En un gran éxito de las fuerzas del orden internacionales, las autoridades de siete países desmantelaron First VPN, una red privada virtual criminal vinculada al cibercrimen global, durante una operación coordinada los días 19 y 20 de mayo de 2026.

Bautizada como Operación Saffron, la acción conjunta fue dirigida por las autoridades francesas y neerlandesas y contó con el apoyo de Europol y Eurojust, lo que resultó en la incautación de 33 servidores, la clausura de múltiples dominios y la identificación de miles de usuarios cibercriminales.

First VPN, que operaba principalmente a través de dominios que contenían “1vpns” en la URL, incluidos 1vpns.com, 1vpns.net, 1vpns.org y dominios .onion asociados, no era un servicio de VPN ordinario.

En lugar de atender a consumidores preocupados por su privacidad, el servicio se dirigía explícitamente a los cibercriminales mediante publicidad en foros de cibercrimen rusoparlantes y clandestinos muy conocidos.

La plataforma prometía abiertamente a sus usuarios que no cooperaría con ninguna autoridad judicial, que no almacenaría datos de usuario y que no caería bajo ninguna jurisdicción; afirmaciones que, como demostraron más tarde los investigadores, eran totalmente falsas.

“First VPN” ha sido desmantelada

Según Europol, la primera VPN apareció en casi todas las investigaciones importantes de cibercrimen en las que participó la agencia, facilitando ataques de ransomware, hackeos de sistemas informáticos, esquemas de fraude y compromisos de cuentas a escala global.

El servicio proporcionaba pagos anónimos e infraestructura oculta diseñada específicamente para uso criminal, convirtiéndose en una herramienta confiable para los actores de amenazas que buscaban evadir la detección de las autoridades.

El caso se originó cuando Eurojust abrió un expediente formal en mayo de 2022 a petición de las autoridades francesas, después de que el servicio fuera identificado en foros criminales conocidos.

En noviembre de 2023 se estableció formalmente un equipo de investigación conjunta (JIT), lo que permitió a los investigadores franceses y neerlandeses reunir pruebas, compartir inteligencia y alinearse en una estrategia procesal conjunta.

A medida que la investigación se expandió, se sumaron más países, lo que llevó a la ejecución de múltiples Órdenes Europeas de Investigación (OEI) y solicitudes de Asistencia Jurídica Mutua (MLA) coordinadas a través de Eurojust.

Fundamentalmente, los investigadores obtuvieron acceso encubierto a la infraestructura de First VPN antes de que el servicio dejara de funcionar, interceptando tráfico criminal en vivo de usuarios que creían falsamente que sus operaciones estaban totalmente cifradas y eran anónimas.

Se estableció un Grupo de Trabajo Operativo (OTF) en Europol, que reunió a investigadores de 16 países para analizar los datos incautados.

El grupo de trabajo produjo 83 paquetes de inteligencia compartidos con investigaciones internacionales en curso e identificó a 506 usuarios específicos cuyos datos fueron distribuidos a agencias asociadas de todo el mundo.

La acción conjunta del 19 y 20 de mayo produjo los siguientes resultados:

• Se incautaron y desmantelaron 33 servidores en 27 países
• Se clausuraron los dominios 1vpns.com, 1vpns.net, 1vpns.org y los sitios onion asociados
• Un sospechoso, el administrador de First VPN, fue interrogado en Ucrania a petición de las autoridades francesas
• Se identificaron y publicaron en línea 65 direcciones IP
• Todos los usuarios identificados fueron notificados formalmente del cierre y se les informó que habían sido señalados

Las jurisdicciones participantes incluyeron Francia, los Países Bajos, Luxemburgo, Rumanía, Suiza, Ucrania y el Reino Unido, con apoyo adicional de España, Suecia, Canadá, Alemania y los Estados Unidos.

El desmantelamiento envía una advertencia clara a los proveedores de infraestructura criminal. “Sacarlo de línea elimina una capa crítica de protección de la que dependían los criminales para operar, comunicarse y evadir a las fuerzas del orden”, afirmó Europol.