No era un hacker. Tampoco un experto en ciberdelincuencia que hubiese acabado entre rejas después de utilizar sus conocimientos informáticos para cometer delitos online.
El interno al que se atribuye un papel principal en la brecha de seguridad detectada en la prisión de Puig de les Basses, en Figueres (Girona), había ingresado en el centro penitenciario por un delito de robo.
Nada que ver, por tanto, con el mundo de los delitos informáticos.
Imagen de Puig de les Basses en Figueres (Girona)
Ha sido durante su estancia en prisión cuando este interno ha demostrado tener una habilidad extraordinaria para la informática, sobre todo para encontrar las grietas de unos equipos que, a priori, estaban capados sin Internet.
No son un grupo de expertos
Según ha podido saber Crónica Global, este reo está considerado el cabecilla del grupo de presos identificados después de que el Departamento de Justicia detectase accesos no autorizados a documentación almacenada en unidades de la intranet de la Generalitat.
El caso resulta todavía más llamativo porque tampoco el resto de los internos identificados está vinculado a tramas de ciberdelincuencia.
Es decir, no se trata de un grupo de hackers encarcelados que haya reproducido desde prisión la actividad delictiva que desarrollaba en libertad.
Un pasillo en la prisión de Puig de Les Basses
Programa de digitalización
Para entender cómo pudieron hacerlo, hay que remontarse al proceso de digitalización de las cárceles catalanas y a la instalación de ordenadores a disposición de los internos.
Estos equipos llegaron a los módulos en el marco del programa 'Viu en Digital', impulsado para reducir la brecha digital dentro de las prisiones y permitir que los internos pudieran realizar determinadas gestiones y actividades telemáticas.
Su utilización, sin embargo, estaba limitada. Los ordenadores estaban configurados para que los presos únicamente pudieran acceder a determinados recursos y, en principio, no disponían de acceso libre a Internet.
Sobre el papel estaban "capados". La realidad habría demostrado que esas barreras podían ser vulneradas por internos con suficientes conocimientos informáticos.
Imagen del centro penitenciario de Puig de les Basses (Figueres, Girona)
Primero accedieron a páginas porno
De hecho, según las fuentes consultadas por este medio, algunos presos comenzaron a buscar la manera de sortear las restricciones de los equipos para acceder a contenidos que tenían bloqueados, entre ellos páginas pornográficas.
Una especie de desafío informático que, con el tiempo, habría ido mucho más allá.
Algunos internos descubrieron que podían continuar avanzando y superar nuevas barreras hasta alcanzar espacios a los que nunca deberían haber tenido acceso.
Brecha de seguridad
Ahí es donde el episodio deja de ser una simple vulneración de las normas de utilización de los ordenadores de prisión y se convierte en una brecha de seguridad de la Generalitat.
El Departamento de Justicia recalca, no obstante, que con la información disponible hasta el momento los sospechosos no llegaron a acceder a los sistemas de información más crítica y que el funcionamiento de los servicios de la prisión tampoco se ha visto comprometido.
Ramon Espadaler, 'conseller' de Justicia y Calidad Democrática
Los sindicatos temen lo peor
La dimensión que atribuyen los sindicatos al problema es considerablemente mayor.
Desde SICAP-FEPOL sostienen que desde ordenadores instalados en módulos penitenciarios y accesibles a los internos se produjeron accesos no autorizados a "entornos y repositorios internos" de la Generalitat.
Según las evidencias recopiladas por la organización, entre la información potencialmente expuesta habría documentos internos, datos personales y penitenciarios e información sanitaria, especialmente protegida por la legislación.
Penal de Puig de les Basses / EFE
Otros presos dieron la voz de alarma
La paradoja es que fueron precisamente otros internos con conocimientos informáticos quienes detectaron que existían vulnerabilidades en los equipos y comenzaron a advertir de ellas.
Y aquí aparece uno de los principales interrogantes del caso: desde cuándo conocía la Administración la existencia del agujero de seguridad.
Advertencias desde hace un año
Desde SICAP-FEPOL aseguran que las primeras advertencias se remontan, como mínimo, a 2025.
Según el sindicato, tanto internos como trabajadores habían alertado ya entonces de la existencia de accesos indebidos y de deficiencias en el control de los ordenadores puestos a disposición de los presos.
Por ello exige determinar desde cuándo era posible acceder, desde cuántos centros, qué archivos fueron consultados y si hubo descarga, copia o difusión de información.
Centro penitenciario Puig de les Basses / JUSTICIA
Fuentes del sindicato CSIF consultadas por Crónica Global coinciden en que las deficiencias habían sido advertidas desde hacía tiempo y que existía preocupación por las posibilidades que ofrecían a determinados internos unos equipos que debían funcionar en un entorno completamente controlado.
El problema podría ir más allá
Precisamente esta es una de las incógnitas que deberá despejar ahora la investigación. Justicia ha confirmado el incidente detectado en Puig de les Basses, pero SICAP-FEPOL sostiene que las vulnerabilidades podrían no limitarse a esta prisión.
El sindicato habla de equipos accesibles a internos desde los que se habría podido entrar en repositorios internos de la Generalitat y reclama una auditoría urgente e integral de los ordenadores, redes, permisos y credenciales utilizados en los centros penitenciarios catalanes.
El Departament de Justícia, por su lado, ha abierto una investigación y ha puesto el incidente en conocimiento de la Agencia de Ciberseguridad de Cataluña, que analiza técnicamente cómo se produjo el acceso y cuáles pueden haber sido sus consecuencias.
Los hechos también han sido denunciados ante el Juzgado de Guardia de Figueres y comunicados a la Autoridad Catalana de Protección de Datos.
Investigación en marcha
Mientras avanza la investigación, las prisiones catalanas están reforzando sus medidas de seguridad.
Ahora, queda por esclarecer hasta dónde consiguió llegar el grupo de internos, durante cuánto tiempo pudo hacerlo y, sobre todo, cómo un programa concebido para acercar las herramientas digitales a la población reclusa terminó convirtiéndose en el puente que un ladrón sin pasado ‘hacker’ cruzó hasta colarse en las entrañas digitales de la Generalitat.