otros empleados, tanto de lo público (se investiga si robaron la nómina de médicos de urgencias de Madrid y/o Costa del Sol) como de lo privado (constaban empresas en su lista de objetivos).

En la cuenta de iCloud (un sistema de almacenamiento en la 'nube' de Apple), vinculada al ordenador de su socio, la Policía encontró 28.200 imágenes y vídeos, incluida una decena de fichas de personal del consistorio granadino que le habría enviado Alcasec junto a fotos de cuentas bancarias con apuntes y dos pantallazos de un chat de Telegram en el que el delincuente bajo el alias @sabormangoloco, y A.M. coordinaban sus golpes.

En este canal de mensajería habrían compartido entre el 1 y el 26 de agosto de 2021 una lista de los portales del empleado web de más de una decena de organismos y empresas a los que habían tenido acceso y desde los que pretendían desviar las nóminas de los trabajadores a una cuenta controlada por ellos.

En esa lista figura una veintena de sitios. «Se observan las direcciones de internet del 'Portal del Empleado' de otras Administraciones y Empresas sobre las cuales se debieron practicar manipulaciones informáticas dirigidas a vulnerar las credenciales de acceso con el fin de sustraer las nóminas de sus empleados o/y las bases de datos personales».

Detalla el informe que los investigadores están realizando gestiones tanto con el Ayuntamiento de Fuenlabrada, como con la empresa de vigilancia y seguridad Grupo Control, la Comunidad de Madrid y la Agencia Sanitaria de Costa del Sol para que les faciliten «cuantos datos tengan en su poder sobre los cambios de nóminas fraudulentos que hubo entre agosto y septiembre de 2021».

En estos casos, las direcciones de sus respectivos portales de empleados que aparecen en la lista de objetivos figuran transcritas junto a la expresión entre paréntesis «cambio de IBAN». Para la Policía, esto indicaría el cambio de domiciliación de una o varias nóminas de empleados que hasta ahora no estaban bajo el radar.

Porque ese era el modus operandi. Colarse en la red con las credenciales del trabajador, previamente obtenidas de manera ilícita (y a golpe de ingeniería informática) y cambiar la cuenta de domiciliación a la que la institución o empresa de que se tratara debía enviar la nómina.

El fraude no se detectaba hasta que el trabajador se interesaba en el departamento de Recursos Humanos por el retraso en el cobro de su salario. Para entonces, el dinero había volado. De hecho, entre las miles de imágenes analizadas, la Policía encontró fotos de A.M. tomadas en las mismas fechas de los ataques posando con 18.000 euros en fajos de billetes de 50.

La Policía también está recabando datos sobre intrusiones en el resto de organismos que figuraban en la lista, presumiendo que en todos los casos «eran accesos dirigidos, en principio, a ser vulnerados para el desvío de la nomina de sus empleados».

No obstante, se trabaja para comprobar si se perpetró alguna «exfiltración de bases de datos para fines delictivos», un robo de información personal almacenada en esas administraciones y empresas que luego se puede poner a la venta. 

Pero lo peor es que lo detectado hasta que fueron intervenidos podría ser sólo una «prueba» resultado del «progreso» alcanzado por A.M. en materia de hackeos. «Constituye -dice el informe- una PoC (Proof of Concept / Prueba de Concepto) con el objeto de explorar este nuevo vector de ataque a futuro para su elección masiva».