2La cuarta base: qué ministerio completa la lista de los cuatro incidentes y qué evidencias hay de cada hackeo
El cuarto ministerio es Hacienda, y su caso es el más atípico de los cuatro. Aquí no consta ni un rescate ni el anuncio de un volcado completo en un foro: la base no se rompió desde fuera, se consultó desde dentro del propio Estado. La puerta fue el Punto Neutro Judicial, la pasarela que conecta a los órganos judiciales con las bases de datos públicas, y por ahí accedió el joven conocido como Alcasec, que llegó a presumir de manejar información del 90% de los españoles y montó una estructura de reventa con la que, según la investigación, daba salida a datos de Hacienda, la DGT, el SEPE y registros municipales. Fue detenido a comienzos de 2023 y las pesquisas continuaron hasta la localización de uno de sus mayores compradores, que empleaba el material para campañas de smishing. A diferencia del resto, lo que se vendía no era un fichero cerrado, sino la capacidad de consultar datos a la carta.
Las pruebas, sin embargo, no son homogéneas, y eso forma parte del problema. En el SEPE, el incidente está reconocido por escrito: el 9 de marzo de 2021, un ransomware (Ryuk, según los análisis técnicos publicados) afectó a la disponibilidad de sus sistemas, obligó a recuperar la web desde una copia antigua y dejó sin cita previa a más de 700 oficinas, con la recuperación supervisada por el Centro Criptológico Nacional. El organismo mantuvo que no se vieron comprometidos los datos personales ni el pago de nóminas, prestaciones y ERTE, y Trabajo denegó el acceso al informe de la investigación amparándose en la seguridad pública (resolución de julio de 2021). En el resto, buena parte de lo que circula son anuncios de vendedores sin verificar: en mayo se ofrecieron 19 millones de registros atribuidos a la Dirección General de la Policía en el foro Breached, un lote que nunca llegó a publicarse.
